Увод у ЦСРФ?

ЦСРФ, КССРФ или референтна кривотворина различитих локација је врста напада који се дешава на веб локацији када злонамерна веб локација делегира свој захтев на другу веб локацију или веб апликацију која има аутентификованог корисника. Код ове врсте напада, користећи верификовани прегледач жртве, нападач може да приступи веб локацији у потпуности или делимично.

Како то функционише?

  • Делује само ако је потенцијална жртва оверена.
  • Нападач може ући на веб локацију заобилазећи процес провере идентитета помоћу ЦСРФ напада.
  • ЦСРФ напади се користе у сценаријима где жртва која има додатна права извршава неку радњу, а друга не може да приступи тим активностима или их изврши. На пример, интернет банкарство.

Напад ЦСРФ-а изводи се у два главна дела

  • Први корак је привлачење корисника / жртве да кликне на везу или учита страницу која је злонамерна. Нападач користи социјални инжењеринг да би изиграо жртву.
  • Други корак је преварити жртву слањем фалсификованог захтева у прегледач жртве. Ова веза ће преусмерити законите захтеве на веб локацију. Нападач ће имати вредности или детаље од жртве које мора да тражи, жртва би то испунила мислећи да је захтев законит. Нападач ће такође имати детаље повезаних колачића са прегледачем жртве.

Кључни појмови ЦСРФ-а

  • Нападач шаље злонамерне захтеве на веб локацију на којој корисник посећује нападача верује да је жртва потврђена за ту одређену локацију.
  • Прегледник жртве се потврђује против циљаног места и користи се за усмеравање злонамерних захтева на циљно место.
  • Овде није прегледник прегледач жртве или веб локација са ЦСРФ превентивним методама, рањива веб локација је главна рањивост.

Како се може спречити фалсификовање захтева на веб локацији (ЦСРФ)?

Постоји неколико превентивних метода ЦСРФ-а, од којих су неке:

  • Одјавите се са веб апликација док не радите на њима.
  • Осигурајте своја корисничка имена и лозинке.
  • Не дозволите прегледачима да памте лозинку.
  • Док радите у апликацији и пријављујете се на њу, избјегавајте прегледавање.

Анти-ЦСРФ токени

Најчешћа примјена за заустављање захтјева за кривотворење на различитим локацијама (ЦСРФ) је употреба токена који је повезан са одабраним корисником и који се може наћи као скривени облик у сваком стању, динамички облик присутан у мрежној апликацији.

1. Овај знак који се назива ЦСРФ токен делује на следећи начин:

  • Клијент захтева ХТМЛ страницу која има образац.
  • Као одговор на овај захтев, сервер додаје два токена. Један шаље као колачић, а друге токене чува у облику форме који је скривен. Ови токени се генеришу насумично.
  • Клијент шаље оба токена назад на сервер након што преда образац. Токен колачића шаље се као токен, а токен обрасца шаље се унутар података обрасца
  • Сервер не одговара или одбија захтев ако у захтеву нема оба захтева.

Сада нападач који покушава да фалсификује захтев мораће да погоди анти-ЦСРФ токене заједно са корисничким лозинкама за аутентификацију. Ови токени постају неважећи након неког времена и кад сесија заврши. Због тога нападач погоди токен.

2. Колачићи истог сајта

Постоје неки колачићи повезани са пореклом или веб страницом и када се захтев пошаље том одређеном пореклу, колачићи се шаљу заједно са њим. Такви захтеви се називају захтевима унакрсног порекла. Током овог процеса, колачићи се шаљу трећим странама, што омогућава нападе ЦСРФ-а.

3. Исти атрибут колачића на локацији

  • Да би се спречили напади ЦСРФ-а, може се користити исти атрибут колачића колачића. Онемогућује употребу треће стране за одређени колачић.
  • То ради сервер током подешавања колачића; тада од претраживача тражи да колачић пошаље колачић само када корисник директно користи веб апликацију.
  • Ако неко покуша нешто затражити од веб апликације, прегледач неће послати колачић.
  • Међутим, спречава напад ЦСРФ.

Ово има ограничење, исти колачићи на веб локацијама нису подржани у модерним прегледачима, док веб апликације које користе колачиће на истој локацији нису подржане у старијим прегледачима.

Примери ЦСРФ-а

Испод смо објаснили неке примере ЦСРФ-а:

1. Користећи ГЕТ захтеве:

Претпоставимо да сте имплементирали и дизајнирали веб страницу, банк.цом, за обављање радњи попут мрежних трансакција коришћењем ГЕТ захтева. Сада, паметни нападач који зна како да направи злонамерни УРЛ може да користи елемент да би прегледач тихо учитао страницу

Пример елемента ХТМЛ слике који садржи злонамерни УРЛ:

2. Једна од следећих техника може се користити за исто:

  • Слањем е-поште која садржи ХТМЛ садржај
  • Постављањем скрипте или злонамерног УРЛ-а на странице које ће корисник вјероватно посјетити док обавља трансакције на мрежи.

3. Коришћење ПОСТ захтева

Постоји општа заблуда о ХТТП ПОСТ захтевима да се напади ЦСРФ-а могу спречити омогућавањем ХТТП ПОСТ захтева, што заправо није тачно. Нападач може да креира образац помоћу ХТМЛ или ЈаваСцрипт-а и користи функцију аутоматског слања да би предао ПОСТ захтев без да корисник захтева да кликне на дугме за слање.

Закључак

Колачићи су рањиви јер се аутоматски шаљу са захтевом, што омогућава нападачима да примене ЦСРФ и пошаљу злонамерне захтеве. Ефекат ЦСРФ рањивости такође зависи од привилегираности жртве, чији се колачић шаље уз захтев нападача. Иако проналажење података није главни опсег напада ЦСРФ-а, промене стања сигурно ће имати штетне последице на веб апликацију која се користи. Зато се саветује да се веб локација не спречи коришћењем превентивних метода ради заштите ваше веб локације од ЦСРФ-а.

Препоручени чланци

Ово је водич за шта је ЦСРФ. Овде смо разговарали о кључном концепту, анти-ЦСРФ токенима, његовом раду и примерима ЦСРФ-а. Можете и да прођете кроз друге наше Предложене чланке да бисте сазнали више -

  1. Шта је Јава хибернација?
  2. Шта је АСП.НЕТ?
  3. Шта је АВС Ламбда?
  4. Шта је КСХТМЛ?

Категорија:

Развој софтвера