Hacknite Wiki

CSRF (Cross site request forgery) je vrsta napada koja iskorištava ranjivost nastalu zbog ne razlikovanja autentičnih zahtjeva korisnika od krivotvorenih.

Najjednostavniji primjer jest sljedeći:

Zamislimo da se na adresi

www.example.com

nalazi bankarska aplikacija koja ima funkcionnalnost gdje se slanjem GET zahtjeva

www.example.com/transfer?amount=1000&to=receiver_username

šalje količinu novaca u parametru amount s računa korisnika koji je napravio taj zahtjev na račun korisnika s korisničkim računom receiver_username.

Napadač može prilagoditi parametre amount i to u URL-u i poslati takav link žrtvi. Klikom na link, žrtva bi poslala novce napadaču.

Napad bi potencijalno bio moguć i da funkcionalnost koristi POST zahtjev. Pretpostavimo da bankarska aplikacija koristi formu sljedećeg izgleda:

	<form action="/transfer" method="POST">
		<label for="amount">Amount: </label>
		<input type="text" name="amount" id="amount"/>
		<label for="to">To: </label>
	 	<input type="text" name="to" id="amount">
		<input type="submit"/>
	</form>