حمله CSRF چگونه انجام می‌شود؟

حمله CSRF چگونه انجام می‌شود؟

فهرست مطالب

CSRF

Cross-Site Request Foregery یک نوع حمله سایبری است که یک برنامه کامپیوتری را فریب می‌دهد تا از اختیارات خود سوءاستفاده کند. این تعریف به نظر کمی گنگ و نامفهوم می‌آید، اجازه بدهید به زبانی ساده‌تر آن را تعریف کنم. حمله CSRF یک عملیات ناخواسته توسط کاربر را بروی مرورگر او اجرا می‌کند تا از دسترسی‌های فعلی او در سایت‌های دیگر سوء استفاده کند. برای مثال: وقتی در اینترنت بانک لاگین می‌کند شما دسترسی نقل و انتقال پول از حساب خود به هر حساب دیگری را دارید. اگر در تب دیگری از همان مرورگر به مرور ایمیل‌ها بپردازید و با ایمیلی برخورد کنید که حاوی لینک مخربی باشد و روی آن کلیک کنید؛ هکر می‌تواند با سوء استفاده از نشست فعال شما در اینترنت بانک از حساب شما پول برداشت کند. البته نگران نباشید چون در حال حاضر انجام چنین کاری با توجه به امنیت بالای درگاه‌های اینترنت بانک و اجبار به استفاده از رمز پویا غیر ممکن است.

نحوه اجرای این حمله چگونه است؟

این نوع از حمله بروی تغییر وضعیت درخواست‌های وب تمرکز دارد، که باعث تغییر محتوای داده‌های یک request به چیز دیگری می‌شود. برای مثال: خرید چیزی یا تغییر مقادیری در حساب‌های کاربری اشخاص. به صورت کلی این نوع، حمله کورکورانه تلقی می‌شود و هکر از نتیجه این حمله با خبر نیست که به همین دلیل این نوع حمله برای سرقت اطلاعات انتخاب خوبی نیست. برای اینکه حمله CSRF قابل انجام باشد به سه پیش نیاز ضرروری است:

  • عملیات مرتبط: عملیاتی درون برنامه باید وجود داشته باشد که هکر دلیلی برای ایجاد آن داشته باشد. به بیانی بهتر، عملیاتی که نیاز به دسترسی دارد برای مثال تغییر پسورد یا نام حساب کاربری.
  • مدیریت نشست بر پایه کوکی: انجام چنین عملیاتی نیازمند اجرای حداقل یک درخواست HTTP است، و برنامه‌ای که صرفا وابسته به نشست کاربران برای شناسایی کاربرانی که درخواست را ارسال کرده‌اند؛ باشد. وقتی با نام کاربری و پسورد وارد وبسایتی می‌شوید آن وبسایت برای شما نشستی ایجاد می‌کند و آن را به صورت کوکی در مرورگر شما ذخیره می‌کند، تا با هر عملیاتی که انجام می‌دهید بتواند مجددا شما را احراز هویت کند.
  • محتوای درخواست‌ها قابل پیش بینی باشد: درخواستی که انجام می‌شود نباید نیازمند پارامترهایی باشد که هکر نتواند آن را به طور دقیق حدس بزند. برای مثال، اگر برای تغییر پسورد حساب قربانی نیاز به دانستن پسورد فعلی باشد. در این صورت هکر پیش از اجرای این حمله نیازمند پیدا کردن پسورد خواهد بود که در صورت موفقیت در ادامه حتی نیاز به اجرای حمله CSRF را نیز نخواهد داشت.

بیایید یک سناریویی را فرض کنیم که شما برای انتقال پول از حساب خودتان به حساب شخص دیگر، یک درخواست GET به سادگی زیر را اجرا می‌کنید. این درخواست می‌تواند توسط اینترنت بانک شما تولید و به سمت سرور ارسال شود.

				
					GET http://netbank.com/transfer.do?acct=PersonB&amount=$100 HTTP/1.1

در این درخواست متغییر acct در واقع گیرنده است و متغییر amount به معنای مبلغ انتقال وجه. یک هکر می‌تواند با استفاده از مهندسی اجتماعی یک لینک را به ایمیل شما ارسال کنید و محتوای متغییر acct را تغییر دهد.

				
					GET http://netbank.com/transfer.do?acct=AttackerA&amount=$100 HTTP/1.1

شما ایمیلی دریافت می‌کنید که هیچ ارتباطی با پرداخت‌های بانکی ندارد و ممکن است در خصوص یک تور مسافرتی باشد که با تخفیف بسیاری خوبی شما را تشویق به تهیه بلیط می‌کند و تنها یک کلیک با آن فاصله دارید. هکر با استفاده از تگ‌های html یک لینک را در این ایمیل کار گذاشته که بدین شکل می‌باشد.

				
					<a href="http://netbank.com/transfer.do?acct=AttackerA&amp;amount=$100" target="_blank" rel="noopener">همین حالا رزرو کن!</a>

کاربری که از محتوای این لینک بی خبر است بروی آن کلیک می‌کند، در حالی که این لینک از کوکی نشست کاربر که در سایت بانکی وارد شده است استفاده می‌کند تا از آن پول سرقت کند. هکر این لینک را بین هزاران هزار ایمیل ارسال می‌کند و فقط منتظر می‌ماند تا کسی قربانی شود. درخواست‌های GET معمولا برای انجام چنین عملیاتی استفاده نمی‌شود ولی هکر می‌تواند درخواست های POST نیز در ایمیل جایگذاری کند همانند تکه کد زیر:

				
					<body data-rsssl=1 onload="document.forms[0].submit()">
   <form action="https://netbank.com/transfer.do" method="POST">
     <input type="hidden" name="acct" value="AttackerA"/>
     <input type="hidden" name="amount" value="$100"/>
     <input type="submit" value="رزرو بلیط"/>
   </form> <script data-no-optimize="1">!function(t,e){"object"==typeof exports&&"undefined"!=typeof module?module.exports=e():"function"==typeof define&&define.amd?define(e):(t="undefined"!=typeof globalThis?globalThis:t||self).LazyLoad=e()}(this,function(){"use strict";function e(){return(e=Object.assign||function(t){for(var e=1;e<arguments.length;e++){var n,a=arguments[e];for(n in a)Object.prototype.hasOwnProperty.call(a,n)&&(t[n]=a[n])}return t}).apply(this,arguments)}function i(t){return e({},it,t)}function o(t,e){var n,a="LazyLoad::Initialized",i=new t(e);try{n=new CustomEvent(a,{detail:{instance:i}})}catch(t){(n=document.createEvent("CustomEvent")).initCustomEvent(a,!1,!1,{instance:i})}window.dispatchEvent(n)}function l(t,e){return t.getAttribute(gt+e)}function c(t){return l(t,bt)}function s(t,e){return function(t,e,n){e=gt+e;null!==n?t.setAttribute(e,n):t.removeAttribute(e)}(t,bt,e)}function r(t){return s(t,null),0}function u(t){return null===c(t)}function d(t){return c(t)===vt}function f(t,e,n,a){t&&(void 0===a?void 0===n?t(e):t(e,n):t(e,n,a))}function _(t,e){nt?t.classList.add(e):t.className+=(t.className?" ":"")+e}function v(t,e){nt?t.classList.remove(e):t.className=t.className.replace(new RegExp("(^|\\s+)"+e+"(\\s+|$)")," ").replace(/^\s+/,"").replace(/\s+$/,"")}function g(t){return t.llTempImage}function b(t,e){!e||(e=e._observer)&&e.unobserve(t)}function p(t,e){t&&(t.loadingCount+=e)}function h(t,e){t&&(t.toLoadCount=e)}function n(t){for(var e,n=[],a=0;e=t.children[a];a+=1)"SOURCE"===e.tagName&&n.push(e);return n}function m(t,e){(t=t.parentNode)&&"PICTURE"===t.tagName&&n(t).forEach(e)}function a(t,e){n(t).forEach(e)}function E(t){return!!t[st]}function I(t){return t[st]}function y(t){return delete t[st]}function A(e,t){var n;E(e)||(n={},t.forEach(function(t){n[t]=e.getAttribute(t)}),e[st]=n)}function k(a,t){var i;E(a)&&(i=I(a),t.forEach(function(t){var e,n;e=a,(t=i[n=t])?e.setAttribute(n,t):e.removeAttribute(n)}))}function L(t,e,n){_(t,e.class_loading),s(t,ut),n&&(p(n,1),f(e.callback_loading,t,n))}function w(t,e,n){n&&t.setAttribute(e,n)}function x(t,e){w(t,ct,l(t,e.data_sizes)),w(t,rt,l(t,e.data_srcset)),w(t,ot,l(t,e.data_src))}function O(t,e,n){var a=l(t,e.data_bg_multi),i=l(t,e.data_bg_multi_hidpi);(a=at&&i?i:a)&&(t.style.backgroundImage=a,n=n,_(t=t,(e=e).class_applied),s(t,ft),n&&(e.unobserve_completed&&b(t,e),f(e.callback_applied,t,n)))}function N(t,e){!e||0<e.loadingCount||0<e.toLoadCount||f(t.callback_finish,e)}function C(t,e,n){t.addEventListener(e,n),t.llEvLisnrs[e]=n}function M(t){return!!t.llEvLisnrs}function z(t){if(M(t)){var e,n,a=t.llEvLisnrs;for(e in a){var i=a[e];n=e,i=i,t.removeEventListener(n,i)}delete t.llEvLisnrs}}function R(t,e,n){var a;delete t.llTempImage,p(n,-1),(a=n)&&--a.toLoadCount,v(t,e.class_loading),e.unobserve_completed&&b(t,n)}function T(o,r,c){var l=g(o)||o;M(l)||function(t,e,n){M(t)||(t.llEvLisnrs={});var a="VIDEO"===t.tagName?"loadeddata":"load";C(t,a,e),C(t,"error",n)}(l,function(t){var e,n,a,i;n=r,a=c,i=d(e=o),R(e,n,a),_(e,n.class_loaded),s(e,dt),f(n.callback_loaded,e,a),i||N(n,a),z(l)},function(t){var e,n,a,i;n=r,a=c,i=d(e=o),R(e,n,a),_(e,n.class_error),s(e,_t),f(n.callback_error,e,a),i||N(n,a),z(l)})}function G(t,e,n){var a,i,o,r,c;t.llTempImage=document.createElement("IMG"),T(t,e,n),E(c=t)||(c[st]={backgroundImage:c.style.backgroundImage}),o=n,r=l(a=t,(i=e).data_bg),c=l(a,i.data_bg_hidpi),(r=at&&c?c:r)&&(a.style.backgroundImage='url("'.concat(r,'")'),g(a).setAttribute(ot,r),L(a,i,o)),O(t,e,n)}function D(t,e,n){var a;T(t,e,n),a=e,e=n,(t=It[(n=t).tagName])&&(t(n,a),L(n,a,e))}function V(t,e,n){var a;a=t,(-1<yt.indexOf(a.tagName)?D:G)(t,e,n)}function F(t,e,n){var a;t.setAttribute("loading","lazy"),T(t,e,n),a=e,(e=It[(n=t).tagName])&&e(n,a),s(t,vt)}function j(t){t.removeAttribute(ot),t.removeAttribute(rt),t.removeAttribute(ct)}function P(t){m(t,function(t){k(t,Et)}),k(t,Et)}function S(t){var e;(e=At[t.tagName])?e(t):E(e=t)&&(t=I(e),e.style.backgroundImage=t.backgroundImage)}function U(t,e){var n;S(t),n=e,u(e=t)||d(e)||(v(e,n.class_entered),v(e,n.class_exited),v(e,n.class_applied),v(e,n.class_loading),v(e,n.class_loaded),v(e,n.class_error)),r(t),y(t)}function $(t,e,n,a){var i;n.cancel_on_exit&&(c(t)!==ut||"IMG"===t.tagName&&(z(t),m(i=t,function(t){j(t)}),j(i),P(t),v(t,n.class_loading),p(a,-1),r(t),f(n.callback_cancel,t,e,a)))}function q(t,e,n,a){var i,o,r=(o=t,0<=pt.indexOf(c(o)));s(t,"entered"),_(t,n.class_entered),v(t,n.class_exited),i=t,o=a,n.unobserve_entered&&b(i,o),f(n.callback_enter,t,e,a),r||V(t,n,a)}function H(t){return t.use_native&&"loading"in HTMLImageElement.prototype}function B(t,i,o){t.forEach(function(t){return(a=t).isIntersecting||0<a.intersectionRatio?q(t.target,t,i,o):(e=t.target,n=t,a=i,t=o,void(u(e)||(_(e,a.class_exited),$(e,n,a,t),f(a.callback_exit,e,n,t))));var e,n,a})}function J(e,n){var t;et&&!H(e)&&(n._observer=new IntersectionObserver(function(t){B(t,e,n)},{root:(t=e).container===document?null:t.container,rootMargin:t.thresholds||t.threshold+"px"}))}function K(t){return Array.prototype.slice.call(t)}function Q(t){return t.container.querySelectorAll(t.elements_selector)}function W(t){return c(t)===_t}function X(t,e){return e=t||Q(e),K(e).filter(u)}function Y(e,t){var n;(n=Q(e),K(n).filter(W)).forEach(function(t){v(t,e.class_error),r(t)}),t.update()}function t(t,e){var n,a,t=i(t);this._settings=t,this.loadingCount=0,J(t,this),n=t,a=this,Z&&window.addEventListener("online",function(){Y(n,a)}),this.update(e)}var Z="undefined"!=typeof window,tt=Z&&!("onscroll"in window)||"undefined"!=typeof navigator&&/(gle|ing|ro)bot|crawl|spider/i.test(navigator.userAgent),et=Z&&"IntersectionObserver"in window,nt=Z&&"classList"in document.createElement("p"),at=Z&&1<window.devicePixelRatio,it={elements_selector:".lazy",container:tt||Z?document:null,threshold:300,thresholds:null,data_src:"src",data_srcset:"srcset",data_sizes:"sizes",data_bg:"bg",data_bg_hidpi:"bg-hidpi",data_bg_multi:"bg-multi",data_bg_multi_hidpi:"bg-multi-hidpi",data_poster:"poster",class_applied:"applied",class_loading:"litespeed-loading",class_loaded:"litespeed-loaded",class_error:"error",class_entered:"entered",class_exited:"exited",unobserve_completed:!0,unobserve_entered:!1,cancel_on_exit:!0,callback_enter:null,callback_exit:null,callback_applied:null,callback_loading:null,callback_loaded:null,callback_error:null,callback_finish:null,callback_cancel:null,use_native:!1},ot="src",rt="srcset",ct="sizes",lt="poster",st="llOriginalAttrs",ut="loading",dt="loaded",ft="applied",_t="error",vt="native",gt="data-",bt="ll-status",pt=[ut,dt,ft,_t],ht=[ot],mt=[ot,lt],Et=[ot,rt,ct],It={IMG:function(t,e){m(t,function(t){A(t,Et),x(t,e)}),A(t,Et),x(t,e)},IFRAME:function(t,e){A(t,ht),w(t,ot,l(t,e.data_src))},VIDEO:function(t,e){a(t,function(t){A(t,ht),w(t,ot,l(t,e.data_src))}),A(t,mt),w(t,lt,l(t,e.data_poster)),w(t,ot,l(t,e.data_src)),t.load()}},yt=["IMG","IFRAME","VIDEO"],At={IMG:P,IFRAME:function(t){k(t,ht)},VIDEO:function(t){a(t,function(t){k(t,ht)}),k(t,mt),t.load()}},kt=["IMG","IFRAME","VIDEO"];return t.prototype={update:function(t){var e,n,a,i=this._settings,o=X(t,i);{if(h(this,o.length),!tt&&et)return H(i)?(e=i,n=this,o.forEach(function(t){-1!==kt.indexOf(t.tagName)&&F(t,e,n)}),void h(n,0)):(t=this._observer,i=o,t.disconnect(),a=t,void i.forEach(function(t){a.observe(t)}));this.loadAll(o)}},destroy:function(){this._observer&&this._observer.disconnect(),Q(this._settings).forEach(function(t){y(t)}),delete this._observer,delete this._settings,delete this.loadingCount,delete this.toLoadCount},loadAll:function(t){var e=this,n=this._settings;X(t,n).forEach(function(t){b(t,e),V(t,n,e)})},restoreAll:function(){var e=this._settings;Q(e).forEach(function(t){U(t,e)})}},t.load=function(t,e){e=i(e);V(t,e)},t.resetStatus=function(t){r(t)},Z&&function(t,e){if(e)if(e.length)for(var n,a=0;n=e[a];a+=1)o(t,n);else o(t,e)}(t,window.lazyLoadOptions),t});!function(e,t){"use strict";function a(){t.body.classList.add("litespeed_lazyloaded")}function n(){console.log("[LiteSpeed] Start Lazy Load Images"),d=new LazyLoad({elements_selector:"[data-lazyloaded]",callback_finish:a}),o=function(){d.update()},e.MutationObserver&&new MutationObserver(o).observe(t.documentElement,{childList:!0,subtree:!0,attributes:!0})}var d,o;e.addEventListener?e.addEventListener("load",n,!1):e.attachEvent("onload",n)}(window,document);</script></body>

اجازه بدید که خیال شما را راحت کنیم. با چنین روشی هیچ هکری نمی‌تواند از شما پول سرقت کند. ولی این به معنای امنیت صدرصدی شما در وب‌گردی نیست و ممکن است وبسایتی که در حال حاضر در آن لاگین شده‌اید در برابر این نوع از حملات آسیب پذیر باشد.

csrf attack vecor

محافظت در برابر CSRF

در حال حاضر، پیدا کردن و سوءاستفاده از آسیب پذیری CSRF شامل عبور از مکانیزم‌های anti-CSRF که توسط وبسایت هدف و مرورگر قربانی فعال است، می‌شود. مرورگرهای امروزی به راحتی سوءاستفاده از این نقطه ضعف را تشخیص می‌دهد اما معمول‌ترین روش‌های محافظت در برابر آن به شرح زیر می‌باشد:

  • توکن CSRF: این یک توکن منحصر به فرد، مخفی و مقادیر آن غیر قابل حدس است که توسط سرور تولید می‌شود و با کاربر به اشتراک گذاشته می‌شود. هنگامی که کاربر قصد انجام عملیات حساسی را داشته باشد، برای مثال: تغییر پسورد یا اطلاعات کاربری؛ کاربر باید این توکن را نیز همراه با سایر اطلاعات نیز به سرور ارسال نماید. البته که این عملیات توسط زبان‌های فرانت-اند کنترل می‌شود و کاربر نهایی از رخ دادن آن‌ها اطلاعی ندارند.
  • کوکی SameSite: این مکانیزم یک امنیت تحت مرورگر است که چک می‌کند که کوکی‌های وبسایت که درون requestها قرار داده شد از وبسایت‌های دیگر است یا نه. از آنجایی که درخواست‌های حساس نیاز به یک کوکی نشست احراز هویت دارد، محدودیت‌های SameSite که به درستی تنظیم شده‌ باشند می‌تواند از اجرای درخواست‌های بین-سایتی جلوگیری کند.
  • صحت سنجی Referer-based: تعدادی از برنامه‌ها هدر HTTP Referrer  برای جلوگیری از حملات CSRF استفاده می‌کنند که نشان می‌دهد درخواست‌های ارسال شده از سمت دامین خود برنامه یا وبسایت می‌باشد. این مورد در مقایسه با سایر موارد تاثیر کمتری دارد.

نکته پایانی

همانگونه که توضیح داده شد نقطه شروع و آغازین این حمله نیز مانند بسیار دیگر از حملات، مهندسی اجتماعی و فیشینگ می‌باشد. لذا اولین مرحله مقابله با این حمله آگاهی در خصوص روش‌های مهندسی اجتماعی و فیشینگ است. کلیک بروی لینک‌های مشکوک اصلی‌ترین دلیل در معرض خطر قرار گرفتن در مقابل CSRF می‌باشد. همچنین وبسایت‌های سرویس دهنده نیز باید مکانیزم‌های امنیتی را فراهم نمایند که در برابر این حملات ایمن شوند. همچنین توصیه می‌شود، در صورتی که به یک لینک مشکوک برخورد کردید آن را کپی و در یک مرورگر دیگر و یا در حالت Private Mode که در مرورگرها تحت عناوین مختلفی عنوان شده‌اند.

0 دیدگاه

دیدگاهتان را بنویسید

Avatar placeholder

نشانی ایمیل شما منتشر نخواهد شد. بخش‌های موردنیاز علامت‌گذاری شده‌اند *