CSRF

Définition. La contrefaçon de demande de site transversal (CSRF) est une attaque qui oblige les utilisateurs authentifiés à soumettre une demande à une application Web par rapport à laquelle ils sont actuellement authentifiés. Les attaques CSRF exploitent la confiance qu'une application Web a chez un utilisateur authentifié.

1. Quel est l'exemple CSRF?
2. Comment fonctionne une attaque CSRF?
3. Qu'est-ce que XSS et CSRF?
4. Qu'est-ce que CORS et CSRF?
5. Les https protègent-ils contre le CSRF?
6. Est le phishing CSRF?
7. Le CSRF nécessite-t-il XSS?
8. Comment le CSRF est-il généré?
9. Ce qui cause les erreurs CSRF?
10. Est XSS un DDOS?
11. XSS est-il une vulnérabilité?
12. Pourquoi les pirates utilisent-ils XSS?
13. Que sont les erreurs CSRF?
14. Comment le CSRF est-il généré?
15. Quand devrais-je utiliser CSRF?
16. Pourquoi le CSRF est-il important?
17. Pourquoi désactivons-nous le CSRF?

Quel est l'exemple CSRF?

Dans une attaque de CSRF réussie, l'attaquant amène l'utilisateur victime à effectuer une action involontairement. Par exemple, cela pourrait être de modifier l'adresse e-mail sur leur compte, de modifier leur mot de passe ou de transférer un transfert de fonds.

Comment fonctionne une attaque CSRF?

Les CSRF sont généralement réalisées en utilisant une ingénierie sociale malveillante, comme un e-mail ou un lien qui incite la victime à envoyer une demande forgée à un serveur. Comme l'utilisateur sans méfiance est authentifié par son application au moment de l'attaque, il est impossible de distinguer une demande légitime d'un forgé.

Qu'est-ce que XSS et CSRF?

Les scripts croisés (ou XSS) permettent à un attaquant d'exécuter un JavaScript arbitraire dans le navigateur d'un utilisateur de victime. La contrefaçon de demande de site croisée (ou CSRF) permet à un attaquant d'inciter à un utilisateur de victime à effectuer des actions qu'il n'a pas l'intention de.

Qu'est-ce que CORS et CSRF?

Utilisation des en-têtes d'origine et de références pour empêcher le CSRF. La contrefaçon de demande de site transversal (CSRF) permet à un attaquant de faire des demandes non autorisées au nom d'un utilisateur. Cette attaque exploite généralement des jetons d'authentification persistants pour faire des demandes de site transversal qui apparaissent au serveur en tant qu'initié par l'utilisateur.

Les https protègent-ils contre le CSRF?

HTTPS: Toujours une bonne idée, mais ne fait rien pour se protéger contre le CSRF. Réécriture de l'URL: cela empêcherait les attaquants de deviner l'identification de la séance de la victime lors d'une attaque du CSRF, mais permettrait alors à un attaquant de le voir dans l'URL.

Est le phishing CSRF?

Semblable aux attaques de phishing, les CSRF sont généralement administrés à l'aide de l'ingénierie sociale malveillante, comme un e-mail ou un lien qui incite la victime à envoyer une demande forgée à un serveur.

Le CSRF nécessite-t-il XSS?

XSS ne nécessite qu'une vulnérabilité, tandis que le CSRF exige qu'un utilisateur accéde à la page malveillante ou cliquez sur un lien. Le CSRF ne fonctionne qu'une seule façon - il ne peut envoyer que des demandes HTTP, mais ne peut pas afficher la réponse. XSS peut envoyer et recevoir des demandes et des réponses HTTP afin d'extraire les données requises.

Comment le CSRF est-il généré?

Un jeton CSRF est une valeur unique, secrète et imprévisible générée par l'application côté serveur et partagée avec le client. Lors de la publication d'une demande pour effectuer une action sensible, comme la soumission d'un formulaire, le client doit inclure le jeton CSRF correct.

Ce qui cause les erreurs CSRF?

Le message «jeton CSRF non valide ou manquant» signifie que votre navigateur n'a pas pu créer un cookie sécurisé ou n'a pas pu accéder à ce cookie pour autoriser votre connexion. Cela peut être causé par des plugins ou des extensions de blocage publicitaire ou de script et le navigateur lui-même s'il n'est pas autorisé à définir des cookies.

Est XSS un DDOS?

Les XSS persistants permet une attaque DDOS à grande échelle

En conséquence, chaque fois que l'image était utilisée sur l'une des pages du site (e.g., Dans la section des commentaires), le code malveillant a également été intégré à l'intérieur, attendant d'être exécuté par chaque futur visiteur de cette page.

XSS est-il une vulnérabilité?

Les scripts croisés (également connus sous le nom de XSS) sont une vulnérabilité de sécurité Web qui permet à un attaquant de compromettre les interactions que les utilisateurs ont avec une application vulnérable. Il permet à un attaquant de contourner la même politique d'origine, qui est conçue pour séparer différents sites Web les uns des autres.

Pourquoi les pirates utilisent-ils XSS?

Étant donné que les XS peuvent permettre aux utilisateurs non fiables d'exécuter du code dans le navigateur des utilisateurs de confiance et d'accéder à certains types de données, tels que les cookies de session, une vulnérabilité XSS peut permettre à un attaquant de prendre des données des utilisateurs et de l'inclure dynamiquement dans les pages Web et de prendre le contrôle de un site ou une demande si un administratif ou un ...

Que sont les erreurs CSRF?

Jeton CSRF non valide ou manquant

Ce message d'erreur signifie que votre navigateur n'a pas pu créer un cookie sécurisé, ou n'a pas pu accéder à ce cookie pour autoriser votre connexion. Cela peut être causé par des plugins de blocage publicitaire ou de script, mais aussi par le navigateur lui-même s'il n'est pas autorisé à définir des cookies.

Comment le CSRF est-il généré?

Un jeton CSRF est une valeur unique, secrète et imprévisible générée par l'application côté serveur et partagée avec le client. Lors de la publication d'une demande pour effectuer une action sensible, comme la soumission d'un formulaire, le client doit inclure le jeton CSRF correct.

Quand devrais-je utiliser CSRF?

Quand devez-vous utiliser la protection CSRF? Notre recommandation est d'utiliser la protection CSRF pour toute demande qui pourrait être traitée par un navigateur par des utilisateurs normaux. Si vous créez uniquement un service utilisé par les clients non passants, vous voudrez probablement désactiver la protection du CSRF.

Pourquoi le CSRF est-il important?

Une vulnérabilité du CSRF peut donner à un attaquant la capacité de forcer un utilisateur authentifié et connecté à effectuer une action importante sans leur consentement ou sa connaissance. C'est l'équivalent numérique à quelqu'un qui forge la signature d'une victime sur un document important.

Pourquoi désactivons-nous le CSRF?

Quelle est la raison réelle de le désactiver? La documentation Spring suggère: Notre recommandation est d'utiliser la protection du CSRF pour toute demande qui pourrait être traitée par un navigateur par des utilisateurs normaux. Si vous créez uniquement un service utilisé par les clients non passants, vous voudrez probablement désactiver la protection du CSRF.