讨论一下本地发起的 POST 能不能算为 CSRF 攻击

[FONG2]

最近集团换了一个安全公司为网站做渗透测试，

出了一份漏洞报告：

大体内容为，黑客可以用 CSRF 方式修改用户个人信息，条件系黑客写好 post form 保存为 test.html 并把 test.html 存放在被攻击者本机，诱导被攻击者打开该文档 或将 test.html 放在我司域名服务器，诱导客户点击

我司网站已经配置了全局 csrf 过滤器，检查 refer 字段匹配白名单

本地首次请求 refer 为空，可以成功 在我司域名服务器 refer 合法，可以成功

但是？？？ 黑进客户电脑 /我司服务器 这种情况来说一个修改个人信息漏洞 没事吧？？

[yulitian888]

如果是办公环境的话，邮件 /QQ 诱导点击的成功概率并不低啊，真的不要高估工作人员的素质

[xomix]

所以后台要发 token ……这样你随便 post，你有能用的 token 算我输。

[FONG2]

@yulitian888 如果客户随便打开陌生文件，这个安全危害更大啊

[qlin]

简单的做个跨资源访问限制 + content-type 限制，就差不多了

[FONG2]

@xomix 是的，像这种无风险业务我觉得屏蔽 get，屏蔽跨域 post，保证客户不是被动发起非法请求，至于关键业务我们是有二次鉴权的。

[leir]

为啥不使用 csrf token ？

[Zzzzzzzzz]

"本地首次请求 refer 为空，可以成功 在我司域名服务器 refer 合法，可以成功"

如果这种方式能成功

通过诱导用户访问不发送 referer 的 ssl 页面用 js 自动提交不也可以么

[caola]

为啥不使用 csrf token ？ +1

[40huo]

这是标准的 csrf

[jimrok]

发一个够劲爆的邮件给你，一点链接直接黑掉你的浏览器，把木马植入进去。还用干什么 form post，low 了点。

[fcten]

没有严格检查用户输入导致网页被植入恶意脚本是很有可能发生的事情。检查 refer 不能防止这种典型的 csrf 攻击。

[DuckJK]

如果 referer 为空放行了请求，在 https 或 iframe 的 base64 是可以请求成功的。

[zarte]

都黑进去放东西了还要诱导？

[fucker]

我觉得还是加强一下员工安全意识吧。

[tvboxme]

这就是漏洞啊，现在多少框架都自带 csrf token 了，长点心吧。。

[BoiledEgg]

仅仅验证 refer 本来就不足以防范 csrf 的，csrf token 是必须的

[ushio]

不要寄望于公司员工能有多高的安全意识

[Koali]

这种漏洞只需要发送请求的时候给个随机数就可以了

[lightening]

为什么不用 CSRF token ？+1

[picasso250]

我之前在公司做过一次演习,用假域名做了 fish 站,只有一个登录界面.
然后发了一封邮件(用外网邮箱), 结果拿到了 5%用户的密码.