security - 了解CSRF

Question

我不明白使用“挑战 token ”会增加什么预防措施:将什么值(value)与什么相比？

从OWASP:

In general, developers need only generate this token once for the current session. After initial generation of this token, the value is stored in the session and is utilized for each subsequent request until the session expires.

如果我正确理解该过程，就会发生这种情况。

我登录 http://example.com并创建一个包含此随机 token 的 session / cookie。然后，每个表单都包含一个隐藏的输入，该隐藏的输入也包含 session 中的该随机值，并将其与表单提交时的 session / cookie进行比较。

但是，那完成了什么呢？您不是只是获取 session 数据，将其放入页面中，然后将其与完全相同的 session 数据进行比较吗？好像是循环推理。这些文章一直在谈论遵循“同源策略”，但这没有任何意义，因为所有CSRF攻击都与用户具有相同的起源，只是诱使用户执行他/她不想要的操作。

除了将 token 作为查询字符串附加到每个URL之外，还有其他选择吗？看起来非常丑陋且不切实际，并且使用户难以添加书签。

Answer 1

攻击者无法获取 token 。因此，请求将不会生效。

我推荐这篇来自Gnucitizen的帖子。它有一个相当不错的CSRF解释:http://www.gnucitizen.org/blog/csrf-demystified/