Путать с той же политикой происхождения браузеров

Question

Путать с той же политикой происхождения браузеров

1

Как мы знаем, в той же политике происхождения браузеров запрещен запрос async запроса иностранному происхождению. Эта цель политики заключается в предотвращении атаки CSRF.

Но мы по-прежнему можем синхронно запрашивать иностранное происхождение, и браузер будет использовать целевой файл cookie, а затем снова CSRF. Exp. Мы можем добавить скрытую форму на веб-сайт хакера и автоматически отправить запрос на целевой сайт.

Так нужна ли эта политика?

laoqiren 12 июль 2018, в 11:25

Источник

0

« Но мы все равно можем синхронно обращаться к иностранному источнику ». Можем ли мы на самом деле?
Teemu 12 июль 2018, в 09:23
0

@Temu. Exp. Мы можем добавить скрытую форму на сайт хакера и автоматически отправить запрос на целевой сайт.
laoqiren 12 июль 2018, в 09:24
0

Не уверен, понял ли я вопрос ... Если мы можем добавить скрытую форму на веб-сайте хакера, это означает, что мы хакер ..?
Teemu 12 июль 2018, в 09:30
0

@Teemu хакер может сделать это, чтобы атаковать целевой сайт
laoqiren 12 июль 2018, в 09:41
0

Обратите внимание, что та же самая политика происхождения не предотвращает CSRF в запросах ajax. Это только ответ, который не возвращается злоумышленнику, но в этих случаях ему все равно, запрос создается и обрабатывается на сервере-жертве.
Gabor Lengyel 12 июль 2018, в 12:11

Показать ещё 3 комментария

Теги:

csrf

javascript

security

cookies

web

1 ответ

Ещё вопросы

« Но мы все равно можем синхронно обращаться к иностранному источнику ». Можем ли мы на самом деле?
@Temu. Exp. Мы можем добавить скрытую форму на сайт хакера и автоматически отправить запрос на целевой сайт.
Не уверен, понял ли я вопрос ... Если мы можем добавить скрытую форму на веб-сайте хакера, это означает, что мы хакер ..?
@Teemu хакер может сделать это, чтобы атаковать целевой сайт
Обратите внимание, что та же самая политика происхождения не предотвращает CSRF в запросах ajax. Это только ответ, который не возвращается злоумышленнику, но в этих случаях ему все равно, запрос создается и обрабатывается на сервере-жертве.

Kapsonfire · Answer 1 · 2018-07-12T07-11-00.000Z

Чтобы закрыть CSRF Attack, вы можете использовать маркер, который будет проверяться позже. Таким образом, атакующий сайт со скрытой формой не знает токена с момента его ввода в код зарубежного веб-сайта. Одна и та же политика происхождения предотвратит чтение страницы иностранного сайта, чтобы вы не получили токен с асинхронным вызовом

https://en.wikipedia.org/wiki/Cross-site_request_forgery