Межсайтовая подделка запросов (CSRF, CWE-352): как работает и как предотвратить

Ключевые понятия и термины

Фоновые учётные данные

Браузеры прикладывают cookie и HTTP-аутентификацию к запросам на сайт независимо от того, какая страница их запустила. Запрос с evil.example на app.example всё равно несёт cookie сессии app.example, если его не блокирует атрибут cookie SameSite.

Атрибут cookie SameSite

Strict не отправляет cookie ни в одном межсайтовом запросе, Lax отправляет его только при переходах верхнего уровня методом GET, а None отправляет всегда (и требует Secure). Chromium считает cookie без атрибута Lax, Firefox и Safari — нет, а «тот же сайт» включает и соседние поддомены.

Синхронизирующий токен

Случайное значение, привязанное к сессии, которое сервер вставляет в каждую форму или страницу и требует в каждом небезопасном запросе. Чужой сайт не может его прочитать и поэтому не может подделать корректный запрос. CSRFProtect из Flask-WTF выдаёт его через csrf_token() и проверяет поле csrf_token или заголовок X-CSRFToken.

Fetch Metadata (Sec-Fetch-Site)

Современные браузеры отправляют в каждом запросе Sec-Fetch-Site: cross-site, same-site, same-origin или none, и страницы не могут его подделать. Отклонение небезопасных методов, не являющихся same-origin, блокирует CSRF одной проверкой на сервере.

Изменение состояния через GET

Маршрут, меняющий данные по GET, можно запустить тегом <img> или ссылкой, а SameSite=Lax всё равно отправляет cookie при переходах верхнего уровня методом GET. Чтение request.values принимает не только тело формы, но и строку запроса.

Пошаговый сценарий атаки

Исходный код: Уязвимый vs Защищённый вариант

# app.py: cookie сессии — единственное доказательство, что пользователь этого хотел
import os

from flask import Flask, abort, request, session

from .db import db

app = Flask(__name__)
app.config.update(
    SECRET_KEY=os.environ["FLASK_SECRET_KEY"],
    SESSION_COOKIE_SECURE=True,
    SESSION_COOKIE_SAMESITE="None",
)


# GET тоже работает, а request.values читает ещё и строку запроса
@app.route("/account/email", methods=["GET", "POST"])
def change_email():
    user_id = session.get("user_id")
    if user_id is None:
        abort(401)
    db.execute("UPDATE users SET email = ? WHERE id = ?", (request.values["email"], user_id))
    return {"status": "ok"}

# app.py: токен, cookie с SameSite и Fetch Metadata вместе
import os

from flask import Flask, abort, request, session
from flask_wtf.csrf import CSRFProtect

from .db import db

app = Flask(__name__)
app.config.update(
    SECRET_KEY=os.environ["FLASK_SECRET_KEY"],
    SESSION_COOKIE_SECURE=True,
    SESSION_COOKIE_HTTPONLY=True,
    SESSION_COOKIE_SAMESITE="Lax",
)
# каждому POST нужен csrf_token; формы выводят {{ csrf_token() }}, fetch() шлёт X-CSRFToken
csrf = CSRFProtect(app)


# запись, запущенная другим сайтом, отклоняется до выполнения маршрута
@app.before_request
def reject_cross_site_writes():
    if request.method not in ("GET", "HEAD", "OPTIONS"):
        if request.headers.get("Sec-Fetch-Site", "same-origin") not in ("same-origin", "none"):
            abort(403)


# только POST, данные из тела формы
@app.post("/account/email")
def change_email():
    user_id = session.get("user_id")
    if user_id is None:
        abort(401)
    db.execute("UPDATE users SET email = ? WHERE id = ?", (request.form["email"], user_id))
    return {"status": "ok"}

Чек-лист по защите системы для инженеров

• Меняйте состояние только методами POST, PUT, PATCH или DELETE и читайте данные формы из тела (request.form), а не из request.values или строки запроса.
• Включите CSRF-middleware фреймворка для всего приложения (CSRFProtect, CsrfViewMiddleware в Django, csrf() в Spring Security) и добавляйте токен в каждую форму и каждый AJAX-запрос.
• Задавайте cookie сессии атрибуты Secure, HttpOnly и SameSite=Lax или Strict; используйте SameSite=None только для cookie, которые должны работать во встроенных фреймах чужих сайтов.
• Отклоняйте небезопасные запросы, у которых заголовок Sec-Fetch-Site равен cross-site или same-site.
• Добавьте в CI тест, который отправляет каждому изменяющему состояние маршруту запрос без токена и ожидает 400 или 403.

Источники

• CWE-352: Cross-Site Request Forgery (CSRF)
• OWASP Cross-Site Request Forgery Prevention Cheat Sheet
• Flask-WTF — CSRF Protection
• MDN — Sec-Fetch-Site
• MDN — Set-Cookie: SameSite