Sommario:
- Definizione - Che cosa significa falsificazione richiesta tra siti (CSRF)?
- Techopedia spiega la falsificazione di richieste tra siti (CSRF)
Definizione - Che cosa significa falsificazione richiesta tra siti (CSRF)?
La contraffazione di richieste tra siti (CSRF) è un tipo di exploit di un sito Web eseguito emettendo comandi non autorizzati da un utente di un sito Web attendibile. CSRF sfrutta la fiducia di un sito Web per il browser di un determinato utente, anziché lo scripting cross-site, che sfrutta la fiducia dell'utente per un sito Web.
Questo termine è noto anche come session riding o attacco con un clic.
Techopedia spiega la falsificazione di richieste tra siti (CSRF)
Un CSRF di solito utilizza il comando "GET" di un browser come punto di exploit. I falsari del CSR utilizzano tag HTML come "IMG" per immettere comandi in un sito Web specifico. Un particolare utente di quel sito Web viene quindi utilizzato come host e complice inconsapevole. Spesso il sito Web non sa che è sotto attacco, poiché un utente legittimo sta inviando i comandi. L'autore dell'attacco potrebbe inviare una richiesta per trasferire fondi su un altro conto, prelevare più fondi o, nel caso di PayPal e siti simili, inviare denaro a un altro conto.
Un attacco CSRF è difficile da eseguire perché devono accadere diverse cose per avere successo:
- L'utente malintenzionato deve scegliere come target un sito Web che non controlla l'intestazione del referrer (che è comune) o un utente / vittima con un browser o un bug del plug-in che consente lo spoofing del referrer (cosa rara).
- L'autore dell'attacco deve individuare un modulo inoltrato sul sito Web di destinazione, che deve essere in grado di modificare le credenziali di accesso dell'indirizzo e-mail della vittima o effettuare trasferimenti di denaro.
- L'attaccante deve determinare i valori corretti per tutti gli input del modulo o dell'URL. Se qualcuno di loro deve essere un valore o ID segreto che l'attaccante non può indovinare con precisione, l'attacco fallirà.
- L'autore dell'attacco deve attirare l'utente / vittima su una pagina Web con codice dannoso mentre la vittima ha effettuato l'accesso al sito di destinazione.
Ad esempio, supponiamo che la persona A stia navigando sul suo conto bancario mentre è anche in una chat room. C'è un utente malintenzionato (persona B) nella chat room che apprende che anche la persona A ha effettuato l'accesso a bank.com. La persona B attira la persona A a fare clic su un collegamento per un'immagine divertente. Il tag "IMG" contiene i valori per gli input del modulo di bank.com, che trasferiranno effettivamente un determinato importo dal conto della persona A al conto della persona B. Se bank.com non ha un'autenticazione secondaria per la persona A prima che i fondi vengano trasferiti, l'attacco avrà successo.
