CSRF su richiesta post senza reindirizzamento?

Question

CSRF su richiesta post senza reindirizzamento?

#1 da (4 voti)
#2 da (2 voti)

0

C'è un modo per falsificare la richiesta di post senza essere reindirizzati alla pagina in cui vengono inviati i parametri. Ad esempio:

<html>
<head>
<title>
CRSF example
</title>
</head>
<body onload="">
<form action="http://www.somesite.org/action.php" method="POST">

    <input type="hidden" name="money" value="10000$"/>
    <input type="hidden" name="payment" value="Paypal"/>
    <input type="hidden" name="user" value="user1"/>
    <input type="submit" name="submit" value="Withdraw"/>

</form>
</body>
</html>

Quando l'utente visita questa pagina, viene attivato csrf e vengono inviati i valori e viene eseguito il reindirizzamento. Questi valori vengono inviati senza reindirizzamento.Grazie

csrf

posta Daniel 21.10.2012 - 23:44

fonte

2 risposte

2

Non posso dire esattamente cosa stai chiedendo, ma qui c'è un fatto di base che probabilmente risponderà alla tua domanda specifica

Qualsiasi sito web (evil.com) su Internet può far sì che il browser Web dell'utente invii una richiesta POST a qualsiasi altro sito Web (somesite.org). evil.com non può visualizzare la risposta, ma va bene. Questa abilità è sufficiente per montare un attacco CSRF, se somesite.org non ha usato difese appropriate (ad esempio, token CSRF).

Suggerisco di leggere le risorse di OWASP e altri tutorial di base su CSRF, poiché questo è un dato basilare su come funziona la sicurezza web.

risposta data 22.10.2012 - 06:36

fonte

Leggi altre domande sui tag csrf

L'inclusione di intestazioni HTTP decorative nella risposta del server comporta un ulteriore rischio per la sicurezza? Quanta sicurezza dovrei usare per la mia applicazione web?

score 4 · Accepted Answer

Normalmente un exploit CSRF basato su post ha una riga di javascript: document.getElementById("csrf_form").submit() per inviare il modulo senza l'interazione dell'utente. Gli exploit CSRF (e molti exploit XSS) sono normalmente caricati all'interno di un iframe invisibile in modo che l'utente non abbia idea che il browser abbia fatto la richiesta.