简介
MVC中的Html.AntiForgeryToken()是用来防止跨站请求伪造(CSRF:Cross-site request forgery)攻击的一个措施,它跟XSS(XSS又叫CSS:Cross-Site-Script),攻击不同,XSS一般是利用站内信任的用户在网站内插入恶意的脚本代码进行攻击，而CSRF则是伪造成受信任用户对网站进行攻击。
CSRF可以攻击者盗用了你的身份，以你的名义发送恶意请求。CSRF能够做的事情包括：以你名义发送邮件，发消息，盗取你的账号，甚至于购买商品，虚拟货币转账......造成的问题包括：个人隐私泄露以及财产安全。
实例
我们新建一个简单的网站发布公告界面
@{Layout = null; }<!DOCTYPE html><html> <head><meta name="viewport" content="width=device-width" /><title>Index</title> </head> <body>@using (Html.BeginForm("Notice", "Home", FormMethod.Post)){@:网站公告:<input type="text" name="Notice" id="Notice" /><input type="submit" value="Submit" />} </body> </html>
提交后
此时提供给了跨站攻击的漏洞，CSRF一般依赖几个条件
(1)攻击者知道该目标站点。
(2)攻击者的目标站点具有持久化授权cookie或者受害者具有当前会话cookie
(3)目标站点没有对用户在网站行为的第二授权。
比如我们现在知道发布新闻的地址：http://localhost:56874/Home/Notice
比如我们新建一个页面
@{Layout = null; }<!DOCTYPE html><html> <head><meta name="viewport" content="width=device-width" /><title>Index</title> </head> <body><form action="http://localhost:56874/Home/Notice" method="post">网站公告:<input type="text" name="Notice" id="Notice" /><input type="submit" value="Submit" /></form> </body> </html>
发起攻击
这样在网站的公告就被篡改了。作为安全性考虑，这种情况肯定不会让它发生的。
如何防止
ASP.NET MVC中通过在页面上使用 Html.AntiForgeryToken()配合在对应的Action上增加[ValidateAntiForgeryToken]特性来防止跨站攻击。
修改上面提交代码
@using (Html.BeginForm("Notice", "Home", FormMethod.Post)){@Html.AntiForgeryToken();@:网站公告:<input type="text" name="Notice" id="Notice" /><input type="submit" value="Submit" />}
[HttpPost][ValidateAntiForgeryToken]public ActionResult Notice(string Notice){ViewBag.Notice = Notice;return View();}
再次运行网站，界面没什么变化当我们查看源代码的时候发现多了一个东西
<input name="__RequestVerificationToken" type="hidden" value="oo1kDYx6CUL3YSyZHokvWgPzOcZhZID_75tiqYBgNMBBjQNo4FgmWpO5dRsVlvqIVgZH34FvTArCFbWKuDkCbwl5UFOAxzxmaTwuQ9iBBHY1" />
现在当我们再次篡改数据的时候
我们看一下Html.AntiForgeryToken()会为当前请求，生成一个名为__RequestVerificationToken的cookie，还有一个名为__RequestVerificationToken的隐藏域。
为了验证一个来自form post请求，还需要在目标action上增加[ValidateAntiForgeryToken]特性，它是一个验证过滤器，它主要检查
(1)请求的是否包含一个约定的AntiForgery名的cookie
(2)请求是否有一个Request.Form["约定的AntiForgery名"]，约定的AntiForgery名的cookie和Request.Form值是否匹配
Ajax如何CSRF攻击
在Asp.net Mvc里加入防伪标记很简单在表单中加入Html.AntiForgeryToken()即可。
Html.AntiForgeryToken()会生成一对加密的字符串，分别存放在Cookies 和 input 中。
我们在ajax post中也带上AntiForgeryToken
<head><meta name="viewport" content="width=device-width" /><title>Index</title><script src="~/Script/jquery-1.10.2.min.js"></script> </head> <body><form>网站公告:<input type="text" name="Notice" id="Notice" /><input type="button" value="提交" id="btn" /></form> </body> </html> <script>$(function () {$("#btn").click(function () {var token = $('@Html.AntiForgeryToken()').val();var headers = {};headers["__RequestVerificationToken"] = token;$.ajax({type: 'POST',url: '/Home/Notice',cache: false,headers: headers,data: { Notice: $("#Notice").val()},success: function (data) {alert(data)},error: function () {alert("Error")}});})}) </script>
自定义ValidateAntiForgeryToken
public class MyValidateAntiForgeryToken: AuthorizeAttribute{public override void OnAuthorization(AuthorizationContext filterContext){var request = filterContext.HttpContext.Request;if (request.HttpMethod== WebRequestMethods.Http.Post){if (request.IsAjaxRequest()){var antiForgeryCookie = request.Cookies[AntiForgeryConfig.CookieName];var cookiValue = antiForgeryCookie != null ? antiForgeryCookie.Value : null;var s = request.Headers["__RequestVerificationToken"];AntiForgery.Validate(cookiValue, request.Headers["__RequestVerificationToken"]);}else{new ValidateAntiForgeryTokenAttribute() .OnAuthorization(filterContext);}}}}
修改HomeController Notice方法
[HttpPost]// [ValidateAntiForgeryToken] [MyValidateAntiForgeryToken]public ActionResult Notice(string Notice){ViewBag.Notice = Notice;return Json(new { message = Notice });}