php - 带有javascript的动态xsrf

Question

我只是想知道是否有可能对这个进行 xsrf 攻击:

<form ...>
<input type="hidden" name="token" value="xsrf-generated-token" />
... fields+submit button ...
</form>

使用 javascript - 比如:

• 攻击者将我带到他的网站
• 然后他用 GET/admin/users/test/edit 调用 javascript
• 他解析 xsrf token (使用正则表达式 - 由于同源策略，dom 无法工作)
• 并发送签名编辑...

不应该 GET/admin/users/test/edit 也由 token 签名吗？

Answer 1

原因是正常的ajax请求(使用XHR)受限于the same origin policy .所以这意味着为了让它起作用，您首先需要利用 XSS 漏洞，然后才能执行 CSRF 漏洞。

现在看来，JSONP 可能是一种解决方法。但事实并非如此。由于 JSONP 使用脚本标签，请求的结果将被直接输入。并且由于结果是 HTML 而不是 JS，因此应该抛出语法错误。

因此，如果不先破坏网站本身，就没有办法获得 token 。但是需要注意两点，这一切都取决于:

1. 所有浏览器都正确实现同源策略保护

2. 您没有通过 JSON 将 token 传递给表单(因为如果您这样做，JSONP 将能够读取它)。