Hacknite Wiki

CSRF (Cross site request forgery) je vrsta napada koja iskorištava ranjivost nastalu zbog ne razlikovanja autentičnih zahtjeva korisnika od krivotvorenih.

Najjednostavniji primjer jest sljedeći:

Zamislimo da se na adresi

www.example.com

nalazi bankarska aplikacija koja ima funkcionnalnost gdje se slanjem GET zahtjeva

www.example.com/transfer?amount=1000&to=receiver_username

šalje količinu novaca u parametru amount s računa korisnika koji je napravio taj zahtjev na račun korisnika s korisničkim računom receiver_username.

Napadač može prilagoditi parametre amount i to u URL-u i poslati takav link žrtvi. Klikom na link, žrtva bi poslala novce napadaču.

Ovaj napad je moguće izvesti i kreiranjem lažne stranice čime se on dodatno prikrije. Recimo da napadač istraži izgled obrasca POST metodom na stranici

www.napadacevastranica.test

i on bude izgleda:

	<form action="www.example.com/transfer" method="GET">
		<label for="amount">Amount: </label>
		<input type="text" name="amount" id="amount"/>
		<label for="to">To: </label>
	 	<input type="text" name="to" id="amount">
		<input type="submit"/>
	</form>