讨论一下本地发起的 POST 能不能算为 CSRF 攻击

[FONG2]

最近集团换了一个安全公司为网站做渗透测试，

出了一份漏洞报告：

大体内容为，黑客可以用 CSRF 方式修改用户个人信息，条件系黑客写好 post form 保存为 test.html 并把 test.html 存放在被攻击者本机，诱导被攻击者打开该文档 或将 test.html 放在我司域名服务器，诱导客户点击

我司网站已经配置了全局 csrf 过滤器，检查 refer 字段匹配白名单

本地首次请求 refer 为空，可以成功 在我司域名服务器 refer 合法，可以成功

但是？？？ 黑进客户电脑 /我司服务器 这种情况来说一个修改个人信息漏洞 没事吧？？

[mitnick]

单从技术角度出发这属于标准的 CSRF 攻击，但是至于说危害和影响，另算

[binux]

你允许 referere 为空，是无法防范「 a 站内嵌 b 站 post，用户登录 b 站并打开 a 站，导致被攻击」的，a 站有很多种方法让 refereer 为空。

[wizardforcel]

算文件上传。

只要你的站点有 XSS 或者文件上传漏洞，所有 CSRF Token 全部白费。

文件上传这种低级漏洞现在都很少见了，不要为了防止高级漏洞而忽视了这种低级的。

[SlipStupig]

@FONG2 既然我能本地执行 js，我肯定会进行权限提升，然后得到你浏览器保存的所有数据，为什么还要绕这么大一个圈呢？

[PHPer233]

即使你用 token 验证也不是绝对安全。如果你的网站存在 xss 漏洞，那么黑客可以通过 ajax 获取 token，然后再通过 ajax 自动发送 http 请求。全过程用户毫无感知～我建议所有的敏感操作都要附带 token，从一定程度上防止 csrf 攻击。