CSRF (Cross Site Request Forgery)
Junte-se ao HackenProof Discord para se comunicar com hackers experientes e caçadores de bugs!
Insights de Hacking Engaje-se com conteúdo que explora a emoção e os desafios do hacking
Notícias de Hacking em Tempo Real Mantenha-se atualizado com o mundo acelerado do hacking através de notícias e insights em tempo real
Últimos Anúncios Fique informado sobre os novos programas de recompensas por bugs lançados e atualizações cruciais da plataforma
Junte-se a nós no Discord e comece a colaborar com os melhores hackers hoje!
Cross-Site Request Forgery (CSRF) Explicado
Cross-Site Request Forgery (CSRF) é um tipo de vulnerabilidade de segurança encontrada em aplicações web. Ela permite que atacantes realizem ações em nome de usuários desavisados, explorando suas sessões autenticadas. O ataque é executado quando um usuário, que está logado na plataforma de uma vítima, visita um site malicioso. Este site então aciona requisições para a conta da vítima através de métodos como executar JavaScript, enviar formulários ou buscar imagens.
Pré-requisitos para um Ataque CSRF
Para explorar uma vulnerabilidade CSRF, várias condições devem ser atendidas:
Identificar uma Ação Valiosa: O atacante precisa encontrar uma ação que vale a pena explorar, como mudar a senha do usuário, email ou elevar privilégios.
Gerenciamento de Sessão: A sessão do usuário deve ser gerenciada exclusivamente através de cookies ou do cabeçalho de Autenticação Básica HTTP, pois outros cabeçalhos não podem ser manipulados para esse propósito.
Ausência de Parâmetros Imprevisíveis: A requisição não deve conter parâmetros imprevisíveis, pois eles podem impedir o ataque.
Verificação Rápida
Você pode capturar a requisição no Burp e verificar as proteções CSRF e para testar do navegador você pode clicar em Copiar como fetch e verificar a requisição:
Defendendo Contra CSRF
Várias contramedidas podem ser implementadas para proteger contra ataques CSRF:
Cookies SameSite: Este atributo impede que o navegador envie cookies junto com requisições de outros sites. Mais sobre cookies SameSite.
Compartilhamento de recursos entre origens: A política CORS do site da vítima pode influenciar a viabilidade do ataque, especialmente se o ataque requerer a leitura da resposta do site da vítima. Saiba mais sobre bypass de CORS.
Verificação do Usuário: Solicitar a senha do usuário ou resolver um captcha pode confirmar a intenção do usuário.
Verificando Cabeçalhos Referrer ou Origin: Validar esses cabeçalhos pode ajudar a garantir que as requisições estão vindo de fontes confiáveis. No entanto, a elaboração cuidadosa de URLs pode contornar verificações mal implementadas, como:
Usar
http://mal.net?orig=http://example.com
(URL termina com a URL confiável)Usar
http://example.com.mal.net
(URL começa com a URL confiável)Modificando Nomes de Parâmetros: Alterar os nomes dos parâmetros em requisições POST ou GET pode ajudar a prevenir ataques automatizados.
Tokens CSRF: Incorporar um token CSRF único em cada sessão e exigir esse token em requisições subsequentes pode mitigar significativamente o risco de CSRF. A eficácia do token pode ser aumentada pela imposição de CORS.
Compreender e implementar essas defesas é crucial para manter a segurança e integridade das aplicações web.
Bypass de Defesas
De POST para GET
Talvez o formulário que você deseja abusar esteja preparado para enviar uma requisição POST com um token CSRF, mas você deve verificar se um GET também é válido e se, ao enviar uma requisição GET, o token CSRF ainda está sendo validado.
Falta de token
As aplicações podem implementar um mecanismo para validar tokens quando eles estão presentes. No entanto, uma vulnerabilidade surge se a validação for completamente ignorada quando o token está ausente. Os atacantes podem explorar isso removendo o parâmetro que carrega o token, não apenas seu valor. Isso permite que eles contornem o processo de validação e realizem um ataque Cross-Site Request Forgery (CSRF) de forma eficaz.
Token CSRF não está vinculado à sessão do usuário
Aplicações que não vinculam tokens CSRF às sessões de usuário apresentam um risco de segurança significativo. Esses sistemas verificam tokens contra um pool global em vez de garantir que cada token esteja vinculado à sessão iniciadora.
Veja como os atacantes exploram isso:
Autenticar usando sua própria conta.
Obter um token CSRF válido do pool global.
Usar esse token em um ataque CSRF contra uma vítima.
Essa vulnerabilidade permite que os atacantes façam requisições não autorizadas em nome da vítima, explorando o mecanismo inadequado de validação de tokens da aplicação.
Bypass de Método
Se a requisição estiver usando um método "estranho", verifique se a funcionalidade de sobrescrita de método está funcionando. Por exemplo, se estiver usando um método PUT, você pode tentar usar um método POST e enviar: https://example.com/my/dear/api/val/num?_method=PUT
Isso também pode funcionar enviando o parâmetro _method dentro de uma requisição POST ou usando os cabeçalhos:
X-HTTP-Method
X-HTTP-Method-Override
X-Method-Override
Bypass de token de cabeçalho personalizado
Se a requisição estiver adicionando um cabeçalho personalizado com um token à requisição como método de proteção CSRF, então:
Teste a requisição sem o Token Personalizado e também o cabeçalho.
Teste a requisição com o mesmo comprimento exato, mas um token diferente.
Token CSRF é verificado por um cookie
As aplicações podem implementar proteção CSRF duplicando o token em um cookie e um parâmetro de requisição ou configurando um cookie CSRF e verificando se o token enviado no backend corresponde ao cookie. A aplicação valida requisições verificando se o token no parâmetro de requisição alinha-se com o valor no cookie.
No entanto, esse método é vulnerável a ataques CSRF se o site tiver falhas que permitam a um atacante definir um cookie CSRF no navegador da vítima, como uma vulnerabilidade CRLF. O atacante pode explorar isso carregando uma imagem enganosa que define o cookie, seguida pela iniciação do ataque CSRF.
Abaixo está um exemplo de como um ataque poderia ser estruturado:
Observe que se o token csrf estiver relacionado com o cookie de sessão, este ataque não funcionará porque você precisará definir a sessão da vítima, e, portanto, estará atacando a si mesmo.
Mudança de Content-Type
De acordo com isso, para evitar requisições de pré-vôo usando o método POST, estes são os valores de Content-Type permitidos:
application/x-www-form-urlencoded
multipart/form-data
text/plain
No entanto, observe que a lógica do servidor pode variar dependendo do Content-Type utilizado, então você deve tentar os valores mencionados e outros como application/json
,text/xml
, application/xml
.
Exemplo (de aqui) de envio de dados JSON como text/plain:
Bypassando Requisições Preflight para Dados JSON
Ao tentar enviar dados JSON via uma requisição POST, usar Content-Type: application/json
em um formulário HTML não é diretamente possível. Da mesma forma, utilizar XMLHttpRequest
para enviar esse tipo de conteúdo inicia uma requisição preflight. No entanto, existem estratégias para potencialmente contornar essa limitação e verificar se o servidor processa os dados JSON independentemente do Content-Type:
Use Tipos de Conteúdo Alternativos: Empregue
Content-Type: text/plain
ouContent-Type: application/x-www-form-urlencoded
definindoenctype="text/plain"
no formulário. Essa abordagem testa se o backend utiliza os dados independentemente do Content-Type.Modifique o Tipo de Conteúdo: Para evitar uma requisição preflight enquanto garante que o servidor reconheça o conteúdo como JSON, você pode enviar os dados com
Content-Type: text/plain; application/json
. Isso não aciona uma requisição preflight, mas pode ser processado corretamente pelo servidor se estiver configurado para aceitarapplication/json
.Utilização de Arquivo SWF Flash: Um método menos comum, mas viável, envolve usar um arquivo SWF flash para contornar tais restrições. Para uma compreensão mais profunda dessa técnica, consulte este post.
Bypass de verificação de Referer / Origem
Evitar o cabeçalho Referer
As aplicações podem validar o cabeçalho 'Referer' apenas quando ele está presente. Para impedir que um navegador envie esse cabeçalho, a seguinte tag meta HTML pode ser usada:
Isso garante que o cabeçalho 'Referer' seja omitido, potencialmente contornando as verificações de validação em algumas aplicações.
Bypasses de Regexp
URL Format BypassPara definir o nome do domínio do servidor na URL que o Referrer vai enviar dentro dos parâmetros, você pode fazer:
Método HEAD bypass
A primeira parte de este CTF writeup explica que o código-fonte do Oak, um roteador, está configurado para tratar requisições HEAD como requisições GET sem corpo de resposta - uma solução comum que não é exclusiva do Oak. Em vez de um manipulador específico que lida com requisições HEAD, elas são simplesmente enviadas para o manipulador GET, mas o aplicativo apenas remove o corpo da resposta.
Portanto, se uma requisição GET estiver sendo limitada, você pode simplesmente enviar uma requisição HEAD que será processada como uma requisição GET.
Exemplos de Exploração
Exfiltrando o Token CSRF
Se um token CSRF estiver sendo usado como defesa, você pode tentar exfiltrá-lo abusando de uma vulnerabilidade de XSS ou uma vulnerabilidade de Dangling Markup.
GET usando tags HTML
Outras tags HTML5 que podem ser usadas para enviar automaticamente uma solicitação GET são:
Formulário de solicitação GET
Solicitação POST de Formulário
Formulário de solicitação POST através de iframe
Requisição POST Ajax
multipart/form-data POST request
multipart/form-data POST request v2
Solicitação POST de formulário de dentro de um iframe
Roubar o Token CSRF e enviar uma solicitação POST
Roubar o Token CSRF e enviar uma solicitação Post usando um iframe, um formulário e Ajax
Roubar o token CSRF e enviar uma solicitação POST usando um iframe e um formulário
Roubar token e enviá-lo usando 2 iframes
POSTRoubar o token CSRF com Ajax e enviar um post com um formulário
CSRF com Socket.IO
CSRF Login Brute Force
O código pode ser usado para forçar um formulário de login usando um token CSRF (também está usando o cabeçalho X-Forwarded-For para tentar contornar um possível bloqueio de IP):
Ferramentas
Referências
Junte-se ao HackenProof Discord para se comunicar com hackers experientes e caçadores de bugs!
Insights de Hacking Engaje-se com conteúdo que explora a emoção e os desafios do hacking
Notícias de Hack em Tempo Real Mantenha-se atualizado com o mundo acelerado do hacking através de notícias e insights em tempo real
Últimos Anúncios Fique informado sobre os novos programas de recompensas por bugs lançados e atualizações cruciais da plataforma
Junte-se a nós no Discord e comece a colaborar com os melhores hackers hoje!
Last updated