Các dịch vụ web JSON có dễ bị tấn công CSRF không?

Tôi đang xây dựng một dịch vụ web sử dụng riêng JSON cho nội dung yêu cầu và phản hồi của nó (tức là không có tải trọng được mã hóa biểu mẫu).

Một dịch vụ web có dễ bị tấn công CSRF không nếu những điều sau là đúng?

1. POSTVí dụ: bất kỳ yêu cầu nào không có đối tượng JSON cấp cao nhất {"foo":"bar"}sẽ bị từ chối với 400. Ví dụ: một POSTyêu cầu có nội dung 42sẽ bị từ chối.

2. Bất kỳ POSTyêu cầu nào có loại nội dung khác application/jsonsẽ bị từ chối với 400. Ví dụ: một POSTyêu cầu có loại nội dung application/x-www-form-urlencodedsẽ bị từ chối.

3. Tất cả các yêu cầu GET sẽ An toàn và do đó không sửa đổi bất kỳ dữ liệu phía máy chủ nào.

4. Khách hàng được xác thực thông qua cookie phiên mà dịch vụ web cung cấp cho họ sau khi họ cung cấp cặp tên người dùng / mật khẩu chính xác thông qua POST với dữ liệu JSON, chẳng hạn {"username":"user@example.com", "password":"my password"}.

Câu hỏi phụ: Các yêu cầu PUTvà DELETEcó bao giờ dễ bị tấn công bởi CSRF không? Tôi hỏi vì có vẻ như hầu hết (tất cả?) Trình duyệt không cho phép các phương pháp này trong các biểu mẫu HTML.

CHỈNH SỬA: Đã thêm mục # 4.

CHỈNH SỬA: Cho đến nay, có rất nhiều nhận xét và câu trả lời tốt, nhưng không ai đưa ra một cuộc tấn công CSRF cụ thể mà dịch vụ web này dễ bị tấn công.

Rèn yêu cầu CSRF tùy ý với các loại phương tiện truyền thông tùy ý là hiệu quả chỉ có thể với XHR, bởi vì một phương pháp của hình thức được giới hạn GET và POST và một nội dung thư POST của hình thức cũng giới hạn trong ba định dạng application/x-www-form-urlencoded, multipart/form-datavàtext/plain . Tuy nhiên, với mã hóa dữ liệu biểu mẫu text/plain, vẫn có thể giả mạo các yêu cầu chứa dữ liệu JSON hợp lệ .

Vì vậy, mối đe dọa duy nhất đến từ các cuộc tấn công CSRF dựa trên XHR. Và những điều đó sẽ chỉ thành công nếu chúng có cùng nguồn gốc, vì vậy về cơ bản từ trang web của bạn bằng cách nào đó (ví dụ: XSS). Hãy cẩn thận để không nhầm lẫn khi tắt CORS (tức là không đặt Access-Control-Allow-Origin: *) làm biện pháp bảo vệ. CORS chỉ đơn giản là ngăn không cho khách hàng đọc phản hồi. Toàn bộ yêu cầu vẫn được máy chủ gửi và xử lý.

Có, nó là có thể. Bạn có thể thiết lập một máy chủ của kẻ tấn công, máy chủ này sẽ gửi lại chuyển hướng 307 đến máy chủ đích đến máy nạn nhân. Bạn cần sử dụng flash để gửi ĐĂNG thay vì sử dụng Biểu mẫu.

Tham khảo: https://bugzilla.mozilla.org/show_bug.cgi?id=1436241

Nó cũng hoạt động trên Chrome.

Có thể thực hiện CSRF trên các dịch vụ Restful dựa trên JSON bằng cách sử dụng Ajax. Tôi đã thử nghiệm điều này trên một ứng dụng (sử dụng cả Chrome và Firefox). Bạn phải thay đổi contentType thành văn bản / thuần túy và dataType thành JSON để đáp ứng yêu cầu preflight. Sau đó, bạn có thể gửi yêu cầu, nhưng để gửi sessiondata, bạn cần đặt cờ withCredentials trong yêu cầu ajax của mình. Tôi thảo luận chi tiết hơn về vấn đề này ở đây (bao gồm tài liệu tham khảo):

http://wsecblog.blogspot.be/2016/03/csrf-with-json-post-via-ajax.html

Tôi có một số nghi ngờ liên quan đến điểm 3. Mặc dù nó có thể được coi là an toàn vì nó không làm thay đổi dữ liệu ở phía máy chủ, nhưng dữ liệu vẫn có thể được đọc và rủi ro là chúng có thể bị đánh cắp.

http://haacked.com/archive/2008/11/20/anatomy-of-a-subtle-json-vulnerability.aspx/

Một dịch vụ web có dễ bị tấn công CSRF không nếu những điều sau là đúng?

Đúng. Nó vẫn là HTTP.

Các yêu cầu PUT và DELETE có bao giờ dễ bị CSRF không?

Đúng

có vẻ như hầu hết (tất cả?) trình duyệt không cho phép các phương pháp này trong các biểu mẫu HTML

Bạn có nghĩ rằng trình duyệt là cách duy nhất để thực hiện một yêu cầu HTTP không?