| Автор | Нужна ссылка на тему про CSRF |
|---|
Пару дней назад видел на форуме тему, где кто-то ныл типо про ссылки, что нечаянно можно построить замок гнома перейдя по ссылке. Сегондя обыскал форум до дыр не нашёл этой темы.
Дорогие мои модераторы,
дайти пожалуйста скриншот
для дейли
или ссылку если тема ещё активна.
Очень важно
Будет очень благодарен
P.S.: такой вектор атаки называется CSRF |
| Тему удалили. Ссылки можешь в замке сам посмотреть |
В предыдущем комментарии деза.
Ссылка на тему:
https://mirror.heroeswm.ru/forum_messages.php?tid=2721457 |
спасибо!
ха-ха, как это смешно
они чуствуют себя как первооткрыватели xD
защита от CSRF (например ссылка на покупку золотой карты) ломается, если можно внедрять JavaScript (вектор атаки: XSS) |
| что ты несёшь.. мамин хакер |
для Cyber:
JS может считывать CSRF-токены (но это только так, между нами, поэтому только тсссс никому не говори) |
Это изначальная тема
Тема про тему: https://mirror.heroeswm.ru/forum_messages.php?tid=2721460
защита от CSRF (например ссылка на покупку золотой карты) ломается, если можно внедрять JavaScript (вектор атаки: XSS)
А если отрубить человеку голову, то вообще никакая защита не поможет
Не надо нести чушь |
http://photo.heroeswm.ru/photo-catalog/0001661/713-144a96ac.jpg
Это не баг, а фича! Вы просто не умеете правильно пользоваться!
поэтому:
Не надо нести чушь |
| Вот давайте подумаем логично: Когда админ чинит всякую фигню, он не работает над альтом гнома. Вы хотите чтобы админ не ввёл альт гнома? |
| Ты о чём вообще? Этим ссылкам и разводу с покупкой чего-либо сто лет в обед. Отчасти из-за этого и ввели sign в магазине, например. И развод почти перестал использоваться мамкиными хакерами, т.к. их навыки на "копировать ссылку" заканчивались. В замке тоже давно пора так сделать. |
Когда админ чинит всякую фигню, он не работает над альтом гнома
если я скажу, что когда не чинит, то вероятно тоже, это будет караться?) |
для Mirn:
у нас даже нет двухэтапной аутентификации, а ты мне про ссылки с твоим сигном. сигн такой классный, что даже если кто и упёр у тебя аккаунт, или спёр твой сигн через тот же XSS или CSS injection, и скопировал себе твой сигн, то может постоянно тебе гадить, если ему это приспичит. этот сигн должен постоянно менятся а не быть навсегда статичным. а сейчас сигн лишь меняется, если ты поменяешь себе ник. а ты мне свой защитой от CSRF. нет чеков на referer, origin. ну давай, иди предлагай. починят они, ага. |
для MOCHET:
Ты адекватный? Хоть бы почитал что такое CSRF. Во всех нормальных фреймворках есть защита от СSRF и вообще это не то что ты думаешь. |
для Halson:
CSRF = https://ru.wikipedia.org/wiki/Межсайтовая_подделка_запроса
Боб: Привет, Алиса! Посмотри, какой милый котик: <img src="http://bank.example.com/withdraw?account=Alice&amount=1000000&for=Bob">
Существенен факт того, что ключ (CSRF токен) может быть предназначен не для конкретного запроса или формы, а для всех запросов пользователя вообще. Поэтому достаточно утечки CSRF токена c URL, выполняющим простое действие или не выполняющего действие вовсе, как защиты от подделки запроса лишается любое действие, а не только то, с которым связан ставший известным URL.
Во всех нормальных фреймворках есть защита от СSRF
и в каком месте я сказал такого неправильного
с чего ты вдруг надумал что админ пользуется фреймворком. будто бы годами копался в его коде. |
Методы GET, HEAD являются безопасными: они предназначены только для получения информации и не должны изменять состояние сервера.
Вопрос к Админам, почему запрос проходит через GET а не POST с телом. |
вот тебе пример насчёт CSS injection:
https://medium.com/bugbountywriteup/exfiltration-via-css-injection-4e999f63097d
есть и более продвинутые методы. не в этом дело. |
POST также подвержен CSRF-атаке:
https://stackoverflow.com/questions/17940811/example-of-silently-submitting-a-post-form-csrf
добро пожаловать в непростой мир кибербезопасности.
и про баги в браузере и в серверном софте (apache, ngninx, lighttpd, ...) надо помнить тоже |
защита от CSRF важный слой защиты системы. но проблема в том что, как я уже сказал XSS убивает эту защиту в ноль.
https://www.owasp.org/index.php/Cross-Site_Request_Forgery_(CSRF)
XSS can be used to bypass both referrer and token based checks simultaneously. For instance, the Samy worm used an XHR to obtain the CSRF token to forge requests. |
если тебе интересно, можешь написать мне об этом в личку, я готов обьяснить. простой люд не надо пугать тут вякими жуткими терминами вроде Exfiltration via CSS Injection.
из опыта могу сказать: админ фиксит, но плохо. после этого баг либо в другой форме, либо даже хуже, поэтому даже не предлагай. |
