CSRF (Cross Site Request Forgery)
Join HackenProof Discord server to communicate with experienced hackers and bug bounty hunters!
Hacking Insights Engage with content that delves into the thrill and challenges of hacking
Real-Time Hack News Keep up-to-date with fast-paced hacking world through real-time news and insights
Latest Announcements Stay informed with the newest bug bounties launching and crucial platform updates
Join us on Discord and start collaborating with top hackers today!
Cross-Site Request Forgery (CSRF) Explained
Cross-Site Request Forgery (CSRF) è un tipo di vulnerabilità di sicurezza presente nelle applicazioni web. Consente agli attaccanti di eseguire azioni per conto di utenti ignari sfruttando le loro sessioni autenticate. L'attacco viene eseguito quando un utente, che è connesso alla piattaforma di una vittima, visita un sito malevolo. Questo sito attiva quindi richieste all'account della vittima attraverso metodi come l'esecuzione di JavaScript, l'invio di moduli o il recupero di immagini.
Prerequisites for a CSRF Attack
Per sfruttare una vulnerabilità CSRF, devono essere soddisfatte diverse condizioni:
Identificare un'azione preziosa: L'attaccante deve trovare un'azione degna di sfruttamento, come cambiare la password dell'utente, l'email o elevare i privilegi.
Gestione della sessione: La sessione dell'utente deve essere gestita esclusivamente tramite cookie o l'intestazione di autenticazione di base HTTP, poiché altre intestazioni non possono essere manipolate a questo scopo.
Assenza di parametri imprevedibili: La richiesta non dovrebbe contenere parametri imprevedibili, poiché possono impedire l'attacco.
Quick Check
Puoi catturare la richiesta in Burp e controllare le protezioni CSRF e per testare dal browser puoi cliccare su Copia come fetch e controllare la richiesta:
Defending Against CSRF
Possono essere implementate diverse contromisure per proteggere contro gli attacchi CSRF:
SameSite cookies: Questo attributo impedisce al browser di inviare cookie insieme a richieste cross-site. Maggiori informazioni sui cookie SameSite.
Cross-origin resource sharing: La politica CORS del sito della vittima può influenzare la fattibilità dell'attacco, specialmente se l'attacco richiede di leggere la risposta dal sito della vittima. Scopri di più sul bypass CORS.
Verifica dell'utente: Richiedere la password dell'utente o risolvere un captcha può confermare l'intento dell'utente.
Controllo delle intestazioni Referrer o Origin: Validare queste intestazioni può aiutare a garantire che le richieste provengano da fonti affidabili. Tuttavia, una creazione attenta degli URL può eludere controlli implementati male, come:
Utilizzare
http://mal.net?orig=http://example.com
(l'URL termina con l'URL fidato)Utilizzare
http://example.com.mal.net
(l'URL inizia con l'URL fidato)Modifica dei nomi dei parametri: Alterare i nomi dei parametri nelle richieste POST o GET può aiutare a prevenire attacchi automatizzati.
Token CSRF: Incorporare un token CSRF unico in ogni sessione e richiedere questo token nelle richieste successive può ridurre significativamente il rischio di CSRF. L'efficacia del token può essere migliorata imponendo CORS.
Comprendere e implementare queste difese è cruciale per mantenere la sicurezza e l'integrità delle applicazioni web.
Defences Bypass
From POST to GET
Forse il modulo che vuoi abusare è preparato per inviare una richiesta POST con un token CSRF ma, dovresti controllare se un GET è anche valido e se quando invii una richiesta GET il token CSRF viene ancora convalidato.
Lack of token
Le applicazioni potrebbero implementare un meccanismo per convalidare i token quando sono presenti. Tuttavia, si verifica una vulnerabilità se la convalida viene completamente saltata quando il token è assente. Gli attaccanti possono sfruttare questo rimuovendo il parametro che trasporta il token, non solo il suo valore. Questo consente loro di eludere il processo di convalida e condurre efficacemente un attacco Cross-Site Request Forgery (CSRF).
CSRF token is not tied to the user session
Le applicazioni che non legano i token CSRF alle sessioni utente presentano un significativo rischio di sicurezza. Questi sistemi verificano i token rispetto a un pool globale piuttosto che garantire che ogni token sia legato alla sessione iniziante.
Ecco come gli attaccanti sfruttano questo:
Autenticarsi utilizzando il proprio account.
Ottenere un token CSRF valido dal pool globale.
Utilizzare questo token in un attacco CSRF contro una vittima.
Questa vulnerabilità consente agli attaccanti di effettuare richieste non autorizzate per conto della vittima, sfruttando il meccanismo di convalida del token inadeguato dell'applicazione.
Method bypass
Se la richiesta utilizza un "metodo strano", controlla se la funzionalità di override del metodo funziona. Ad esempio, se sta utilizzando un metodo PUT puoi provare a utilizzare un metodo POST e inviare: https://example.com/my/dear/api/val/num?_method=PUT
Questo potrebbe funzionare anche inviando il parametro _method all'interno di una richiesta POST o utilizzando le intestazioni:
X-HTTP-Method
X-HTTP-Method-Override
X-Method-Override
Custom header token bypass
Se la richiesta aggiunge un intestazione personalizzata con un token alla richiesta come metodo di protezione CSRF, allora:
Testa la richiesta senza il Token Personalizzato e anche l'intestazione.
Testa la richiesta con esattamente la stessa lunghezza ma un token diverso.
CSRF token is verified by a cookie
Le applicazioni possono implementare la protezione CSRF duplicando il token sia in un cookie che in un parametro di richiesta o impostando un cookie CSRF e verificando se il token inviato nel backend corrisponde al cookie. L'applicazione convalida le richieste controllando se il token nel parametro di richiesta si allinea con il valore nel cookie.
Tuttavia, questo metodo è vulnerabile agli attacchi CSRF se il sito web presenta difetti che consentono a un attaccante di impostare un cookie CSRF nel browser della vittima, come una vulnerabilità CRLF. L'attaccante può sfruttare questo caricando un'immagine ingannevole che imposta il cookie, seguita dall'inizio dell'attacco CSRF.
Di seguito è riportato un esempio di come potrebbe essere strutturato un attacco:
Nota che se il token csrf è correlato con il cookie di sessione, questo attacco non funzionerà perché dovrai impostare la sessione della vittima, e quindi stai attaccando te stesso.
Modifica del Content-Type
Secondo questo, per evitare richieste preflight utilizzando il metodo POST, questi sono i valori di Content-Type consentiti:
application/x-www-form-urlencoded
multipart/form-data
text/plain
Tuttavia, nota che la logica dei server può variare a seconda del Content-Type utilizzato, quindi dovresti provare i valori menzionati e altri come application/json
,text/xml
, application/xml
.
Esempio (da qui) di invio di dati JSON come text/plain:
Bypassare le Richieste Preflight per Dati JSON
Quando si tenta di inviare dati JSON tramite una richiesta POST, utilizzare Content-Type: application/json
in un modulo HTML non è direttamente possibile. Allo stesso modo, utilizzare XMLHttpRequest
per inviare questo tipo di contenuto avvia una richiesta preflight. Tuttavia, ci sono strategie per potenzialmente aggirare questa limitazione e verificare se il server elabora i dati JSON indipendentemente dal Content-Type:
Utilizzare Tipi di Contenuto Alternativi: Impiegare
Content-Type: text/plain
oContent-Type: application/x-www-form-urlencoded
impostandoenctype="text/plain"
nel modulo. Questo approccio verifica se il backend utilizza i dati indipendentemente dal Content-Type.Modificare il Tipo di Contenuto: Per evitare una richiesta preflight garantendo che il server riconosca il contenuto come JSON, è possibile inviare i dati con
Content-Type: text/plain; application/json
. Questo non attiva una richiesta preflight ma potrebbe essere elaborato correttamente dal server se configurato per accettareapplication/json
.Utilizzo di File SWF Flash: Un metodo meno comune ma fattibile prevede l'uso di un file SWF flash per aggirare tali restrizioni. Per una comprensione approfondita di questa tecnica, fare riferimento a questo post.
Bypassare il Controllo del Referrer / Origin
Evitare l'intestazione Referrer
Le applicazioni possono convalidare l'intestazione 'Referer' solo quando è presente. Per impedire a un browser di inviare questa intestazione, è possibile utilizzare il seguente tag meta HTML:
Questo assicura che l'intestazione 'Referer' venga omessa, potenzialmente eludendo i controlli di validazione in alcune applicazioni.
Regexp bypasses
URL Format BypassPer impostare il nome di dominio del server nell'URL che il Referrer invierà all'interno dei parametri, puoi fare:
Bypass del metodo HEAD
La prima parte di questo CTF writeup spiega che il codice sorgente di Oak, un router, è impostato per gestire le richieste HEAD come richieste GET senza corpo di risposta - una soluzione comune che non è unica per Oak. Invece di un gestore specifico che si occupa delle richieste HEAD, vengono semplicemente date al gestore GET ma l'app rimuove solo il corpo della risposta.
Pertanto, se una richiesta GET è limitata, puoi semplicemente inviare una richiesta HEAD che sarà elaborata come una richiesta GET.
Esempi di Exploit
Esfiltrazione del Token CSRF
Se un token CSRF viene utilizzato come difesa, puoi provare a esfiltrarlo abusando di una vulnerabilità XSS o di una vulnerabilità Dangling Markup.
GET utilizzando tag HTML
Altri tag HTML5 che possono essere utilizzati per inviare automaticamente una richiesta GET sono:
Richiesta GET del modulo
Richiesta POST del modulo
Richiesta POST del modulo tramite iframe
Richiesta POST Ajax
richiesta POST multipart/form-data
multipart/form-data POST request v2
Richiesta POST del modulo da un iframe
Rubare il token CSRF e inviare una richiesta POST
Rubare il token CSRF e inviare una richiesta Post utilizzando un iframe, un modulo e Ajax
Rubare il token CSRF e inviare una richiesta POST utilizzando un iframe e un modulo
Rubare il token e inviarlo utilizzando 2 iframe
POSTRubare il token CSRF con Ajax e inviare un post con un modulo
CSRF con Socket.IO
CSRF Login Brute Force
Il codice può essere utilizzato per forzare un modulo di accesso utilizzando un token CSRF (utilizza anche l'intestazione X-Forwarded-For per cercare di bypassare un possibile blacklist IP):
Strumenti
Riferimenti
Unisciti al HackenProof Discord server per comunicare con hacker esperti e cacciatori di bug bounty!
Approfondimenti sul hacking Interagisci con contenuti che esplorano l'emozione e le sfide dell'hacking
Notizie di hacking in tempo reale Rimani aggiornato con il mondo frenetico dell'hacking attraverso notizie e approfondimenti in tempo reale
Ultimi annunci Rimani informato sulle nuove bug bounty in arrivo e sugli aggiornamenti cruciali delle piattaforme
Unisciti a noi su Discord e inizia a collaborare con i migliori hacker oggi stesso!
Last updated