CSRF 跨站請求偽造攻擊原理與用戶端十大防範習慣

攻擊原理

CSRF (Cross Site Request Forgery) 讓攻擊者偽造客戶端請求。普林斯頓研究發現許多知名站點（含 ING）存在漏洞，嚴重可導致帳戶被搬空。

例：你先登入信用卡網站（記錄認證資訊於 Cookie），後訪問被駭客處理過的偽 YouTube 頁面（外觀正常、甚至有正常影片），頁面內部（Flash/影片/腳本）向駭客信箱發送攜帶你信用卡認證資訊的郵件，駭客即獲認證資訊接管帳戶。

CSRF 難防範，目前無良好監測方法。可行防範：

• 不使用網銀（玩笑）。
• 定期修改密碼——安全學首推。
• 敏感操作後主動清理歷史、Cookie、表單、密碼記錄，並重啟瀏覽器再訪其他站點。
• 保持瀏覽器、作業系統、殺毒、防火牆補丁更新。
• 不訪問來源不明網站，善用 IE7 站點驗證或 Google Toolbar 識別非法站點。
• 使用帶「隱私瀏覽」功能的瀏覽器（Safari/IE8 InPrivate/Chrome Incognito），不留痕跡，CSRF 拿不到有用資訊。
• 瀏覽器警告「連結與憑證域名不符」時立即關閉或返回。
• 管理 Cookie：IE6 工具 → 網際網路選項 → 隱私，六級滑桿調整；「編輯」可針對特定網址允許/拒絕 Cookie。
• 禁用/限制 Java 與 ActiveX（可能導致部分正常站點錯誤）。
• 定期清除歷史記錄（建議每周一次），點擊「清除表單」「清除密碼」。

說穿了不神秘，核心是提高安全意識，藏好敏感資訊不讓駭客接觸。