Вопросы с меткой [csrf]
Cross-Site Request Forgery (подделка межсайтовых запросов): разновидность атак, которые заставляют жертву "случайно" (к примеру, щёлкнув по ссылке в стороннем источнике) совершить к сервису-цели запрос, необходимый злоумышленнику; метка посвящена уязвимостям к таким атакам и методам борьбы с ними.
73
вопроса
0
голосов
0
ответов
24
показа
Зачем и нужно ли выключать csrf в SpringSecurity при использовании авторизации через custom токен
Смотрел обучающее видео по авторизации и аутентификации по токену, и там в методе, который подключает фильтры есть запись http.csrf().disable(). Зачем мы отключаем csrf-защиту, человек не пояснил? Вот ...
0
голосов
1
ответ
44
показа
CSRF-Protector-PHP как использовать?
Нашёл на просторах интернета вот эту штуку https://owasp.org/www-project-csrfprotector/
Там есть ссылка на Гит: https://github.com/mebjas/CSRF-Protector-PHP
Автор говорит что работает в гугле, значит ...
0
голосов
0
ответов
52
показа
Csrf токен в пост запросах на python для сайтов как правильно делать?
Собственно, я практикуюсь по теме типа бомбера или же спамера, и на многих сайтах сейчас есть csrf защита в виде токена который генерируется как я понял при заходе на сайт, например для отправки ...
0
голосов
0
ответов
27
показов
Какая актуальная защита от вставки в iframe сайта?
В разных источниках вижу разные данные о том какой механизм защищает от вставки iframe.
Подскажите возможно это разные уровни защиты или что-то из этого устаревшие механизмы?
Поидеи Same-origin ...
0
голосов
1
ответ
48
показов
Как получать новый токен,для каждого новго запроса?
Пишу чекер для сайта, сайт отсылает токен при каждом новом запросе
<meta name="csrf-token" content="YWkbF2WVwqUv1eQyuJcm_J1NDQwu8IqptT2w2i4SiBAlAVNyCaKjwBq5plbp0B-zyn5CP22f8N3vZcnqGWjgYQ==">
...
-1
голос
1
ответ
85
показов
Отправка запроса через curl с csrf токеном
Итак, делаю я бота для одной биржи, и для ответа пользователю нужен "csrf-token", как достать выяснил, написал класс, понял что он как то связан с сессией, переписал класс и тут начиналось ...
-3
голоса
1
ответ
101
показ
Необходимо получить токен python
При обращении к сайту по url необходимо получить csrf-token. Нашёл его в заголовке HTML, но как вытащить его в переменную для дальнейшей авторизации?
<!DOCTYPE html>
<html lang="en">
...
0
голосов
0
ответов
67
показов
Нужен ли CSRF для Laravel, использующегося только как REST API
Есть backend на Laravel. Laravel - только для REST.
В документации к пакету Sanctum нашёл, как получают CSRF для SPA(Single Page Application), если Laravel полностью на REST API. Там была достаточно ...
0
голосов
0
ответов
35
показов
Нужна ли в этом кейсе csrf защита?
Если я всегда использую POST/PUT/DELETE запросы, то-есть не использую query параметры типа domain.com/path?key=value, нужна ли мне CSRF защита? Можно же заксекьюрить куки всякими sameSite, HTTPOnly, ...
0
голосов
1
ответ
149
показов
При отправке POST-запроса выходит ошибка "Missing or invalid CSRF cookie" CakePHP 4
Пишу на CakePHP 4.2.0
Не могу авторизоваться в админ панели из-за неправильных куки-файлов и строки CSRF которая сохраняется в куки и отправляется в форме POST-запроса. Пробовал отключать Мидлварь в /...
0
голосов
0
ответов
40
показов
Как вопроизвести CSRF атаку на свой сайт?
В интернете множество статей на тему, как внедрить CSRF токен.
Но я так и не смог понять для себя смысл этого токена, везде говорится, что он нужен для того, что если сделать POST форму на другом ...
-1
голос
1
ответ
424
показа
csrf в yii2. Bad Request (#400): Не удалось проверить переданные данные
Подскажите, пожалуйста, может кто-то сталкивался: при добавлении на форму виджет от kartik DateControl в поле date при выборе даты, ошибка: Bad Request (#400): Не удалось проверить переданные данные.
...
3
голоса
1
ответ
1k
показов
Как получить CSRF ключ (токен)?
Как получить CSRF токен с сайта https://fix-price.ru/personal/ для парсинга данных из личного кабинета?
import requests
from bs4 import BeautifulSoup
import fake_useragent
HOST = 'https://fix-price....
0
голосов
1
ответ
234
показа
Laravel 419 page expired при оплате через free kassa
Я встроил виджет free kassa на сайт. Когда происходит оплата, их сервер отправляет POST запрос на /payment/result.
В логах free kassa написано, что была ошибка 419 page expired. Это из-за того ,что не ...
0
голосов
1
ответ
131
показ
Invalid csrf token Странное поведение csurf
Уже **** горит жестко от этой ошибки. Уже несколько дней работаю с этой csurf, всё отлично, всё окей, но начиная с какого-то момента перестал работать на странице продукта (AdminRoutes)
На сайте есть ...
2
голоса
1
ответ
180
показов
Почему CSRF защита не даёт аутентифицироваться с первого раза?
Делаю приложение. Сервер Java и UI React. Уже подключил CORS, но теперь не могу настроить CSRF защиту.
Конфигурация Spring Security:
@Override
protected void configure(HttpSecurity http) throws ...
0
голосов
0
ответов
115
показов
CSRF token или как защитить сайт?
Делаю свой небольшой учебный проект и возник вопрос. Есть код который передает id в views.py:
var element = document.getElementById(e);
var json = {};
var bot_id = element.id
var token = '...
0
голосов
1
ответ
430
показов
Как с помощью curl после авторизации перейти на нужную страницу?
Необходимо авторизоваться на сервере pfSense и перейти на нужную страницу. С авторизацией вроде разобрался. А как дальше перейти не пойму.
Всегда, что бы ни делал, в $result выгружается главная ...
0
голосов
1
ответ
252
показа
HTTP Status 403 - Invalid CSRF Token 'null' was found on the request parameter '_csrf' or header 'X-CSRF-TOKEN'. Ошибка при загрузке xml
При загрузке xml файла выдает ошибку - HTTP Status 403 - Invalid CSRF Token 'null' was found on the request parameter '_csrf' or header 'X-CSRF-TOKEN'.
Добавил функцию.
petit.jsp
<br>
<div ...
0
голосов
0
ответов
296
показов
Fetch кроссдоменный запрос (c авторизацией) для получения html
Как я могу запрашивать страницы с другого домена, если там есть авторизация?
Приложение на React запрашивает старницы с другого домена.
Другой домен - это django-сервер. Я могу получить страницу ...
0
голосов
1
ответ
535
показов
Как получить csrf_tokken от django?
У меня есть React приложение, которое содержит свою форму для логирования. На http://127.0.0.1:8000/login/ развёрнут сервер djungo. Из формы на самом сервере я спокойно захожу в кабинет, но когда я ...
0
голосов
0
ответов
413
показов
Django ошибки CSRF (CSRF token missing or incorrect., CSRF cookie not set.)
Есть форма логина, если убрать обвес, то:
<form method="post" action="">
{% csrf_token %}
<fieldset>
{{ form.username.errors }}
{% render_field form....
1
голос
0
ответов
101
показ
Не получается выполнить запрос CURL
Пишу парсер cURL, так как API нет. Суть следующая - сначала по GET ссылке генерируется токен, а затем этот токен подставляется в ссылку и приходит ответ в формате JSPN. На локальном сервере все ...
0
голосов
1
ответ
56
показов
Может ли этот код защитить от XSS атаки?
На habr прочитал про необходимость использования hash для пользователей.
Используйте хеши для пользователей. Это поможет предотвратить вызов той или иной функции путём XSS.
$secret_key = md5( ...
0
голосов
0
ответов
271
показ
Как правильно отправив POST запрос посредством ajax сменить csrf токен для использования его в следующем запросе?
Есть страница, которая в зависимости от выбора пользователя на ней, отправляет ajax-запросы и предлагает пользователю дальнейшие варианты действий.
При первоначальной загрузке страницы у неё ...
1
голос
1
ответ
83
показа
Не получается смоделировать csrf атаку
У меня есть два домена "http://basic" и "http://test". Я хочу отправить отправить запрос с домена "http://test" на домен "http://basic" с подмененным csrf токеном.
Как это выглядит
Шаг 1. На домене "...
0
голосов
1
ответ
42
показа
Книги и статьи по безопасности веб-приложений
Занимаюсь разработкой на PHP. Хотел бы узнать все о безопасности веб-приложений.
Подскажите пожалуйста книги, статьи, вебинары и т.д. С чего лучше начать и чем закончить(чтобы идти как бы от простого ...
1
голос
1
ответ
203
показа
Ошибка 419 при регистрации
пытаюсь зарегистрироваться на сайте с помощью CURL, задача то в общем, не сложная, но столкнулся с одной проблемой, а именно несовпадение CSRF токена.
Тут же назревают вопрос, где его искать?
Как ...
0
голосов
0
ответов
976
показов
Использование csrf-токена при запросах к сайту через Python requests
В ответ на запрос на сайт выводится сообщение "Ошибка проверки CSRF токена. Необходимо обновить страницу". Токен формируется при заходе на сайт (отправляю GET-запрос) и находится в коде страницы в ...
0
голосов
0
ответов
346
показов
Парсинг csrf-токена для дальнейшей авторизации
выводит такую ошибку после запуска кода, в чём заключается проблема?
Ошибка:
csrf = auth_bs.select('input[name=crsf_token]')[0]['value']
IndexError: list index out of range
Код:
from bs4 import ...
0
голосов
1
ответ
53
показа
Что означают в коде сайта мета-теги csrf-param и csrf-token?
Прочитала что csrf - это Вид атак на посетителей веб-сайтов, использующий недостатки протокола HTTP. Не могу понять, что означает когда в коде сайта эти теги прописаны? Это мне как посетителю сайта ...
0
голосов
0
ответов
782
показа
csrf валидация в yii2. Ошибка: "Не удалось проверить данные"
На проекте при отправке формы периодически возникает ошибка csrf валидации
yii\web\BadRequestHttpException: Не удалось проверить переданные данные. in /var/www/moeirc/vendor/yiisoft/yii2/web/...
1
голос
2
ответа
66
показов
Django. csfr_token
Скорее всего, не вижу чего-то очевидного, но тем не менее прошу вашей помощи.
Ошибка: Forbidden (403)
CSRF verification failed. Request aborted.
views.py
def addCom(request):
if request.method =...
1
голос
0
ответов
118
показов
CSRF cookie not set. Django 2.1.2
Учусь работать с Django 2.1.2
При попытке отправить POST, получаю на выходе такое:
Forbidden (403) CSRF verification failed. Request aborted.CSRF cookie not set.
Views:
from django.shortcuts ...
0
голосов
0
ответов
54
показа
csrf токен ошибка в генерации
Всем привет, написал небольшой код:
session_start();
if(empty($_SESSION['token']) || !isset($_SESSION['token'])){
$_SESSION['token'] = bin2hex(random_bytes(32));
}
if(isset($...
0
голосов
0
ответов
263
показа
Проблема валидации токена при выполнении запроса
Проблема в валидации токена при выполнении Ajax запроса. Не могу понять, где совершил ошибку.
Каталог проекта:
/ajax/test.php
/core/csrf.php
/index.php
PHP ...
0
голосов
2
ответа
390
показов
CSRF Spring Security через Ajax (JSON)
У меня проблема с CSRF и Spring Security. Когда я посылаю форму я получаю статус 302
Я сделал так:
auth.csrf().csrfTokenRepository(CookieCsrfTokenRepository.withHttpOnlyFalse());
другими словами:
@...
0
голосов
1
ответ
138
показов
Как используется csrf токен ставленный в мета тег?
Нужно изменить код написанный не мной,
В коде есть мета тег
<meta name="csrf-token" content="{{ csrf_token() }}">
и есть форма с LARAVEL Blade директивой
@csrf
Хочу понять в чем смысл ...
0
голосов
2
ответа
1k
показов
Как с генерировать csrf токен, используя HTML meta tag?
Нужно с генерировать csrf токен для POST запроса ,
Можно ли использовать специальный HTML meta tag и как
это сделать?
0
голосов
0
ответов
48
показов
Есть ли смысл хешировать CSRF-токен?
Для подтверждения того, что форма была отправлена именно пользователем, используется такой механизм: при отправке страницы пользователю устанавливается Cookie со случайным значением и то же значение ...
0
голосов
0
ответов
218
показов
Обработка форм в Django 2.0 (ошибка 403, csrf)
Подскажите, как в Django 2.0 использовать CSRF? Раньше можно было делать
form = {}
form.update(csrf(request))
if request.POST:
form['name'] = request.POST.get['name']
// и дальше как то ...
0
голосов
1
ответ
1k
показов
Django не работает {% csrf_token %}
Приветствую.
Сломал уже голову. Никак не хочет работать {% csrf_token %}.
Использую Django v2.0.1, Добавил 'django.middleware.csrf.CsrfViewMiddleware' в самое начало MIDDLEWARE. В шаблоне рисую так:
...
1
голос
1
ответ
45
показов
Если с сайта №1 делаю запрос на сайт №2(где авторизирован я) - почему я на сайте№1 получаю новую сессию?
Вот такой вопрос интересует, если данные сессии - мы получаем от значения куки PHPSESSID, то как работает схема, что когда я с сайта №1 отправляю запрос на сайт №2 (на сайте №2 я авторизирован, есть ...
0
голосов
1
ответ
61
показ
Защита от CSRF - токены. Если пользователь откроет вторую страницу - то старая будет неактуальна
Сделал у себя так, что при каждом обновлении страницы - генерируется в сессию новый csrf токен. Но вот что заметил, если пользователь сидит на одной странице - к примеру редактирования своих данных, и ...
0
голосов
0
ответов
91
показ
Как проверить сгенерированный и возвращённый токен?
Помогите пожалуйста понять как проверить форму, которая ранее получила токен.
Допустим, на сервере 1 есть Django. На серевере 2 есть angular4. Кроссдоменные запросы настроены. Генерация html ...
0
голосов
1
ответ
636
показов
Как узнать время жизни csrf токена в laravel 5.2?
One page application, все на аяксе, возникает проблема что если страница долго открыта и без действий токен протухает и user не может понять что случилось, потому что яваскрипт только в консоль ошибки ...
0
голосов
0
ответов
26
показов
От чего нужно защищать формы?
Я имею довольно печальные знания по поводу безопасности веб-приложений, и сейчас пытаюсь разобрать тему защиты форм.
Пока что знаю, что нужно:
- защищать от повторной отправки
- от CSRF (можно вроде ...
0
голосов
1
ответ
1k
показов
добавление CSRF-токена в заголовок запроса
Добрый день, раньше к crm (bpmonline) по протоколу OData выполняли запросы таким образом:
$url = "https://0632.bpmonline.com/ServiceModel/AuthService.svc/Login";
$requestData["Language"] = "ru";
$...
4
голоса
2
ответа
1k
показов
Смысл CSRF Token`а
Доброго времени суток!
Изучаю csrf и не могу понять одну вещь, помогите пожалуйста разобраться.
На сайте learn.javascript есть статья по этому поводу. Там сказано:
Типичный способ защиты сайтов – ...
0
голосов
1
ответ
165
показов
CSRF и XMLHttpRequest
XMLHttpRequest использует Same Origin Policy (http://xmlhttprequest.ru/#security) То есть со страницы на site.com нельзя сделать XMLHttpRequest-запрос на another.com. Является ли это достаточной ...