4

Исходя из той информации, что я нашел, то я понял это следующим образом. Сервер генерирует уникальный токен каждый раз, когда отправляет пользователю HTML форму. Потом вместе с данными формы этот токен отправляется на сервер и последний валидирует его и исходя из этого отклоняет или принимает запрос.

CSRF атака работает по принципу - в браузере жертвы незаметно отправляем поддельную форму на сервер, где мы авторизованы и имеем необходимые злоумышленнику привелегии. Но без AntiForgeryToken запрос будет отклонен.

Теперь момент, который мне не понятен, что, если я сначала запрошу форму у сервера, получу нужный мне токен, подставлю его в свою форму с данными и отправлю на сервер. В итоге я на раз-два ломаю всю защиту от CSRF атак. С учетом того, что в браузере жертвы я имею нужные мне полномочия, я могу безпрепятственно отправить запрос на получение такой формы с токеном.

Может кто-то объяснить мне, что я не учел в своих рассуждениях?

8
  • Все можно подделать. И если у Вас есть доступ в браузер жертвы, то вряд ли Вас что то остановит.
    – KoVadim
    Commented 11 июл. 2016 в 8:22
  • Если злоумышленник имеет полный контроль над браузером и может послать запрос на получение формы с токеном в пределах сессии, в которой аутентифицирован пользователь (например, сперев куки), - то тогда, конечно, ничего не спасет.
    – kmv
    Commented 11 июл. 2016 в 8:23
  • @KoVadim, а при наличии паяльника и доступ к браузеру не особо нужен :-)
    – Grundy
    Commented 11 июл. 2016 в 8:32
  • @kmv Причем здесь полный контроль, нам не нужно иметь контроль над браузером, нам просто нужно, чтобы жертва зашла на наш "злоумышленника" сайт. В этом же суть CSRF атак, мы всегда имеем доступ к жертве и можем выполнять любые запросы от его имени на нужный нам сайт. Т.е. мы выполняем JS скрипт на своем сайте от его имени посылая запрос на сайт, где жертва авторизована. В чем тогда защита AntiForgeryToken от CSRF атак, если она от них не защищает вообще никак?
    – uda
    Commented 11 июл. 2016 в 8:32
  • @KoVadim, причем здесь паяльник и полный доступ, под доступом к браузеру жертвы подразумевается просто тот факт, что пользователь зашел на наш сайт и мы выполняем нужный нам JS с запросами, в которые подставляются все его куки автоматом
    – uda
    Commented 11 июл. 2016 в 8:34

2 ответа 2

4

Same-origin policy (SOP) не учли, например (кстати, на странице по ссылке и про CSRF-токен есть). Когда он включён, отправить форму вы сможете, а получить ответ на неё, где есть нужный вам токен – нет. Браузер откажется, сославшись на SOP.

Владелец сервиса может ослабить SOP с помощью CORS (заголовками в ответе "каким доменам это можно читать"). Если владелец сервиса поставил там на важных местах * (кому угодно), то он, кхм, ССЗБ.

Также SOP может не поддерживаться или быть выключенным в браузере. Первое малореально с современными браузерами, а последнее требует большого контроля над системой жертвы.

5
  • Спасибо, но непонятно, почему я могу отправить запрос [post] site/senddata, но не могу [get]/[post] site/getdata, каким образом SOP решает, что можно, а что нет? Судя по информации из пруфов, все должно быть запрещено, т.к. не будет соответствовать хост, но тогда зачем токен, если запрос и так не пройдет из под другого хоста?
    – uda
    Commented 11 июл. 2016 в 9:55
  • @uda почему не можете? Вы не сможете прочитать ответ. Запрос, в зависимости от того, является ли он по CORS "простым", может и отправиться (если нет, сначала будет preflight, который должен рассказать о доступе).
    – user181100
    Commented 11 июл. 2016 в 10:09
  • спасибо, теперь все предельно ясно!
    – uda
    Commented 11 июл. 2016 в 10:16
  • 1
    Уточню. Если SOP не поддерживается браузером - то браузер является первым нэтскейп навигатором :) Ее даже у IE все версии поддерживают, хоть и с особенностями. Commented 10 февр. 2017 в 8:21
  • @PavelMayorov необязательно :) Впрочем да, сравнение нечестное, там он просто выключен. Но для пользователя, который его явно не выключал, разницы нет.
    – user181100
    Commented 10 февр. 2017 в 13:34
-1

Если я сначала запрошу форму у сервера, получу нужный мне токен...

Как уже говорилось, если есть полный доступ к браузеру жертвы, то в этом случае жертва обречена.

Механизм AntiForgeryToken помогает защититься от сценария, когда одна и таже форма со стороннего сайта, может быть использована для компромитирования любого пользователя. Благодаря уникальному токену, который по определённому алгоритму генерируется под каждого пользователя, для стороннего сайта уже сложней подсунуть валидные данные в POST. Т.к. нужно для отправки формы получить "что-то", что есть в браузере жертвы.

Подводя итог, без AntiForgeryToken нужно просто затянуть жертву на сайт злоумышленика и тогда жертва в попытке что-то запостить будет постить уже не те данные которые он видит перед собой, а те, которые в отправит "захаченная форма". С AntiForgeryToken нужно в добавок к привлечению жертвы на свой сайт, ещё что-то украсть с браузера жертвы и на основе украденных данных суметь создать плавильный AntiForgeryToken - только потом злоумышленник сможет в попытке перевода денег с одного на другой банковский аккаунт подсунуть свои данные в поле "получатель".

3
  • Когда осуществляется CSRF атака, я по умолчанию обладаю нужным уровнем доступа к браузеру жертвы. В чем тогда защита?
    – uda
    Commented 11 июл. 2016 в 10:04
  • @uda CSRF атака как раз-таки не подразумевает захват браузера пользователя.
    – etki
    Commented 11 июл. 2016 в 10:54
  • @Etki, я нигде ничего не говорил о полном доступе и захвате браузера пользователя. Я не однократно уточнял по этому поводу в комментариях к самому вопросу.
    – uda
    Commented 11 июл. 2016 в 11:05

Ваш ответ

Нажимая «Отправить ответ», вы соглашаетесь с условиями пользования и подтверждаете, что прочитали политику конфиденциальности.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.