Вопросы с меткой [csrf]

Cross-Site Request Forgery (подделка межсайтовых запросов): разновидность атак, которые заставляют жертву "случайно" (к примеру, щёлкнув по ссылке в стороннем источнике) совершить к сервису-цели запрос, необходимый злоумышленнику; метка посвящена уязвимостям к таким атакам и методам борьбы с ними.

Фильтрация
Сортировка
Метки
0 голосов
0 ответов
24 показа

Зачем и нужно ли выключать csrf в SpringSecurity при использовании авторизации через custom токен

Смотрел обучающее видео по авторизации и аутентификации по токену, и там в методе, который подключает фильтры есть запись http.csrf().disable(). Зачем мы отключаем csrf-защиту, человек не пояснил? Вот ...
  • 1
0 голосов
1 ответ
44 показа

CSRF-Protector-PHP как использовать?

Нашёл на просторах интернета вот эту штуку https://owasp.org/www-project-csrfprotector/ Там есть ссылка на Гит: https://github.com/mebjas/CSRF-Protector-PHP Автор говорит что работает в гугле, значит ...
0 голосов
0 ответов
52 показа

Csrf токен в пост запросах на python для сайтов как правильно делать?

Собственно, я практикуюсь по теме типа бомбера или же спамера, и на многих сайтах сейчас есть csrf защита в виде токена который генерируется как я понял при заходе на сайт, например для отправки ...
  • 1
0 голосов
0 ответов
27 показов

Какая актуальная защита от вставки в iframe сайта?

В разных источниках вижу разные данные о том какой механизм защищает от вставки iframe. Подскажите возможно это разные уровни защиты или что-то из этого устаревшие механизмы? Поидеи Same-origin ...
  • 425
0 голосов
1 ответ
48 показов

Как получать новый токен,для каждого новго запроса?

Пишу чекер для сайта, сайт отсылает токен при каждом новом запросе <meta name="csrf-token" content="YWkbF2WVwqUv1eQyuJcm_J1NDQwu8IqptT2w2i4SiBAlAVNyCaKjwBq5plbp0B-zyn5CP22f8N3vZcnqGWjgYQ=="> ...
-1 голос
1 ответ
85 показов

Отправка запроса через curl с csrf токеном

Итак, делаю я бота для одной биржи, и для ответа пользователю нужен "csrf-token", как достать выяснил, написал класс, понял что он как то связан с сессией, переписал класс и тут начиналось ...
  • 1
-3 голоса
1 ответ
101 показ

Необходимо получить токен python

При обращении к сайту по url необходимо получить csrf-token. Нашёл его в заголовке HTML, но как вытащить его в переменную для дальнейшей авторизации? <!DOCTYPE html> <html lang="en"> ...
  • 1
0 голосов
0 ответов
67 показов

Нужен ли CSRF для Laravel, использующегося только как REST API

Есть backend на Laravel. Laravel - только для REST. В документации к пакету Sanctum нашёл, как получают CSRF для SPA(Single Page Application), если Laravel полностью на REST API. Там была достаточно ...
  • 76
0 голосов
0 ответов
35 показов

Нужна ли в этом кейсе csrf защита?

Если я всегда использую POST/PUT/DELETE запросы, то-есть не использую query параметры типа domain.com/path?key=value, нужна ли мне CSRF защита? Можно же заксекьюрить куки всякими sameSite, HTTPOnly, ...
0 голосов
1 ответ
149 показов

При отправке POST-запроса выходит ошибка "Missing or invalid CSRF cookie" CakePHP 4

Пишу на CakePHP 4.2.0 Не могу авторизоваться в админ панели из-за неправильных куки-файлов и строки CSRF которая сохраняется в куки и отправляется в форме POST-запроса. Пробовал отключать Мидлварь в /...
  • 1
0 голосов
0 ответов
40 показов

Как вопроизвести CSRF атаку на свой сайт?

В интернете множество статей на тему, как внедрить CSRF токен. Но я так и не смог понять для себя смысл этого токена, везде говорится, что он нужен для того, что если сделать POST форму на другом ...
  • 585
-1 голос
1 ответ
424 показа

csrf в yii2. Bad Request (#400): Не удалось проверить переданные данные

Подскажите, пожалуйста, может кто-то сталкивался: при добавлении на форму виджет от kartik DateControl в поле date при выборе даты, ошибка: Bad Request (#400): Не удалось проверить переданные данные. ...
3 голоса
1 ответ
1k показов

Как получить CSRF ключ (токен)?

Как получить CSRF токен с сайта https://fix-price.ru/personal/ для парсинга данных из личного кабинета? import requests from bs4 import BeautifulSoup import fake_useragent HOST = 'https://fix-price....
0 голосов
1 ответ
234 показа

Laravel 419 page expired при оплате через free kassa

Я встроил виджет free kassa на сайт. Когда происходит оплата, их сервер отправляет POST запрос на /payment/result. В логах free kassa написано, что была ошибка 419 page expired. Это из-за того ,что не ...
  • 512
0 голосов
1 ответ
131 показ

Invalid csrf token Странное поведение csurf

Уже **** горит жестко от этой ошибки. Уже несколько дней работаю с этой csurf, всё отлично, всё окей, но начиная с какого-то момента перестал работать на странице продукта (AdminRoutes) На сайте есть ...
  • 1
2 голоса
1 ответ
180 показов

Почему CSRF защита не даёт аутентифицироваться с первого раза?

Делаю приложение. Сервер Java и UI React. Уже подключил CORS, но теперь не могу настроить CSRF защиту. Конфигурация Spring Security: @Override protected void configure(HttpSecurity http) throws ...
  • 2,023
0 голосов
0 ответов
115 показов

CSRF token или как защитить сайт?

Делаю свой небольшой учебный проект и возник вопрос. Есть код который передает id в views.py: var element = document.getElementById(e); var json = {}; var bot_id = element.id var token = '...
  • 386
0 голосов
1 ответ
430 показов

Как с помощью curl после авторизации перейти на нужную страницу?

Необходимо авторизоваться на сервере pfSense и перейти на нужную страницу. С авторизацией вроде разобрался. А как дальше перейти не пойму. Всегда, что бы ни делал, в $result выгружается главная ...
  • 115
0 голосов
1 ответ
252 показа

HTTP Status 403 - Invalid CSRF Token 'null' was found on the request parameter '_csrf' or header 'X-CSRF-TOKEN'. Ошибка при загрузке xml

При загрузке xml файла выдает ошибку - HTTP Status 403 - Invalid CSRF Token 'null' was found on the request parameter '_csrf' or header 'X-CSRF-TOKEN'. Добавил функцию. petit.jsp <br> <div ...
  • 499
0 голосов
0 ответов
296 показов

Fetch кроссдоменный запрос (c авторизацией) для получения html

Как я могу запрашивать страницы с другого домена, если там есть авторизация? Приложение на React запрашивает старницы с другого домена. Другой домен - это django-сервер. Я могу получить страницу ...
0 голосов
1 ответ
535 показов

Как получить csrf_tokken от django?

У меня есть React приложение, которое содержит свою форму для логирования. На http://127.0.0.1:8000/login/ развёрнут сервер djungo. Из формы на самом сервере я спокойно захожу в кабинет, но когда я ...
0 голосов
0 ответов
413 показов

Django ошибки CSRF (CSRF token missing or incorrect., CSRF cookie not set.)

Есть форма логина, если убрать обвес, то: <form method="post" action=""> {% csrf_token %} <fieldset> {{ form.username.errors }} {% render_field form....
1 голос
0 ответов
101 показ

Не получается выполнить запрос CURL

Пишу парсер cURL, так как API нет. Суть следующая - сначала по GET ссылке генерируется токен, а затем этот токен подставляется в ссылку и приходит ответ в формате JSPN. На локальном сервере все ...
  • 11
0 голосов
1 ответ
56 показов

Может ли этот код защитить от XSS атаки?

На habr прочитал про необходимость использования hash для пользователей. Используйте хеши для пользователей. Это поможет предотвратить вызов той или иной функции путём XSS. $secret_key = md5( ...
0 голосов
0 ответов
271 показ

Как правильно отправив POST запрос посредством ajax сменить csrf токен для использования его в следующем запросе?

Есть страница, которая в зависимости от выбора пользователя на ней, отправляет ajax-запросы и предлагает пользователю дальнейшие варианты действий. При первоначальной загрузке страницы у неё ...
  • 198
1 голос
1 ответ
83 показа

Не получается смоделировать csrf атаку

У меня есть два домена "http://basic" и "http://test". Я хочу отправить отправить запрос с домена "http://test" на домен "http://basic" с подмененным csrf токеном. Как это выглядит Шаг 1. На домене "...
  • 23
0 голосов
1 ответ
42 показа

Книги и статьи по безопасности веб-приложений

Занимаюсь разработкой на PHP. Хотел бы узнать все о безопасности веб-приложений. Подскажите пожалуйста книги, статьи, вебинары и т.д. С чего лучше начать и чем закончить(чтобы идти как бы от простого ...
  • 23
1 голос
1 ответ
203 показа

Ошибка 419 при регистрации

пытаюсь зарегистрироваться на сайте с помощью CURL, задача то в общем, не сложная, но столкнулся с одной проблемой, а именно несовпадение CSRF токена. Тут же назревают вопрос, где его искать? Как ...
0 голосов
0 ответов
976 показов

Использование csrf-токена при запросах к сайту через Python requests

В ответ на запрос на сайт выводится сообщение "Ошибка проверки CSRF токена. Необходимо обновить страницу". Токен формируется при заходе на сайт (отправляю GET-запрос) и находится в коде страницы в ...
  • 1
0 голосов
0 ответов
346 показов

Парсинг csrf-токена для дальнейшей авторизации

выводит такую ошибку после запуска кода, в чём заключается проблема? Ошибка: csrf = auth_bs.select('input[name=crsf_token]')[0]['value'] IndexError: list index out of range Код: from bs4 import ...
0 голосов
1 ответ
53 показа

Что означают в коде сайта мета-теги csrf-param и csrf-token?

Прочитала что csrf - это Вид атак на посетителей веб-сайтов, использующий недостатки протокола HTTP. Не могу понять, что означает когда в коде сайта эти теги прописаны? Это мне как посетителю сайта ...
0 голосов
0 ответов
782 показа

csrf валидация в yii2. Ошибка: "Не удалось проверить данные"

На проекте при отправке формы периодически возникает ошибка csrf валидации yii\web\BadRequestHttpException: Не удалось проверить переданные данные. in /var/www/moeirc/vendor/yiisoft/yii2/web/...
1 голос
2 ответа
66 показов

Django. csfr_token

Скорее всего, не вижу чего-то очевидного, но тем не менее прошу вашей помощи. Ошибка: Forbidden (403) CSRF verification failed. Request aborted. views.py def addCom(request): if request.method =...
1 голос
0 ответов
118 показов

CSRF cookie not set. Django 2.1.2

Учусь работать с Django 2.1.2 При попытке отправить POST, получаю на выходе такое: Forbidden (403) CSRF verification failed. Request aborted.CSRF cookie not set. Views: from django.shortcuts ...
0 голосов
0 ответов
54 показа

csrf токен ошибка в генерации

Всем привет, написал небольшой код: session_start(); if(empty($_SESSION['token']) || !isset($_SESSION['token'])){ $_SESSION['token'] = bin2hex(random_bytes(32)); } if(isset($...
0 голосов
0 ответов
263 показа

Проблема валидации токена при выполнении запроса

Проблема в валидации токена при выполнении Ajax запроса. Не могу понять, где совершил ошибку. Каталог проекта:   /ajax/test.php   /core/csrf.php   /index.php PHP ...
0 голосов
2 ответа
390 показов

CSRF Spring Security через Ajax (JSON)

У меня проблема с CSRF и Spring Security. Когда я посылаю форму я получаю статус 302 Я сделал так: auth.csrf().csrfTokenRepository(CookieCsrfTokenRepository.withHttpOnlyFalse()); другими словами: @...
0 голосов
1 ответ
138 показов

Как используется csrf токен ставленный в мета тег?

Нужно изменить код написанный не мной, В коде есть мета тег <meta name="csrf-token" content="{{ csrf_token() }}"> и есть форма с LARAVEL Blade директивой @csrf Хочу понять в чем смысл ...
  • 747
0 голосов
2 ответа
1k показов

Как с генерировать csrf токен, используя HTML meta tag?

Нужно с генерировать csrf токен для POST запроса , Можно ли использовать специальный HTML meta tag и как это сделать?
  • 747
0 голосов
0 ответов
48 показов

Есть ли смысл хешировать CSRF-токен?

Для подтверждения того, что форма была отправлена именно пользователем, используется такой механизм: при отправке страницы пользователю устанавливается Cookie со случайным значением и то же значение ...
user avatar
0 голосов
0 ответов
218 показов

Обработка форм в Django 2.0 (ошибка 403, csrf)

Подскажите, как в Django 2.0 использовать CSRF? Раньше можно было делать form = {} form.update(csrf(request)) if request.POST: form['name'] = request.POST.get['name'] // и дальше как то ...
0 голосов
1 ответ
1k показов

Django не работает {% csrf_token %}

Приветствую. Сломал уже голову. Никак не хочет работать {% csrf_token %}. Использую Django v2.0.1, Добавил 'django.middleware.csrf.CsrfViewMiddleware' в самое начало MIDDLEWARE. В шаблоне рисую так: ...
  • 69
1 голос
1 ответ
45 показов

Если с сайта №1 делаю запрос на сайт №2(где авторизирован я) - почему я на сайте№1 получаю новую сессию?

Вот такой вопрос интересует, если данные сессии - мы получаем от значения куки PHPSESSID, то как работает схема, что когда я с сайта №1 отправляю запрос на сайт №2 (на сайте №2 я авторизирован, есть ...
  • 2,224
0 голосов
1 ответ
61 показ

Защита от CSRF - токены. Если пользователь откроет вторую страницу - то старая будет неактуальна

Сделал у себя так, что при каждом обновлении страницы - генерируется в сессию новый csrf токен. Но вот что заметил, если пользователь сидит на одной странице - к примеру редактирования своих данных, и ...
  • 2,224
0 голосов
0 ответов
91 показ

Как проверить сгенерированный и возвращённый токен?

Помогите пожалуйста понять как проверить форму, которая ранее получила токен. Допустим, на сервере 1 есть Django. На серевере 2 есть angular4. Кроссдоменные запросы настроены. Генерация html ...
  • 1,771
0 голосов
1 ответ
636 показов

Как узнать время жизни csrf токена в laravel 5.2?

One page application, все на аяксе, возникает проблема что если страница долго открыта и без действий токен протухает и user не может понять что случилось, потому что яваскрипт только в консоль ошибки ...
0 голосов
0 ответов
26 показов

От чего нужно защищать формы?

Я имею довольно печальные знания по поводу безопасности веб-приложений, и сейчас пытаюсь разобрать тему защиты форм. Пока что знаю, что нужно: - защищать от повторной отправки - от CSRF (можно вроде ...
0 голосов
1 ответ
1k показов

добавление CSRF-токена в заголовок запроса

Добрый день, раньше к crm (bpmonline) по протоколу OData выполняли запросы таким образом: $url = "https://0632.bpmonline.com/ServiceModel/AuthService.svc/Login"; $requestData["Language"] = "ru"; $...
  • 3
4 голоса
2 ответа
1k показов

Смысл CSRF Token`а

Доброго времени суток! Изучаю csrf и не могу понять одну вещь, помогите пожалуйста разобраться. На сайте learn.javascript есть статья по этому поводу. Там сказано: Типичный способ защиты сайтов – ...
0 голосов
1 ответ
165 показов

CSRF и XMLHttpRequest

XMLHttpRequest использует Same Origin Policy (http://xmlhttprequest.ru/#security) То есть со страницы на site.com нельзя сделать XMLHttpRequest-запрос на another.com. Является ли это достаточной ...
  • 163