如何防止跨站请求伪造攻击？答案

【问题标题】：How to Prevent Cross-Site Request Forgery Attack?如何防止跨站请求伪造攻击？
【发布时间】：2017-01-09 02:26:56
【问题描述】：

我们在我们的产品上运行了Burp Suite 并发现了一些安全漏洞。该工具检测到一些容易受到跨站请求伪造攻击 (CSRF) 的 CGI 文件。

像往常一样，我在 CPAN 上搜索了 CSRF 保护模块，找到了CGI::Application::Plugin::ProtectCSRF。

我想知道如何以通用方式将此模块集成到我们的应用程序中？我不清楚文档。如何配置此模块并进行最少的更改以确保整个应用程序不受 CSRF 的影响。

我还遇到了mod_csrf（一个防止 CSRF 的 Apache 模块）。安装此模块并在 apache 配置文件中进行以下设置是否足以防止 CSRF？

<VirtualHost>

    CSRF_Enable on
    CSRF_Action deny
    CSRF_EnableReferer off

</VirtualHost>

【问题讨论】：

【解决方案1】：

我可以理解您发现CGI::Application::Plugin::ProtectCSRF 的文档不清楚：它有点坚不可摧

Perl 模块似乎所做的只是将hidden 字段添加到名称为_csrf_id 的每个HTML 表单以及从各种来源派生并通过SHA1 编码的随机值。当客户端的响应要求必须向服务器返回相同的值时，保护就出现了

它的编码非常好，但它使用自定义子例程属性，attributes pragma 的文档说明了这一点

警告：此处描述的机制仍处于试验阶段。不要依赖当前的实现

从我的快速回顾中我无法判断子例程原型是否对模块至关重要，但我建议您改用 Apache mod_csrf 模块，它可能比 Perl 模块经过更彻底的测试，并且具有适当的文档

【讨论】：

【解决方案2】：

由于我们使用的是内部服务器，而不是 apache，因此无法实现 mod_csrf。

由于文档不清楚，我放弃了 ProtectCSRF 模块。

我通过以下操作解决了它：

【讨论】：