Вопросы с меткой [csrf]

Cross-Site Request Forgery (подделка межсайтовых запросов): разновидность атак, которые заставляют жертву "случайно" (к примеру, щёлкнув по ссылке в стороннем источнике) совершить к сервису-цели запрос, необходимый злоумышленнику; метка посвящена уязвимостям к таким атакам и методам борьбы с ними.

Фильтрация
Сортировка
Метки
6 голосов
1 ответ
611 показов

Rails + Devise + Angular2: аутентификация

У меня просто огромное количество вопросов... Но перед этим нужно описать, что собственно происходит. Преамбула Я пытаюсь научить Angular2 авторизироваться в Rails 5 beta 3 приложении. При этом ...
Viktor's user avatar
  • 2,333
5 голосов
1 ответ
314 показов

Кросс-доменный Ajax POST

Добрый день. Пытаюсь передать простой текст из min.example.com на api.example.com var data = $("form").serialize() $.ajax({ url: 'http://api.example.com/v1/' + dept, type: 'POST', ...
myqoop's user avatar
  • 71
4 голоса
2 ответа
2k показов

Смысл CSRF Token`а

Доброго времени суток! Изучаю csrf и не могу понять одну вещь, помогите пожалуйста разобраться. На сайте learn.javascript есть статья по этому поводу. Там сказано: Типичный способ защиты сайтов – ...
Daniil Andashev's user avatar
4 голоса
2 ответа
8k показов

Как работает AntiForgeryToken? Мне кажется я могу его подделать

Исходя из той информации, что я нашел, то я понял это следующим образом. Сервер генерирует уникальный токен каждый раз, когда отправляет пользователю HTML форму. Потом вместе с данными формы этот ...
uda's user avatar
  • 43
4 голоса
0 ответов
5k показов

Как работает CSRF-token?

Возможно глупый вопрос, но не догоняю. Если cstf-токен хранится в hidden поле формы, то что мешает сайту злоумышленника скачать html-страницу, отпарсить токен, и уже использовать его в ссылке/атаке?
ForgottenPark's user avatar
3 голоса
1 ответ
3k показов

Как получить CSRF ключ (токен)?

Как получить CSRF токен с сайта https://fix-price.ru/personal/ для парсинга данных из личного кабинета? import requests from bs4 import BeautifulSoup import fake_useragent HOST = 'https://fix-price....
solokhovir's user avatar
3 голоса
2 ответа
556 показов

стандартная проверка токена laravel - странное условие

в Laravel есть класс VerifyCsrfToken, в котором определена функция handle, которая ловит request и проверяет соответствие токена клиента и сервера, после добавляет в response куку, иначе throw error. ...
Евгений Аммосов's user avatar
3 голоса
1 ответ
433 показа

CSRF-токен в куках

почему некоторые сайты хранят CSRF-токен в куках? Ведь если отправить, к примеру, GET-запрос - <img src="http://bank.com?act=make" или POST, то на сервер отправятся и куки, и проверка будет ...
cmd's user avatar
  • 1,530
2 голоса
1 ответ
255 показов

Почему CSRF защита не даёт аутентифицироваться с первого раза?

Делаю приложение. Сервер Java и UI React. Уже подключил CORS, но теперь не могу настроить CSRF защиту. Конфигурация Spring Security: @Override protected void configure(HttpSecurity http) throws ...
Zhenyria's user avatar
  • 2,141
2 голоса
0 ответов
70 показов

В codeigniter jquery при повторном запросе ссрабатывает csrf-защита

Всем привет, В codeigniter 3.1.0/bootstrap/jquery проекте, ENVIRONMENT=development при $config['csrf_protection'] = true; Я создаю нового пользователся через ajax вызов : var HRef = " base_url ...
mstdmstd's user avatar
  • 457
1 голос
2 ответа
73 показа

Django. csfr_token

Скорее всего, не вижу чего-то очевидного, но тем не менее прошу вашей помощи. Ошибка: Forbidden (403) CSRF verification failed. Request aborted. views.py def addCom(request): if request.method =...
Иван ермилов's user avatar
1 голос
1 ответ
3k показов

Laravel 5.1. Отключить проверку CSRF-токена по определенным маршрутам

На данный момент проверка CSRF отключена в kernel. Однако этот способ меня не устраивает, подскажите альтернативные возможности которые реализованы в Laravel 5.1
Антон Веселов's user avatar
1 голос
1 ответ
99 показов

Не получается смоделировать csrf атаку

У меня есть два домена "http://basic" и "http://test". Я хочу отправить отправить запрос с домена "http://test" на домен "http://basic" с подмененным csrf токеном. Как это выглядит Шаг 1. На домене "...
Misha's user avatar
  • 23
1 голос
1 ответ
61 показ

Если с сайта №1 делаю запрос на сайт №2(где авторизирован я) - почему я на сайте№1 получаю новую сессию?

Вот такой вопрос интересует, если данные сессии - мы получаем от значения куки PHPSESSID, то как работает схема, что когда я с сайта №1 отправляю запрос на сайт №2 (на сайте №2 я авторизирован, есть ...
user190134's user avatar
  • 2,224
1 голос
2 ответа
2k показов

Передача формы POST-запросом

Не могу передать форму post'ом в Django. Что только не пробовал, ничего не помогает. urls.py urlpatterns = patterns('', ..................... ..................... url(r'message/$', feedback, ...
evgeniy's user avatar
  • 612
1 голос
0 ответов
152 показа

Не получается выполнить запрос CURL

Пишу парсер cURL, так как API нет. Суть следующая - сначала по GET ссылке генерируется токен, а затем этот токен подставляется в ссылку и приходит ответ в формате JSPN. На локальном сервере все ...
Mertos's user avatar
  • 11
1 голос
1 ответ
259 показов

Ошибка 419 при регистрации

пытаюсь зарегистрироваться на сайте с помощью CURL, задача то в общем, не сложная, но столкнулся с одной проблемой, а именно несовпадение CSRF токена. Тут же назревают вопрос, где его искать? Как ...
Apelsin2020's user avatar
1 голос
0 ответов
142 показа

CSRF cookie not set. Django 2.1.2

Учусь работать с Django 2.1.2 При попытке отправить POST, получаю на выходе такое: Forbidden (403) CSRF verification failed. Request aborted.CSRF cookie not set. Views: from django.shortcuts ...
Vladislav's user avatar
1 голос
0 ответов
52 показа

CSRF Rails5 — почему такой результат?

CSRF-защита представляет собой генерацию ключа на сервере, и запихивание его в формы и всё остальное во время запроса к серваку; если эти пришедший с запросом ключ не тот, это error, а когда ...
Ярослав 's user avatar
1 голос
1 ответ
216 показов

Django 1.10 csrf

Не получается импортировать from django.core.context_processors import csrf в views.py Вот settings.py MIDDLEWARE = [ 'django.middleware.security.SecurityMiddleware', 'django.contrib.sessions....
Danil's user avatar
  • 613
1 голос
0 ответов
45 показов

Rails. Authlogic. Ошибка при logout'е

Доброго времени суток всем. Такая проблема. Имеется приложение, в котором аутентификация осуществляется при помощи гема authlogic. Авторизованный пользователь попадает на страницу администрирования. ...
user2988687's user avatar
0 голосов
2 ответа
1k показов

Как с генерировать csrf токен, используя HTML meta tag?

Нужно с генерировать csrf токен для POST запроса , Можно ли использовать специальный HTML meta tag и как это сделать?
a_main's user avatar
  • 757
0 голосов
1 ответ
729 показов

Как узнать время жизни csrf токена в laravel 5.2?

One page application, все на аяксе, возникает проблема что если страница долго открыта и без действий токен протухает и user не может понять что случилось, потому что яваскрипт только в консоль ошибки ...
Nutscracker's user avatar
0 голосов
1 ответ
385 показов

Laravel 419 page expired при оплате через free kassa

Я встроил виджет free kassa на сайт. Когда происходит оплата, их сервер отправляет POST запрос на /payment/result. В логах free kassa написано, что была ошибка 419 page expired. Это из-за того ,что не ...
Color kat's user avatar
  • 582
0 голосов
1 ответ
312 показов

HTTP Status 403 - Invalid CSRF Token 'null' was found on the request parameter '_csrf' or header 'X-CSRF-TOKEN'. Ошибка при загрузке xml

При загрузке xml файла выдает ошибку - HTTP Status 403 - Invalid CSRF Token 'null' was found on the request parameter '_csrf' or header 'X-CSRF-TOKEN'. Добавил функцию. petit.jsp <br> <div ...
wq55's user avatar
  • 493
0 голосов
1 ответ
69 показов

Что означают в коде сайта мета-теги csrf-param и csrf-token?

Прочитала что csrf - это Вид атак на посетителей веб-сайтов, использующий недостатки протокола HTTP. Не могу понять, что означает когда в коде сайта эти теги прописаны? Это мне как посетителю сайта ...
Johanna Geisler's user avatar
0 голосов
1 ответ
1k показов

Django не работает {% csrf_token %}

Приветствую. Сломал уже голову. Никак не хочет работать {% csrf_token %}. Использую Django v2.0.1, Добавил 'django.middleware.csrf.CsrfViewMiddleware' в самое начало MIDDLEWARE. В шаблоне рисую так: ...
Genome's user avatar
  • 69
0 голосов
1 ответ
70 показов

Защита от CSRF - токены. Если пользователь откроет вторую страницу - то старая будет неактуальна

Сделал у себя так, что при каждом обновлении страницы - генерируется в сессию новый csrf токен. Но вот что заметил, если пользователь сидит на одной странице - к примеру редактирования своих данных, и ...
user190134's user avatar
  • 2,224
0 голосов
1 ответ
2k показов

Ошибка TokenMismatchException в Laravel

Добавил все ajax запросы в исключения, но все равно выкидывает ошибку. Как найти проблемный участок кода из лога ничего не понятно exception 'Illuminate\Session\TokenMismatchException' in /var/www/...
Антон Веселов's user avatar
0 голосов
3 ответа
245 показов

CSRF - защита от подобных атак

читаю про CSFR, не совсем понятно, почему не работает этот код: <? session_start(); $_SESSION["sid"] = md5(time() . rand(0, 10000)); ?> <!DOCTYPE html> <html> <head>...
cmd's user avatar
  • 1,530
0 голосов
1 ответ
204 показа

Присоединить токен ко всем ajax запросам автоматически в AngularJS

Всем привет. Мне нужно, чтобы при всех запросах к ним присоединялся токен, как это сделать, я понял: var app = angular.module('myApp', [], function ($httpProvider) { $httpProvider.defaults....
chuikoff's user avatar
  • 776
0 голосов
1 ответ
74 показа

CSRF-Protector-PHP как использовать?

Нашёл на просторах интернета вот эту штуку https://owasp.org/www-project-csrfprotector/ Там есть ссылка на Гит: https://github.com/mebjas/CSRF-Protector-PHP Автор говорит что работает в гугле, значит ...
Ivan Chuzhmakov's user avatar
0 голосов
1 ответ
91 показ

Как получать новый токен,для каждого новго запроса?

Пишу чекер для сайта, сайт отсылает токен при каждом новом запросе <meta name="csrf-token" content="YWkbF2WVwqUv1eQyuJcm_J1NDQwu8IqptT2w2i4SiBAlAVNyCaKjwBq5plbp0B-zyn5CP22f8N3vZcnqGWjgYQ=="> ...
Myst1cal's user avatar
0 голосов
0 ответов
223 показа

Нужен ли CSRF для Laravel, использующегося только как REST API

Есть backend на Laravel. Laravel - только для REST. В документации к пакету Sanctum нашёл, как получают CSRF для SPA(Single Page Application), если Laravel полностью на REST API. Там была достаточно ...
Vadim Vetrov's user avatar
0 голосов
0 ответов
113 показов

Нужна ли в этом кейсе csrf защита?

Если я всегда использую POST/PUT/DELETE запросы, то-есть не использую query параметры типа domain.com/path?key=value, нужна ли мне CSRF защита? Можно же заксекьюрить куки всякими sameSite, HTTPOnly, ...
wisicoc's user avatar
0 голосов
1 ответ
314 показов

При отправке POST-запроса выходит ошибка "Missing or invalid CSRF cookie" CakePHP 4

Пишу на CakePHP 4.2.0 Не могу авторизоваться в админ панели из-за неправильных куки-файлов и строки CSRF которая сохраняется в куки и отправляется в форме POST-запроса. Пробовал отключать Мидлварь в /...
Jasik's user avatar
  • 1
0 голосов
0 ответов
56 показов

Как вопроизвести CSRF атаку на свой сайт?

В интернете множество статей на тему, как внедрить CSRF токен. Но я так и не смог понять для себя смысл этого токена, везде говорится, что он нужен для того, что если сделать POST форму на другом ...
Dima G.'s user avatar
  • 585
0 голосов
1 ответ
209 показов

Invalid csrf token Странное поведение csurf

Уже **** горит жестко от этой ошибки. Уже несколько дней работаю с этой csurf, всё отлично, всё окей, но начиная с какого-то момента перестал работать на странице продукта (AdminRoutes) На сайте есть ...
Aram's user avatar
  • 1
0 голосов
0 ответов
212 показов

CSRF token или как защитить сайт?

Делаю свой небольшой учебный проект и возник вопрос. Есть код который передает id в views.py: var element = document.getElementById(e); var json = {}; var bot_id = element.id var token = '...
Denzel's user avatar
  • 386
0 голосов
1 ответ
649 показов

Как с помощью curl после авторизации перейти на нужную страницу?

Необходимо авторизоваться на сервере pfSense и перейти на нужную страницу. С авторизацией вроде разобрался. А как дальше перейти не пойму. Всегда, что бы ни делал, в $result выгружается главная ...
iNval_iD's user avatar
  • 115
0 голосов
0 ответов
414 показов

Fetch кроссдоменный запрос (c авторизацией) для получения html

Как я могу запрашивать страницы с другого домена, если там есть авторизация? Приложение на React запрашивает старницы с другого домена. Другой домен - это django-сервер. Я могу получить страницу ...
Михаил Игоревич's user avatar
0 голосов
1 ответ
1k показов

Как получить csrf_tokken от django?

У меня есть React приложение, которое содержит свою форму для логирования. На http://127.0.0.1:8000/login/ развёрнут сервер djungo. Из формы на самом сервере я спокойно захожу в кабинет, но когда я ...
Михаил Игоревич's user avatar
0 голосов
0 ответов
505 показов

Django ошибки CSRF (CSRF token missing or incorrect., CSRF cookie not set.)

Есть форма логина, если убрать обвес, то: <form method="post" action=""> {% csrf_token %} <fieldset> {{ form.username.errors }} {% render_field form....
Дмитрий's user avatar
0 голосов
0 ответов
375 показов

Как правильно отправив POST запрос посредством ajax сменить csrf токен для использования его в следующем запросе?

Есть страница, которая в зависимости от выбора пользователя на ней, отправляет ajax-запросы и предлагает пользователю дальнейшие варианты действий. При первоначальной загрузке страницы у неё ...
Oughtem's user avatar
  • 200
0 голосов
1 ответ
60 показов

Книги и статьи по безопасности веб-приложений

Занимаюсь разработкой на PHP. Хотел бы узнать все о безопасности веб-приложений. Подскажите пожалуйста книги, статьи, вебинары и т.д. С чего лучше начать и чем закончить(чтобы идти как бы от простого ...
Misha's user avatar
  • 23
0 голосов
0 ответов
1k показов

Использование csrf-токена при запросах к сайту через Python requests

В ответ на запрос на сайт выводится сообщение "Ошибка проверки CSRF токена. Необходимо обновить страницу". Токен формируется при заходе на сайт (отправляю GET-запрос) и находится в коде страницы в ...
Alex's user avatar
  • 1
0 голосов
0 ответов
414 показов

Парсинг csrf-токена для дальнейшей авторизации

выводит такую ошибку после запуска кода, в чём заключается проблема? Ошибка: csrf = auth_bs.select('input[name=crsf_token]')[0]['value'] IndexError: list index out of range Код: from bs4 import ...
Slhsmile's user avatar
0 голосов
0 ответов
875 показов

csrf валидация в yii2. Ошибка: "Не удалось проверить данные"

На проекте при отправке формы периодически возникает ошибка csrf валидации yii\web\BadRequestHttpException: Не удалось проверить переданные данные. in /var/www/moeirc/vendor/yiisoft/yii2/web/...
Roman Andreev's user avatar
0 голосов
0 ответов
60 показов

csrf токен ошибка в генерации

Всем привет, написал небольшой код: session_start(); if(empty($_SESSION['token']) || !isset($_SESSION['token'])){ $_SESSION['token'] = bin2hex(random_bytes(32)); } if(isset($...
vioriel's user avatar
0 голосов
0 ответов
280 показов

Проблема валидации токена при выполнении запроса

Проблема в валидации токена при выполнении Ajax запроса. Не могу понять, где совершил ошибку. Каталог проекта:   /ajax/test.php   /core/csrf.php   /index.php PHP ...
Айдар Галлямов's user avatar