CSRF令牌基础
CSRF令牌的作用
CSRF令牌是一种随机生成的、唯一且难以预测的字符串，通常由服务器在用户访问页面时生成，并嵌入到表单或AJAX请求中。当用户提交请求时，服务器会验证请求中携带的CSRF令牌是否与服务器端存储的令牌一致，以此判断请求的合法性。通过这种方式，即使攻击者能够诱导用户发起请求，也无法获取到有效的CSRF令牌，从而无法构造出合法的请求。
CSRF令牌的生成原则
- 随机性：CSRF令牌应具有足够的随机性，避免被预测或枚举。
- 唯一性：每个用户的每个会话或每次请求应生成不同的令牌，防止令牌重用。
- 时效性：令牌应设置合理的有效期，过期后需重新生成。
- 安全性：令牌的生成、存储和传输过程应采取安全措施，防止泄露。
CSRF令牌生成与验证机制的潜在缺陷
1. 令牌生成缺陷
1.1 弱随机性
如果CSRF令牌的生成算法不够随机，攻击者可能通过分析多个令牌的模式或利用已知的随机数生成器漏洞，预测出未来的令牌值，从而绕过CSRF防护。
1.2 令牌重用
若服务器在多个请求或会话中重复使用相同的CSRF令牌，攻击者一旦获取到该令牌，便可在多个场景下利用它进行CSRF攻击。
1.3 令牌长度不足
令牌长度过短会降低其随机性和唯一性，增加被猜测或枚举的风险。
2. 令牌存储与传输缺陷
2.1 服务器端存储不当
服务器端存储的CSRF令牌若未采取加密或安全存储措施，可能被内部人员或攻击者通过数据库注入等手段获取。
2.2 客户端存储不安全
将CSRF令牌存储在客户端的Cookie、LocalStorage或SessionStorage中，若未设置适当的安全属性（如HttpOnly、Secure、SameSite），可能被跨站脚本攻击（XSS）或其他客户端攻击手段窃取。
2.3 传输过程未加密
CSRF令牌在客户端与服务器之间的传输过程中若未使用HTTPS等加密协议，可能被中间人攻击截获。
3. 令牌验证缺陷
3.1 验证逻辑漏洞
服务器端对CSRF令牌的验证逻辑可能存在漏洞，如仅验证令牌的存在性而不验证其有效性，或对令牌的格式、长度等检查不严格。
3.2 忽略特定请求类型
某些Web应用可能仅对POST请求进行CSRF防护，而忽略了GET、PUT、DELETE等其他类型的请求，为攻击者提供了可乘之机。
3.3 跨域请求处理不当
对于跨域请求，若服务器未正确处理CORS（跨域资源共享）策略或未验证Referer头，可能导致CSRF令牌被绕过。
网站安全测试用例设计
1. 令牌生成测试
测试用例1：弱随机性检测
- 目的：验证CSRF令牌的随机性是否足够强。
- 方法：收集多个CSRF令牌，分析其模式、重复率和熵值，评估其随机性。
- 预期结果：令牌应具有高随机性，无明显模式，重复率低。
测试用例2：令牌重用检测
- 目的：检查服务器是否在多个请求或会话中重用CSRF令牌。
- 方法：在多个会话或请求中捕获CSRF令牌，比较其是否相同。
- 预期结果：每个会话或请求应使用不同的CSRF令牌。
测试用例3：令牌长度检测
- 目的：验证CSRF令牌的长度是否足够长。
- 方法：测量捕获的CSRF令牌的长度，评估其是否满足安全要求。
- 预期结果：令牌长度应足够长，以抵抗猜测和枚举攻击。
2. 令牌存储与传输测试
测试用例4：服务器端存储安全检测
- 目的：检查服务器端存储的CSRF令牌是否采取安全措施。
- 方法：尝试通过数据库注入等手段获取服务器端存储的CSRF令牌，评估其安全性。
- 预期结果：服务器端存储的CSRF令牌应加密或采取其他安全措施，难以被直接获取。
测试用例5：客户端存储安全检测
- 目的：验证客户端存储的CSRF令牌是否设置适当的安全属性。
- 方法：检查存储CSRF令牌的Cookie、LocalStorage或SessionStorage是否设置了HttpOnly、Secure、SameSite等安全属性。
- 预期结果：客户端存储的CSRF令牌应设置适当的安全属性，防止被窃取。
测试用例6：传输过程加密检测
- 目的：检查CSRF令牌在传输过程中是否使用加密协议。
- 方法：使用网络抓包工具捕获客户端与服务器之间的通信，检查是否使用HTTPS等加密协议。
- 预期结果：CSRF令牌在传输过程中应使用加密协议，防止被截获。
3. 令牌验证测试
测试用例7：验证逻辑漏洞检测
- 目的：验证服务器端对CSRF令牌的验证逻辑是否严密。
- 方法：构造包含无效、过期或格式错误的CSRF令牌的请求，观察服务器的响应。
- 预期结果：服务器应拒绝包含无效、过期或格式错误的CSRF令牌的请求。
测试用例8：忽略特定请求类型检测
- 目的：检查服务器是否对所有类型的请求都进行CSRF防护。
- 方法：构造GET、PUT、DELETE等类型的请求，尝试绕过CSRF防护。
- 预期结果：服务器应对所有类型的请求都进行CSRF防护。
测试用例9：跨域请求处理检测
- 目的：验证服务器对跨域请求的处理是否正确。
- 方法：构造跨域请求，观察服务器是否正确处理CORS策略和验证Referer头。
- 预期结果：服务器应正确处理跨域请求，防止CSRF令牌被绕过。
结论
CSRF令牌生成与验证机制是Web应用防御CSRF攻击的重要手段，但其实现过程中可能存在多种潜在缺陷。通过设计一套全面的网站安全测试用例，开发工程师和安全测试人员可以系统地检测这些缺陷，并及时修复，从而提高网站的安全性。在实际测试过程中，应结合具体的业务场景和技术栈，灵活调整测试用例，确保测试的全面性和有效性。同时，随着Web技术的不断发展，新的CSRF攻击手段和防御机制也将不断涌现，因此，持续关注和学习最新的安全知识，对于保障网站安全至关重要。
