CSRF (Cross Site Request Forgery)
Dołącz do HackenProof Discord serwera, aby komunikować się z doświadczonymi hackerami i łowcami bugów!
Wgląd w hacking Zaangażuj się w treści, które zgłębiają emocje i wyzwania związane z hackingiem
Aktualności o hackingu w czasie rzeczywistym Bądź na bieżąco z dynamicznym światem hackingu dzięki aktualnym wiadomościom i wglądom
Najnowsze ogłoszenia Bądź informowany o najnowszych programach bug bounty oraz istotnych aktualizacjach platform
Dołącz do nas na Discord i zacznij współpracować z najlepszymi hackerami już dziś!
Wyjaśnienie Cross-Site Request Forgery (CSRF)
Cross-Site Request Forgery (CSRF) to rodzaj luki w zabezpieczeniach, która występuje w aplikacjach internetowych. Umożliwia atakującym wykonywanie działań w imieniu nieświadomych użytkowników, wykorzystując ich uwierzytelnione sesje. Atak jest realizowany, gdy użytkownik, który jest zalogowany na platformie ofiary, odwiedza złośliwą stronę. Strona ta następnie wywołuje żądania do konta ofiary za pomocą metod takich jak wykonywanie JavaScript, przesyłanie formularzy lub pobieranie obrazów.
Wymagania wstępne do ataku CSRF
Aby wykorzystać lukę CSRF, musi być spełnionych kilka warunków:
Zidentyfikuj cenną akcję: Atakujący musi znaleźć akcję wartą wykorzystania, taką jak zmiana hasła użytkownika, adresu e-mail lub podniesienie uprawnień.
Zarządzanie sesją: Sesja użytkownika powinna być zarządzana wyłącznie za pomocą ciasteczek lub nagłówka HTTP Basic Authentication, ponieważ inne nagłówki nie mogą być manipulowane w tym celu.
Brak nieprzewidywalnych parametrów: Żądanie nie powinno zawierać nieprzewidywalnych parametrów, ponieważ mogą one uniemożliwić atak.
Szybka kontrola
Możesz złapać żądanie w Burp i sprawdzić zabezpieczenia CSRF, a aby przetestować z przeglądarki, możesz kliknąć Kopiuj jako fetch i sprawdzić żądanie:
Ochrona przed CSRF
Można wdrożyć kilka środków zaradczych, aby chronić przed atakami CSRF:
Ciasteczka SameSite: Atrybut ten zapobiega przeglądarce w wysyłaniu ciasteczek wraz z żądaniami między witrynami. Więcej o ciasteczkach SameSite.
Udostępnianie zasobów między źródłami: Polityka CORS witryny ofiary może wpływać na wykonalność ataku, szczególnie jeśli atak wymaga odczytania odpowiedzi z witryny ofiary. Dowiedz się o obejściu CORS.
Weryfikacja użytkownika: Prośba o hasło użytkownika lub rozwiązanie captcha może potwierdzić intencje użytkownika.
Sprawdzanie nagłówków Referrer lub Origin: Walidacja tych nagłówków może pomóc upewnić się, że żądania pochodzą z zaufanych źródeł. Jednak staranne konstruowanie adresów URL może obejść źle wdrożone kontrole, takie jak:
Użycie
http://mal.net?orig=http://example.com
(adres URL kończy się zaufanym adresem URL)Użycie
http://example.com.mal.net
(adres URL zaczyna się zaufanym adresem URL)Modyfikacja nazw parametrów: Zmiana nazw parametrów w żądaniach POST lub GET może pomóc w zapobieganiu zautomatyzowanym atakom.
Tokeny CSRF: Wprowadzenie unikalnego tokena CSRF w każdej sesji i wymaganie tego tokena w kolejnych żądaniach może znacznie zmniejszyć ryzyko CSRF. Skuteczność tokena można zwiększyć, egzekwując CORS.
Zrozumienie i wdrożenie tych zabezpieczeń jest kluczowe dla utrzymania bezpieczeństwa i integralności aplikacji internetowych.
Obejście zabezpieczeń
Z POST do GET
Może się zdarzyć, że formularz, który chcesz wykorzystać, jest przygotowany do wysyłania żądania POST z tokenem CSRF, ale powinieneś sprawdzić, czy GET jest również ważny i czy podczas wysyłania żądania GET token CSRF nadal jest weryfikowany.
Brak tokena
Aplikacje mogą wdrożyć mechanizm do walidacji tokenów, gdy są obecne. Jednak luka powstaje, jeśli walidacja jest całkowicie pomijana, gdy token jest nieobecny. Atakujący mogą to wykorzystać, usuwając parametr, który przenosi token, a nie tylko jego wartość. Pozwala to na ominięcie procesu walidacji i skuteczne przeprowadzenie ataku Cross-Site Request Forgery (CSRF).
Token CSRF nie jest powiązany z sesją użytkownika
Aplikacje niepowiązujące tokenów CSRF z sesjami użytkowników stanowią znaczące ryzyko bezpieczeństwa. Te systemy weryfikują tokeny w stosunku do globalnej puli, zamiast zapewnić, że każdy token jest związany z inicjującą sesją.
Oto jak atakujący to wykorzystują:
Uwierzytelnij się używając własnego konta.
Uzyskaj ważny token CSRF z globalnej puli.
Użyj tego tokena w ataku CSRF przeciwko ofierze.
Ta luka pozwala atakującym na składanie nieautoryzowanych żądań w imieniu ofiary, wykorzystując niewystarczający mechanizm walidacji tokenów aplikacji.
Obejście metody
Jeśli żądanie używa "dziwnej" metody, sprawdź, czy funkcjonalność przełamywania metody działa. Na przykład, jeśli używa metody PUT, możesz spróbować użyć metody POST i wysłać: https://example.com/my/dear/api/val/num?_method=PUT
Może to również działać, wysyłając parametr _method wewnątrz żądania POST lub używając nagłówków:
X-HTTP-Method
X-HTTP-Method-Override
X-Method-Override
Obejście tokena nagłówka niestandardowego
Jeśli żądanie dodaje niestandardowy nagłówek z tokenem do żądania jako metodę ochrony CSRF, to:
Przetestuj żądanie bez Niestandardowego Tokena i również nagłówka.
Przetestuj żądanie z dokładnie tą samą długością, ale innym tokenem.
Token CSRF jest weryfikowany przez ciasteczko
Aplikacje mogą wdrożyć ochronę CSRF, duplikując token zarówno w ciasteczku, jak i w parametrze żądania lub ustawiając ciasteczko CSRF i weryfikując, czy token wysłany w backendzie odpowiada wartości w ciasteczku. Aplikacja weryfikuje żądania, sprawdzając, czy token w parametrze żądania zgadza się z wartością w ciasteczku.
Jednak ta metoda jest podatna na ataki CSRF, jeśli witryna ma luki pozwalające atakującemu na ustawienie ciasteczka CSRF w przeglądarce ofiary, takie jak luka CRLF. Atakujący mogą to wykorzystać, ładując zwodniczy obraz, który ustawia ciasteczko, a następnie inicjując atak CSRF.
Poniżej znajduje się przykład, jak atak mógłby być skonstruowany:
Zauważ, że jeśli token csrf jest powiązany z ciasteczkiem sesji, ta atak nie zadziała, ponieważ będziesz musiał ustawić sesję ofiary, a tym samym będziesz atakować siebie.
Zmiana Content-Type
Zgodnie z tym, aby uniknąć zapytań preflight używając metody POST, dozwolone wartości Content-Type to:
application/x-www-form-urlencoded
multipart/form-data
text/plain
Jednakże, zauważ, że logika serwera może się różnić w zależności od używanego Content-Type, więc powinieneś spróbować wymienionych wartości oraz innych, takich jak application/json
,text/xml
, application/xml
.
Przykład (z tutaj) wysyłania danych JSON jako text/plain:
Ominięcie żądań wstępnych dla danych JSON
Podczas próby wysłania danych JSON za pomocą żądania POST, użycie Content-Type: application/json
w formularzu HTML nie jest bezpośrednio możliwe. Podobnie, wykorzystanie XMLHttpRequest
do wysłania tego typu treści inicjuje żądanie wstępne. Niemniej jednak, istnieją strategie, które mogą potencjalnie obejść to ograniczenie i sprawdzić, czy serwer przetwarza dane JSON niezależnie od Content-Type:
Użyj alternatywnych typów treści: Zastosuj
Content-Type: text/plain
lubContent-Type: application/x-www-form-urlencoded
, ustawiającenctype="text/plain"
w formularzu. To podejście testuje, czy backend wykorzystuje dane niezależnie od Content-Type.Zmień typ treści: Aby uniknąć żądania wstępnego, zapewniając jednocześnie, że serwer rozpoznaje treść jako JSON, możesz wysłać dane z
Content-Type: text/plain; application/json
. To nie wywołuje żądania wstępnego, ale może być poprawnie przetwarzane przez serwer, jeśli jest skonfigurowany do akceptacjiapplication/json
.Wykorzystanie pliku SWF Flash: Mniej powszechny, ale wykonalny sposób polega na użyciu pliku SWF flash, aby obejść takie ograniczenia. Aby uzyskać szczegółowe informacje na temat tej techniki, zapoznaj się z tym postem.
Ominięcie sprawdzania Referrer / Origin
Unikaj nagłówka Referrer
Aplikacje mogą weryfikować nagłówek 'Referer' tylko wtedy, gdy jest obecny. Aby zapobiec wysyłaniu tego nagłówka przez przeglądarkę, można użyć następującego tagu meta HTML:
To zapewnia, że nagłówek 'Referer' jest pomijany, co potencjalnie omija kontrole walidacji w niektórych aplikacjach.
Obejścia Regexp
URL Format BypassAby ustawić nazwę domeny serwera w URL, który Referrer ma wysłać w parametrach, możesz to zrobić:
Obejście metody HEAD
Pierwsza część tego opisu CTF wyjaśnia, że kod źródłowy Oaka, router jest ustawiony na obsługę żądań HEAD jako żądań GET bez ciała odpowiedzi - powszechne obejście, które nie jest unikalne dla Oaka. Zamiast konkretnego handlera, który zajmuje się żądaniami HEAD, są one po prostu przekazywane do handlera GET, ale aplikacja po prostu usuwa ciało odpowiedzi.
Dlatego, jeśli żądanie GET jest ograniczone, możesz po prostu wysłać żądanie HEAD, które zostanie przetworzone jako żądanie GET.
Przykłady Eksploatacji
Ekstrakcja tokena CSRF
Jeśli token CSRF jest używany jako ochrona, możesz spróbować ekstrahować go, wykorzystując lukę XSS lub lukę Dangling Markup.
GET przy użyciu tagów HTML
Inne tagi HTML5, które można wykorzystać do automatycznego wysyłania żądania GET, to:
Żądanie GET formularza
Żądanie POST formularza
Wysłanie żądania POST formularza przez iframe
Żądanie POST Ajax
multipart/form-data POST request
multipart/form-data POST request v2
Wniosek POST formularza z wnętrza iframe
Kradzież tokena CSRF i wysłanie żądania POST
Kradzież tokena CSRF i wysłanie żądania Post za pomocą iframe, formularza i Ajax
Kradzież tokena CSRF i wysłanie żądania POST za pomocą iframe i formularza
Kradzież tokena i wysłanie go za pomocą 2 iframe'ów
POSTZabierz token CSRF za pomocą Ajax i wyślij post za pomocą formularza
CSRF z Socket.IO
CSRF Login Brute Force
Kod może być użyty do przeprowadzenia ataku brute force na formularz logowania z użyciem tokena CSRF (używa również nagłówka X-Forwarded-For, aby spróbować obejść ewentualne czarne listy IP):
Narzędzia
Odniesienia
Dołącz do HackenProof Discord, aby komunikować się z doświadczonymi hackerami i łowcami bugów!
Wgląd w Hacking Zaangażuj się w treści, które zagłębiają się w emocje i wyzwania związane z hackingiem
Aktualności Hackingowe w Czasie Rzeczywistym Bądź na bieżąco z dynamicznym światem hackingu dzięki aktualnym wiadomościom i wglądom
Najnowsze Ogłoszenia Bądź informowany o najnowszych nagrodach za błędy oraz istotnych aktualizacjach platformy
Dołącz do nas na Discord i zacznij współpracować z najlepszymi hackerami już dziś!
Last updated