Что такое CSRF (Cross-Site Request Forgery)?

CSRF (Cross-Site Request Forgery)

CSRF — это тип атаки, при которой злоумышленник заставляет пользователя выполнить нежелательные действия в веб-приложении, где пользователь в данный момент аутентифицирован.

Как работает CSRF

Пользователь аутентифицирован на сайте A
Пользователь посещает злонамеренный сайт B
Сайт B отправляет запрос на сайт A от имени пользователя
Браузер автоматически добавляет cookies для сайта A
Сайт A выполняет действие, думая что запрос от пользователя

Пример CSRF атаки

<!-- Злонамеренная страница -->
<img src="https://bank.com/transfer?to=attacker&amount=1000" />

<!-- Или через форму -->
<form action="https://bank.com/transfer" method="POST" style="display:none;">
  <input name="to" value="attacker" />
  <input name="amount" value="1000" />
  <input type="submit" />
</form>
<script>
  document.forms[0].submit();
</script>

Методы защиты от CSRF

CSRF токены — уникальные токены для каждого запроса
SameSite cookies — ограничение отправки cookies
Referer проверка — проверка источника запроса
Double Submit Cookies — токен в cookie и параметре
Custom Headers — добавление кастомных заголовков

CSRF Token реализация

# Django пример
<form method="post">
  {% csrf_token %}
  <input name="email" type="email" />
  <button type="submit">Subscribe</button>
</form>

# Express.js с csurf middleware
const csrf = require('csurf');
const csrfProtection = csrf({ cookie: true });

app.use(csrfProtection);

app.get('/form', (req, res) => {
  res.render('form', { csrfToken: req.csrfToken() });
});

SameSite Cookies

1# Установка SameSite атрибута
2Set-Cookie: sessionid=abc123; SameSite=Strict
3Set-Cookie: sessionid=abc123; SameSite=Lax
4Set-Cookie: sessionid=abc123; SameSite=None; Secure

# Express.js настройка
app.use(session({
  cookie: {
    sameSite: 'strict', // или 'lax', 'none'
    secure: true, // только для HTTPS
    httpOnly: true
  }
}));

Проверка Referer заголовка

// Node.js пример
function checkReferer(req, res, next) {
  const referer = req.get('Referer');
  const host = req.get('Host');

  if (!referer || !referer.includes(host)) {
    return res.status(403).send('Invalid referer');
  }

  next();
}

Тестирование на CSRF

Создайте форму на стороннем сайте
Попробуйте выполнить действия без CSRF токена
Используйте инструменты как Burp Suite, OWASP ZAP
Проверьте настройки SameSite cookies

FAQ

В чем разница между CSRF и XSS?

XSS выполняет код в браузере жертвы на том же сайте, CSRF заставляет браузер выполнить запрос на другой сайт от имени пользователя.