【SEED Labs 2.0】实战解析：从GET到POST的CSRF攻击与防御

1. 实验环境准备与HTTP请求初探

大家好，我是你们的老朋友，一个在网络安全领域摸爬滚打了十多年的技术老兵。今天咱们不聊那些虚头巴脑的理论，直接上手，通过一个非常经典的SEED Labs 2.0实验环境，来把CSRF攻击从原理到实战，再到防御，彻底搞明白。这个实验环境搭建起来不复杂，但里面蕴含的攻防思想，对于理解现代Web安全至关重要。我会用最直白的话，带你一步步操作，保证你跟着做一遍，就能把CSRF攻击的“任督二脉”给打通了。

首先，咱们得把实验场子搭起来。SEED Labs提供了一个基于Docker的预配置环境，里面跑着一个叫Elgg的开源社交网络应用，这玩意儿就相当于咱们要攻击的“靶场”。你需要准备一台Linux机器，我习惯用Ubuntu。第一步，修改系统的hosts文件，把几个域名指向我们实验环境的IP地址。打开终端，输入sudo vim /etc/hosts，在文件末尾加上这么几行：

10.9.0.5 www.seed-server.com
10.9.0.5 www.example32.com
10.9.0.105 www.attacker32.com

简单解释一下，www.seed-server.com就是咱们要攻击的正规社交网站，www.attacker32.com是攻击者控制的恶意网站，而www.example32.com是用来演示SameSite Cookie特性的。IP地址根据你实验环境的实际配置来，别照抄。改完之后保存退出。接下来，进入到实验的Docker Compose文件所在目录，运行dcbuild和dcup命令（这是SEED环境提供的快捷命令，本质上是docker-compose build和docker-compose up）。看到一堆容器启动成功的日志，环境就算跑起来了。

现在，打开你的浏览器，访问http://www.seed-server.com。你应该能看到Elgg的登录界面。用实验手册提供的账号（比如Alice，密码是seedalice）登录进去看看。为了能看清浏览器和服务器之间到底在“嘀咕”些什么，我强烈建议你安装一个叫“HTTP Header Live”的浏览器插件。这工具就像个“窃听器”，能实时显示浏览器发出的每一个HTTP请求的详细信息，包括方法、URL、请求头、Cookie等等。登录成功后，你在这个插件里能看到一个POST请求，里面包含了你的用户名、密码，还有服务器返回的用于维持登录状态的Session Cookie。这就是最基础的HTTP请求观察，GET请求通常用于获取数据，比如点击一个链接；POST请求则用于提交数据，比如修改个人资料、发表评论。理解这两种请求的差异，是理解CSRF攻击的第一步，因为攻击手法会因请求方法的不同而有所变化。

2. 利用GET请求发起CSRF攻击

好了，热身结束，咱们进入正题。第一个实战任务，是利用GET请求发起一次CSRF攻击。场景是这样的：咱们扮演一个“坏蛋”用户，叫Samy。我们的目标是让另一个用户Alice，在不知情的情况下，把Samy加为好友。听起来是不是有点“社交工程”的味道？但咱们完全不用骗Alice去点任何按钮，一切都在后台静默完成。

首先，用Samy的账号（密码seedpass）登录www.seed-server.com。登录后，咱们先得搞清楚“加好友”这个功能是怎么工作的。你点进Alice的个人主页，找到“Add Friend”按钮，别急着点，先打开“HTTP Header Live”插件，然后再点击。神奇的事情发生了，你会在插件里看到一个瞬间闪过的HTTP请求。仔细看，这个请求的方法是GET，请求的URL大概长这样：http://www.seed-server.com/action/friends/add?friend=56&__elgg_ts=...&__elgg_token=...。你看，关键信息就在URL里：friend=56。这个56就是Alice的用户ID。服务器一看这个请求，发现是已经登录的Samy发起的，要把用户ID为56的人加为好友，于是就执行了。

那攻击思路就来了：如果我们能伪造一个来自Alice浏览器的、指向这个URL的GET请求，不就能让Alice把Samy加为好友了吗？但问题来了，我们得知道Samy自己的用户ID是多少。这个不难，Elgg有个“Members”页面，列出了所有用户。你打开浏览器开发者工具（F12），查看这个页面的网络请求或者直接看页面源码，会发现每个用户的ID就明明白白地写在HTML里。比如，我们找到了Samy的ID是59。

最精妙的一步来了：我们不需要去黑掉服务器，也不需要懂什么高深的漏洞。我们只需要在Samy的个人资料描述里，写上一段HTML代码。因为Elgg默认可能没有对个人资料的HTML输出做严格的过滤（这在实验环境中是故意为之的）。我们在Samy的“About me”描述栏里，输入这样一行代码：<img src="http://www.seed-server.com/action/friends/add?friend=59" width="0" height="0">。这行代码的作用是插