移动应用中的 CSRF

情况:

Alice 使用一个在线银行网站，该网站存储了她的凭据 cookie。

在 cookie 过期之前，Eve 向 Alice 发送了一个恶意 URL，该 URL 随后导致 Alice 从她的银行帐户中提取资金并将其发送给 Eve。

这是 Web 应用程序的常见 CSRF 示例，但在移动应用程序内部执行此操作的可行性如何？

如果 Alice 在她的手机上使用存储 cookie 的银行应用程序，然后访问 Eve 的一个具有类似结果的网站，该怎么办？

来自本机（或混合）应用程序的 Alice 移动设备上的 cookie 是否容易受到操纵，或者这些 cookie 通常是否以某种方式存放在设备上的沙箱中？

我假设 iOS、Android 等设备上的 cookie 与普通浏览器的工作方式相同，但实际上是这样吗？

EDIT:

这个问题最初是针对所有移动设备的通用问题。我相信，即使是在 JavaScript 中创建 cookie，然后使用 PhoneGap 或 Titanium 之类的东西也可能是相关的。在阅读了更多内容后，我也很好奇使用这些其他技术之一编译 JavaScript 是否会影响本机设备的 cookie 及其存储方式。

使用 cookie 的主要目的是维护用户的凭据，这样他们就不必每次都使用其银行帐户注销并重新登录。在阅读了有关此问题的更多信息后，似乎每个特定设备都有不同的场景，并且实际上可以对应用程序进行 CSRF。举个例子，共享偏好设置 https://stackoverflow.com/questions/785973/what-is-the-most-appropriate-way-to-store-user-settings-in-android-applicationAndroid 中的值是沙盒的，以防止其他应用程序访问这些值。

来自本机（或混合）应用程序的 Alice 移动设备上的 cookie 是否容易受到操纵，或者这些 cookie 通常是否以某种方式存放在设备上的沙箱中？

CSRF 攻击涉及一个应用程序：浏览器。您提出的攻击涉及两个独立的应用程序：银行应用程序和浏览器。

一般来说，单独的应用程序是单独的。 Safari 不会与 Firefox 共享数据，即使两者都安装在同一台 OS X 计算机上。现在，其中一个或另一个可能存在错误，这些错误可能允许 JS 不受限制地访问操作系统文件系统，从而允许 Safari 中的网站访问 Firefox 的数据（反之亦然），但这与 CSRF 并不真正相关。

同样的事情也适用于任何现代操作系统上的任何单独的应用程序。

我相信，即使是在 JavaScript 中创建 cookie，然后使用 PhoneGap 或 Titanium 之类的东西也可能是相关的。

事实并非如此，就像 Safari 拥有 cookie 和 Firefox 拥有 cookie 之间存在某种联系一样。

实际上可以对应用程序进行 CSRF

欢迎您提供您的主张的证据，或者提供您对 CSRF 的个人定义，其中包括 Safari 攻击 Firefox 等场景。

例如，Android 中的共享首选项被沙盒化，以防止其他应用程序访问这些值。

正确的。这个和CSRF关系不大。

就 Android 而言，创建和存储 cookie 的方式似乎在攻击中确实很重要，而且它可能存在漏洞。

同样，我们欢迎您提供您的主张的证据，或者提供您对 CSRF 的个人定义，其中包括 Safari 攻击 Firefox 等场景。

尽管对设备的物理访问会导致安全问题

远程传送技术尚待开发，该技术允许 CSRF 导致移动设备物理改变其位置，从而对物理访问产生影响。