Вступ до КСВР?

CSRF, XSRF або Cross Site Reference Forgery - це тип атаки, який відбувається на веб-сайті, коли шкідливий веб-сайт делегує свій запит на інший веб-сайт або веб-додаток, який має автентифікованого користувача. При такому типі атаки за допомогою автентифікованого браузера жертви зловмисник може отримати доступ до веб-сайту повністю або частково.

Як це працює?

  • Він працює лише за умови автентичності потенційної жертви.
  • Зловмисник може зайти на веб-сайт, обійшовши процес аутентифікації за допомогою CSRF-атаки.
  • Нападів CSRF вживаються у сценаріях, коли жертва, яка має додаткові права, виконує якусь дію, а інші не можуть отримати доступ або виконати ці дії. Наприклад, Інтернет-банкінг.

Напад CSRF виконується у двох основних частинах

  • Перший крок - залучити користувача / жертву, щоб натиснути на посилання або завантажити шкідливу сторінку. Соціальна інженерія використовується зловмисником для обману жертви.
  • Другий крок - обдурити жертву, надіславши підроблений запит у браузер жертви. Це посилання переспрямовує законні запити на веб-сайт. Зловмисник матиме цінності або деталі від жертви, яких він повинен шукати; жертва заповнила б це, вважаючи, що запит є законним. Зловмисник також матиме дані про пов’язані файли cookie з веб-переглядачем жертви.

Основні поняття ЦСР

  • Зловмисник надсилає зловмисні запити на сайт, на якому користувач відвідує зловмисника, вважає, що жертва підтверджена щодо конкретного сайту.
  • Веб-переглядач жертви має автентифікацію щодо цільового сайту та використовується для маршрутизації шкідливих запитів на цільовий сайт.
  • Тут веб-переглядач жертви або веб-сайт із застосованими на ньому профілактичними методами CSRF не є вразливими, головний уразливий стан - це постраждалий сайт.

Як можна запобігти підробці запитів на веб-сайті (CSRF)?

Існує ряд профілактичних методів КСВР, деякі з них:

  • Вийдіть із веб-додатків, не працюючи над ними.
  • Забезпечте свої імена користувачів та паролі.
  • Не дозволяйте браузерам запам’ятовувати пароль.
  • Під час роботи в додатку та входу в нього уникайте перегляду.

Анти-CSRF маркери

Найпоширеніша реалізація для зупинки міжпрофесійного запиту підробки (CSRF) - це використовувати маркер, який стосується вибраного користувача та може бути знайдений як прихована форма у кожному стані, динамічна форма, присутня в онлайн-додатку.

1. Цей маркер, який називають токеном CSRF, працює наступним чином:

  • Клієнт запитує HTML-сторінку, яка має форму.
  • У відповідь на цей запит сервер додає два маркери. Він надсилає один як cookie та зберігає інші маркери у прихованому полі форми. Ці жетони генеруються випадковим чином.
  • Як тільки він подає форму, клієнт надсилає обидва маркера на сервер. Маркер cookie надсилається як маркер, а маркер форми надсилається всередині даних форми
  • Сервер не відповідає або відхиляє запит, якщо в запиті немає обох запитів.

Тепер зловмисник, який намагається підробити запит, повинен буде відгадати маркери анти-CSRF разом із паролями аутентифікації користувача. Ці токени через деякий час втрачаються, а сеанс закінчується. Це змушує нападника відгадати маркер жорстким.

2. Ті ж файли cookie сайту

Існують деякі файли cookie, пов’язані з походженням або веб-сайтом, і коли запит надсилається саме до цього походження, куки надсилаються разом із ним. Такі запити називаються запитами перехресного походження. Під час цього процесу файли cookie надсилаються третім сторонам, що робить можливими атаки CSRF.

3. Той самий атрибут cookie сайту

  • Щоб запобігти атакам CSRF, може використовуватися той самий атрибут cookie сайту. Це вимикає використання сторонніх файлів для певного файлу cookie.
  • Це робиться сервером під час встановлення файлу cookie; Потім він просить браузер надіслати файл cookie лише тоді, коли користувач безпосередньо використовує веб-додаток.
  • Тепер, якщо хтось спробує щось запитати у веб-програми, браузер не надсилатиме файли cookie.
  • Однак перешкоджає нападу CSRF.

Це обмеження, ті ж файли cookie веб-сайтів не підтримуються в сучасних браузерах, тоді як веб-додатки, які використовують файли cookie одного сайту, не підтримуються у старих браузерах.

Приклади КСРР

Нижче ми пояснили кілька прикладів CSRF:

1. Використання GET-запитів:

Припустимо, ви створили та створили веб-сайт bankking.com для здійснення таких операцій, як онлайн-транзакції, використовуючи GET-запити. Тепер розумний зловмисник, який знає, як створити шкідливу URL-адресу, може використовувати елемент, щоб браузер мовчки завантажував сторінку

Приклад елемента зображення HTML, що містить зловмисну ​​URL-адресу:

2. Один із наведених нижче методів можна використовувати для того ж:

  • Надіславши електронний лист із вмістом HTML
  • Посадивши скрипт або шкідливу URL-адресу на сторінки, які користувач, ймовірно, відвідує під час здійснення онлайн-транзакцій.

3. Використання запитів POST

Існує загальна помилка щодо запитів HTTP POST, що атаки CSRF можна запобігти, дозволяючи HTTP POST-запити, що насправді не відповідає дійсності. Зловмисник може створити форму за допомогою HTML або JavaScript і використовувати функцію автоматичного подання для подання POST-запиту, не вимагаючи від користувача натискання кнопки подання.

Висновок

Файли cookie є вразливими, оскільки вони надсилаються автоматично із запитом, що дозволяє зловмисникам реалізовувати CSRF та надсилати шкідливі запити. Ефект вразливості CSRF також залежить від привілею потерпілого, Cookie якого надсилається з проханням зловмисника. Хоча пошук даних не є основною сферою нападу CSRF, зміни стану, безумовно, негативно впливатимуть на використання веб-програми. Тому радимо не допускати використання вашого веб-сайту профілактичних методів для захисту вашого веб-сайту від CSRF.

Рекомендовані статті

Це було керівництвом щодо того, що таке CSRF. Тут ми обговорили Ключову концепцію, токени проти CSRF, її роботу та приклади CSRF. Ви також можете ознайомитися з іншими запропонованими нами статтями, щоб дізнатися більше -

  1. Що таке сплячка Java?
  2. Що таке ASP.NET?
  3. Що таке AWS Lambda?
  4. Що таке XHTML?

Категорія:

Розробка програмного забезпечення