جدول المحتويات:
- التعريف - ماذا يعني تزوير الطلبات عبر المواقع (CSRF)؟
- تيكوبيديا تشرح تزوير الطلبات عبر المواقع (CSRF)
التعريف - ماذا يعني تزوير الطلبات عبر المواقع (CSRF)؟
طلب تزوير عبر المواقع (CSRF) هو نوع من استغلال الموقع يتم تنفيذه عن طريق إصدار أوامر غير مصرح بها من مستخدم موقع موثوق به. يستغل CSRF ثقة موقع ويب لمتصفح مستخدم معين ، بدلاً من البرمجة النصية عبر المواقع ، والتي تستغل ثقة المستخدم لموقع ويب.
يُعرف هذا المصطلح أيضًا باسم ركوب الجلسة أو الهجوم بنقرة واحدة.
تيكوبيديا تشرح تزوير الطلبات عبر المواقع (CSRF)
عادة ما يستخدم CSRF أمر "GET" للمتصفح كنقطة استغلال. يستخدم مزورو خدمة CSR علامات HTML مثل "IMG" لحقن الأوامر في موقع ويب معين. ثم يتم استخدام مستخدم معين لهذا الموقع كمضيف وشريك غير مقصود. غالبًا ما لا يعرف موقع الويب أنه يتعرض للهجوم ، لأن المستخدم الشرعي يرسل الأوامر. قد يصدر المهاجم طلبًا لتحويل الأموال إلى حساب آخر ، أو سحب المزيد من الأموال ، أو في حالة PayPal والمواقع المشابهة ، إرسال الأموال إلى حساب آخر.
يصعب تنفيذ هجوم CSRF لأن هناك عددًا من الأشياء يجب أن تحدث من أجل نجاحها:
- يجب أن يستهدف المهاجم إما موقع ويب لا يتحقق من رأس الإحالة (وهو أمر شائع) أو مستخدم / ضحية باستخدام مستعرض أو خطأ في مكون إضافي يسمح بالتحايل بالإحالة (وهو أمر نادر الحدوث).
- يجب على المهاجم تحديد موقع إرسال نموذج على موقع الويب المستهدف ، والذي يجب أن يكون قادرًا على شيء مثل تغيير بيانات اعتماد تسجيل الدخول إلى عنوان البريد الإلكتروني للضحية أو إجراء تحويلات مالية.
- يجب على المهاجم تحديد القيم الصحيحة لجميع مدخلات النموذج أو عنوان URL. إذا طُلب من أي منهم أن يكون قيمًا سرية أو معرفات لا يستطيع المهاجم تخمينها بدقة ، فسيفشل الهجوم.
- يجب على المهاجم جذب المستخدم / الضحية إلى صفحة ويب باستخدام تعليمات برمجية ضارة أثناء تسجيل دخول الضحية إلى الموقع الهدف.
على سبيل المثال ، افترض أن الشخص أ يتصفح حسابه المصرفي أثناء وجوده أيضًا في غرفة الدردشة. يوجد مهاجم (الشخص B) في غرفة الدردشة ويتعرف على أنه تم تسجيل دخول الشخص أ أيضًا إلى bank.com. الشخص ب يجذب الشخص أ للنقر على رابط لصورة مضحكة. تحتوي علامة "IMG" على قيم لإدخالات نموذج bank.com ، والتي ستنقل فعليًا مبلغًا معينًا من حساب الشخص أ إلى حساب الشخص ب. إذا لم يكن bank.com لديه مصادقة ثانوية للشخص A قبل تحويل الأموال ، فسيكون الهجوم ناجحًا.
