如何測試我的wasp.net MVC 3網站是否受到CSRF攻擊保護

Question

我在所有接受用戶輸入的視圖和關聯操作方法上的[ValidateAntiForgeryToken]保護中使用了反僞造令牌html helper來自任何可能的CSRF攻擊。 但我面臨的問題是如何測試這些代碼行是否正常，他們將防止任何可能的攻擊。 BR

Answer 1

你可以編寫一個靜態HTML頁面，你可以在任何地方託管。甚至不需要Web服務器，例如可以使用file:///c:/foo.htm。在這個HTML頁面中，創建一個簡單的<form>，它將包含與您想要針對CSRF測試的一些ASP.NET MVC視圖相同的輸入元素（相同名稱）。表單的action將指向與您的ASP.NET MVC視圖相同的操作。然後提交表單。如果拋出AntiForgeryToken異常，則安全。另一方面，如果控制器動作被執行，你很容易受到CSRF攻擊。

要了解有關CSRF的更多信息，請查看following article。傑夫阿特伍德也blogged關於它。

不要只是期待一些奇蹟工具，你會運行，它會顯示綠色或紅色的光。如果存在這樣的工具，黑客就不存在了，因爲所有的網站都會受到保護，並且他們不會有任何黑客入侵。

確保您的網站安全的最佳方法是諮詢將執行廣泛的審計和代碼審查的安全專家。