你的資料如何被偷走？ Web安全篇 - 跨站請求偽造(CSRF )
更新於 發佈於 閱讀時間約 5 分鐘
互聯網的時代中我們幾乎都離不開網路，那如果能夠對於Web具備基礎的知識，就能夠讓我們在使用網路的過程中提升風險意識，以減少被竊取、盜用的風險，進而保護個人資產，因此多一份知識在身上也就等於多了一份防身的武器，一天學一點，透過微習慣讓我們享受複利的效應。
在前幾篇我們介紹了「同源政策(Same Origin Policy)」與「Web - 跨來源資源共用（CORS）」的基本概念之後，大致上已經了解瀏覽器如何做個守門員，攔截非法的請求/回應，接下來我們就來談談駭客如何繞過「同源政策(Same Origin Policy)」進行跨站請求偽造(CSRF )。
CRSF全名為「Cross Site Request Forgery」中文為跨站請求偽造，相信我們都搭過交通運輸工具，那麼基本上的機制就是認票/卡不認人，假設我們的票/卡片在不知情狀況下被盜取，那麼對方就能直接進入，這套用到網站也是相似的概念，在還未登出的狀況下，Cookie(通行證)被盜用，就能進入你在瀏覽的網站，進而竊取個人資訊，進行下一次的滲透攻擊。
CRSF攻擊示意圖
原則上HTTP是屬於無態的，因此正常狀況下，並不會將正常網站的資訊帶到偽造網站，但由於Cookie的特性，會被附加在每個HTTP的請求中，因此才會產生如下圖般被偽造的風險。
- 登入正常網站，並在未登出期間收到釣魚郵件或者訊息。
- 點擊該釣魚郵件或訊息所附帶的網址連結。
- 進入該網站之後，按下駭客所埋藏的偽造請求按鈕。
- 由於Cookie的特性，按下該按鈕後，釣魚網站透過夾帶Cookie的方式，連結到我們尚未登出的正常網站，此時若駭客掌握了重要資訊的位置，那麼將可以使用這樣的偽造身分方式竊取我們的重要資訊，進而進行下一步的攻擊。
如何防範CSRF？
在談論如何防範CSRF時，我們將情境分為兩個部分，首先是使用者的部分，接著是網站開發者的部分，當然本篇文章並不會講述太多技術實作細節，著重在概念的貫通，有了概念，相信技術將迎刃而解。
❗❗❗身為使用者可以做什麼防範？
我們每個人在使用瀏覽器時所扮演的角色都是使用者， 因此了解以下防範方式，可以保護我們的資料減少被竊取的風險。
- 定期清除瀏覽器歷程(所有)，避免保留過多資料，萬一被竊取時，資料越多風險越高。
- 設定瀏覽器封鎖第三方Cookie，雖然Google已經預計2023年底前逐步淘汰Cookie，但目前仍未將之做為預設選項，因此若擔心的朋友，可以自行設定，但某些網站功能可能無法正常使用。
- 盡量不要瀏覽可疑網站，或者點擊信件、網站中不明連結。
- 每次使用完一個網站就登出才到下一個網站，避免登入中的狀態被利用。
身為網站開發者應盡到什麼義務？
- 個資、金流...等重要功能應增設一道牆，多一層的驗證(圖形驗證、簡訊驗證...等)，以保障使用者。
- 表單發送加上CRSF token，並設定為隱藏欄位，每次產生一組令牌，表單發送到後端時，檢查隱藏欄位的令牌是否合法，如此一來就算經過偽造網站，只要偽造網站不知道這組token就無法順利完成動作，但這也是僅防君子不防小人的手法，真正的壞人也能夠駭到我們的CRSF token。
<input type="hidden" name="csrftoken" value=<csrftoken>/>
- 檢測HTTP Refer，因為我們知道CSRF攻擊者通常來自別的站點，因此透過Refer檢查來源，便可知道這次的請求是否合法。
if (request.headers.referer.includes("domain-1.com")){
...
}瀏覽器本身的防禦
chrome在51版之後對於Cookie加入了SameSite的屬性，在夾帶Cookie時，會檢查這個屬性的配置，若符合規則，才能自動夾帶Cookie，讓網站開發者可以設定Cookie在什麼情況下才能自動夾帶，設定方式也非常簡單，只要在原本Set-Cookie之後加上SameSite即可：
Set-Cookie: xxxxxxxx; SameSite=Strict
SameSite具備兩種模式，若未指定則預設為Strict
- Strict：嚴格模式，只有相同來源的網站才能自動帶上Cookie(識別證)，也就是完全禁止第三方來源的Cookie。
- Lex：放寬了一些限制，允許部分的HTML標籤或者HTTP請求，也就是在有限度的情況下可以夾帶第三方的Cookie。
- None：當然也可以告訴瀏覽器，這個通行證可以不用檢查，但對於使用者來說就比較沒有保障囉，也就容易發生CSRF的狀況。
詳細說明請參考這裡。
資源參考
為什麼會看到廣告
118會員
267內容數
哈囉，我是阿Han，是一位 👩💻 軟體研發工程師，喜歡閱讀、學習、撰寫文章及教學，擅長以圖代文，化繁為簡，除了幫助自己釐清思路之外，也希望藉由圖解的方式幫助大家共同學習，甚至手把手帶您設計出高品質的軟體產品。
留言0
查看全部你可能也想看
Google News 追蹤
現代社會跟以前不同了，人人都有一支手機，只要打開就可以獲得各種資訊。過去想要辦卡或是開戶就要跑一趟銀行，然而如今科技快速發展之下，金融App無聲無息地進到你生活中。但同樣的，每一家銀行都有自己的App時，我們又該如何選擇呢？(本文係由國泰世華銀行邀約)
今天我會用不同角度帶大家看這款國泰世華CUB
嘿，大家新年快樂~ 新年大家都在做什麼呢？
跨年夜的我趕工製作某個外包設計案，在工作告一段落時趕上倒數。
然後和兩個小孩過了一個忙亂的元旦。在深夜時刻，看到朋友傳來的解籤網站，興致勃勃熬夜體驗了一下，覺得非常好玩，或許有人玩過了，但還是想寫上來分享紀錄一下~
在數位化日益深入的今天，駭客網路攻擊成為了各種組織和個人面臨的嚴重挑戰。本文將探討駭客網路攻擊的種類、影響及其防範策略，幫助讀者更好地理解和應對這一重要的安全問題。
什麼是駭客網路攻擊？
駭客網路攻擊是指未經授權的個人或組織通過技術手段，針對計算機系統、網路基礎設施或數據進行的攻擊行為。攻擊者可
在當今數位化的時代，企業資訊安全已經成為了極為重要的議題。隨著科技的不斷進步，網路犯罪的手法也層出不窮，對企業的資訊安全造成了嚴重的威脅。面對這一挑戰，企業應該如何有效地保護自身的資訊安全呢？
平日裡喜歡輕鬆愉快地生活，但有些事情還是得認真對待( • ̀ω•́ )
今天跟大家分享資訊安全問題，你有沒有被網站詐騙的經驗呢？
在這個數位時代，我們大多數人都會在網上進行各種活動，從購物到瀏覽新聞，甚至處理金融交易。但是，隨之而來的風險也不容忽視。有時候，我們可能會遇到一些看似正常的企業網站，
我們分析了許多加密貨幣詐騙案例，歸納出一些共通的行為特徵要告訴你，讓你防患於未然；萬一日後自己或朋友遇到類似情境，就可以馬上辨識出這些警訊，避免成為加密貨幣詐騙的受害者。
在開發前後端分離架構時，使用兩個不同網域所遇到跨域請求問題。特別是在POST請求時行為差異大，揭示了「簡單請求」與「預檢請求」的關鍵差異。簡單請求不需預檢，但application/json會觸發預檢請求，需透過特定設定解決。分享這篇文章希望幫助開發者有效處理跨域問題。
手機及網路已深入日常生活與消費習慣，春節期間不管是出遊派還是在宅派都會使用手機或各種網路服務，例如查詢出遊走春資訊、景點打卡、簡訊拜年、網路購物、線上追劇等等。對此，數位發展部資通安全署指出，使用便利服務的同時，也要注意資安防護，像是不法集團常常利用釣魚網站假連結，騙取民眾輸入個資或信用卡資料。
描述我所瞭解的 Web 攻擊技術
何謂網路攻擊？
駭客透過各種系統漏洞或惡意程式，搭配許多技術和工具進行攻擊。目標是要在企業或個人電腦網路中損害、取得控制權或存取重要的文件和系統。
例如：
XSS（Cross-Site Scripting，跨站腳本攻擊/跨網站指令碼）：指網路罪犯透過存在安全
假網站攻擊近10年一直是全球銀行業的頭痛問題，過去發卡機構也致力去防止因為日漸盛行的網上購物而引發的騙財技倆。
有一定年資的網購使用者，對於使用保安編碼器會有點印象，但成本太高，而且每天要帶着外出也十分不便(也容易出現遺失的風險)，近年智能手機普及，很多銀行已經轉用mobileapp作為主要保安編
談了許多網路安全的議題，提醒民眾要注意哪些事情，建構哪些網路安全思維，讓我們可以降低踏入詐騙陷阱的風險。但除了民眾本身要不斷學習、提升防詐意識外，是不是還有其他方面的作法呢？ 本文就來聊聊在企業端可以做些什麼。
要打造一個密不可破的防護網，企業端就不能夠缺席。
舉幾個例子讓大家知道。
現代社會跟以前不同了，人人都有一支手機，只要打開就可以獲得各種資訊。過去想要辦卡或是開戶就要跑一趟銀行，然而如今科技快速發展之下，金融App無聲無息地進到你生活中。但同樣的，每一家銀行都有自己的App時，我們又該如何選擇呢？(本文係由國泰世華銀行邀約)
今天我會用不同角度帶大家看這款國泰世華CUB
嘿，大家新年快樂~ 新年大家都在做什麼呢？
跨年夜的我趕工製作某個外包設計案，在工作告一段落時趕上倒數。
然後和兩個小孩過了一個忙亂的元旦。在深夜時刻，看到朋友傳來的解籤網站，興致勃勃熬夜體驗了一下，覺得非常好玩，或許有人玩過了，但還是想寫上來分享紀錄一下~
在數位化日益深入的今天，駭客網路攻擊成為了各種組織和個人面臨的嚴重挑戰。本文將探討駭客網路攻擊的種類、影響及其防範策略，幫助讀者更好地理解和應對這一重要的安全問題。
什麼是駭客網路攻擊？
駭客網路攻擊是指未經授權的個人或組織通過技術手段，針對計算機系統、網路基礎設施或數據進行的攻擊行為。攻擊者可
在當今數位化的時代，企業資訊安全已經成為了極為重要的議題。隨著科技的不斷進步，網路犯罪的手法也層出不窮，對企業的資訊安全造成了嚴重的威脅。面對這一挑戰，企業應該如何有效地保護自身的資訊安全呢？
平日裡喜歡輕鬆愉快地生活，但有些事情還是得認真對待( • ̀ω•́ )
今天跟大家分享資訊安全問題，你有沒有被網站詐騙的經驗呢？
在這個數位時代，我們大多數人都會在網上進行各種活動，從購物到瀏覽新聞，甚至處理金融交易。但是，隨之而來的風險也不容忽視。有時候，我們可能會遇到一些看似正常的企業網站，
我們分析了許多加密貨幣詐騙案例，歸納出一些共通的行為特徵要告訴你，讓你防患於未然；萬一日後自己或朋友遇到類似情境，就可以馬上辨識出這些警訊，避免成為加密貨幣詐騙的受害者。
在開發前後端分離架構時，使用兩個不同網域所遇到跨域請求問題。特別是在POST請求時行為差異大，揭示了「簡單請求」與「預檢請求」的關鍵差異。簡單請求不需預檢，但application/json會觸發預檢請求，需透過特定設定解決。分享這篇文章希望幫助開發者有效處理跨域問題。
手機及網路已深入日常生活與消費習慣，春節期間不管是出遊派還是在宅派都會使用手機或各種網路服務，例如查詢出遊走春資訊、景點打卡、簡訊拜年、網路購物、線上追劇等等。對此，數位發展部資通安全署指出，使用便利服務的同時，也要注意資安防護，像是不法集團常常利用釣魚網站假連結，騙取民眾輸入個資或信用卡資料。
描述我所瞭解的 Web 攻擊技術
何謂網路攻擊？
駭客透過各種系統漏洞或惡意程式，搭配許多技術和工具進行攻擊。目標是要在企業或個人電腦網路中損害、取得控制權或存取重要的文件和系統。
例如：
XSS（Cross-Site Scripting，跨站腳本攻擊/跨網站指令碼）：指網路罪犯透過存在安全
假網站攻擊近10年一直是全球銀行業的頭痛問題，過去發卡機構也致力去防止因為日漸盛行的網上購物而引發的騙財技倆。
有一定年資的網購使用者，對於使用保安編碼器會有點印象，但成本太高，而且每天要帶着外出也十分不便(也容易出現遺失的風險)，近年智能手機普及，很多銀行已經轉用mobileapp作為主要保安編
談了許多網路安全的議題，提醒民眾要注意哪些事情，建構哪些網路安全思維，讓我們可以降低踏入詐騙陷阱的風險。但除了民眾本身要不斷學習、提升防詐意識外，是不是還有其他方面的作法呢？ 本文就來聊聊在企業端可以做些什麼。
要打造一個密不可破的防護網，企業端就不能夠缺席。
舉幾個例子讓大家知道。