没有Cookie可以实现CSRF吗？

Question

我已经调查了一段时间,但我没有发现任何东西来满足我的好奇心.作为用户,如果禁用cookie,是否可能成为CSRF攻击的受害者.显然,CSRF依赖于用户浏览器将带有伪造请求的用户凭证发送到合法服务器.除了IP地址,浏览器不会自动发送任何其他会话值吗？在这种情况下,只要用户可以使用禁用的cookie登录,即使在易受攻击的网站上,他们也可以安全地使用CSRF.

Answer 1

浏览器还支持其他形式的身份验证，特别是 HTTP Basic 和 HTTP Digest，以及 SSL/TLS 客户端证书。不幸的是，使用这些机制时“注销”的界面通常相当差。与 cookie 和表单不同，停止使用凭据是由浏览器控制的（而不是由服务器及其 cookie 控制），但按钮通常最多位于某些高级菜单中（如果它们存在的话）。

Answer 2

所以，你必须问自己服务器如何从另一个客户端知道一个客户端？在大多数情况下，它是会话 cookie，但也有其他方式。

考虑一个管理应用程序，该应用程序配置为仅在从本地主机访问时才工作。在这里，服务器信任浏览器的 IP 地址。现在，如果攻击者创建了一个类似 的页面<img src="http://localhost/do/something/harmful"/>，并以某种方式让管理员访问他的页面，那么您就有了一个 CSRF。

正如布鲁诺已经指出的那样，其他示例包括滥用 Http 基本和摘要身份验证。