ASP.NET MVC中的AntiForgeryToken是否可以防止所有CSRF攻擊？

Question

使用AntiForgeryToken需要每個請求都傳遞有效的令牌，所以使用簡單腳本將數據發佈到我的Web應用程序的惡意網頁將無法成功。

但是如果惡意腳本，以下載包含在一個隱藏的輸入字段的防僞標記的頁面會先進行一些簡單的GET請求（由Ajax），提取它，並用它來進行有效的POST？

這是可能的，還是我錯過了什麼？

Answer 1

是的，這是你需要做的。

只要你生成每個受保護的網頁上一個新的令牌，用<%= Html.AntiForgeryToken() %> ，始終確保它在任何保護行動檢查，使用[ValidateAntiForgeryToken]

這實現了一個在CSRF Prevention Cheat Sheet在OWASP討論的同步標記模式。

爲了讓腳本成功地發出可接受的請求，它必須首先獲取表單並讀取令牌，然後發佈令牌。 Same Origin Policy將阻止它在瀏覽器中被允許。站點canot向另一個站點發送AJAX樣式的http請求;只對自己。如果由於某種原因可能違反同一起源政策，那麼您將變得脆弱。

請注意，如果您有跨站點腳本漏洞，攻擊者可以濫用xss漏洞繞過相同源策略提供的保護（因爲腳本現在從您自己的站點運行，所以SOP成功） 。注入的腳本然後可以愉快地閱讀並重新提交該令牌。這種通過XSS獲得CSRF保護的技術最近在一些蠕蟲中很常見。基本上，如果你有XSS，你的CSRF保護是浪費時間，所以確保你不容易受到任何影響。

另外需要注意的是Flash和Silverlight。這兩種技術都不會訂閱相同的來源策略，而是使用跨域策略文件來限制對遠程資源的訪問。如果您在自己的站點上發佈跨域策略xml文件，則Flash/Silverlight腳本只能訪問您站點上的資源。如果你確實發佈了這個文件，只允許一個受信任的第三方服務器的白名單，並且絕不允許*。

瞭解更多關於CSRF at OWASP 參見：XSS Prevention Cheat Sheet

Answer 2

但是如果惡意腳本將首先以下載包含隱藏的輸入字段防僞標記的網頁一些簡單的GET請求（阿賈克斯），提取它，並使用它來使有效的POST？

是的，這是事實，但是，如果它不是在瀏覽器中結束了這不是一個CSRF攻擊。

如果它不結束它的瀏覽器（例如，通過在服務器端代碼中的HTTP請求刮），那麼會發生什麼刮代碼將得到一個CSRF令牌。但是你合法的，經過驗證的用戶將獲得不同的令牌把自己的機器上。由於是，上述刮板提升令牌是不同的，以發行給用戶的一個，則POST將失敗。

如果你想阻止非瀏覽器腳本決策職位，那麼你需要採取另一種方法來驗證它的人。