Giriş

Cross Site Reference Forgery (XSRF), bir eylemi gerçekleştirmek için web tabanlı uygulamaları tahmin edilebilir yapı içinde etkileyebilecek bir saldırı türüdür. Bu saldırının ismi farklı şekillerde kısaltılabilmektedir ama en genel kullanımı XSRF şeklinde olup CSRF ile aynı anlama gelmektedir. XSRF saldırıları, aynı zamanda “Saldırgan Linkleme” saldırıları olarak da bilinmektedir. CSRF ismi, Peter Watkins (peterw@usa.net) tarafından 2001 Haziran ayında verilmiştir. XSRF saldırılarına karşı hassas olan uygulamaların, XSRF kusuruna sahip olabileceği veya XSRF’ye karşı kusurlu duruma gelebileceği söylenilmektedir.

XSRF kusurları; kullanıcıları denetlemek için çerezleri, tarayıcı denetlemelerini ve istemci tarafı sertifikalarını kullanan ve önceden tahmin edilebilir eylem yapısına sahip olan web uygulamalarında oluşmaktadır. XSRF’deki ana fikir çok basittir; saldırgan, bir linkle veya başka bir içerikle hedef uygulama üzerinde, saldırganın seçimiyle, kurbanın eylemlerini yöneten bir başka eylemi gerçekleştirerek kullanıcıyı aldatır. Bu, HTTP GET örneği üzerinde anlamak için en kolay tanımdır.

Örneğin;

http://www.google.com/search?q=iSEC+Partners

Bu linke tıklanılması halinde Google’da “iSEC Partners” olarak arama yapılmaktadır. Bu zararsızdır.

http://www.isecpartners.com/EditProfile?action=set&key=emailAddress&value=evil@isecpartners.com

Fakat link yukarıdakine benzer bir şekilde olursa; sadece çerez, tarayıcı denetlenmesi veya sertifikasıyla ispatlanmış kullanıcılara, herhangi bir uygulama üzerinden başka kullanıcının profilini düzenlemeye veya e-posta adresini değiştirmeye izin verecektir.

Uygulamalarınızı Cross-Site Request Forgery(CSRF) karşı sağlamlaştırmak, hiçbir zaman kolay olmamıştır. Bir program sizi bu işten kurtarırken, niye web sitenizde her formu yeniden yazıyorsunuz?

Basit bir şekilde aşağıdaki satırı, her PHP dosyasının en üstüne yazın;

require_once ’/path/to/csrf-magic.php’;

ve rahatınıza bakın.

Download: http://csrf.htmlpurifier.org/releases/csrf-magic-1.0.0.tar.gz

Deneme: http://csrf.htmlpurifier.org/dev/test.php

CSRF Nedir?

Cross-Site Request Forgery (CSRF), web sitelerinde şu günlerde görülen, nispeten yeni bir saldırı türüdür. Bir web sitesi üzerinde tarayıcı sayesinde bir eylemi gerçekleştirme üzerine kurulu bir saldırıdır. Şimdi şu senaryoyu düşünün: Bob, büyük ve önemli bir şirkette, sadece bir butona tıklamasıyla işe alma ve işten çıkarma yetkisine sahip olan bir insan kaynakları müdürü. Mallory pratik bir şaka olarak Bob’a CSRF saldırısı yapmaya karar verir. Mallory, hire and fire(işten alıp çıkarma) web sitesine otomatik olarak form gönderen bir web sitesi kullanarak Bob’u kandırır. Ertesi sabah, tüm çalışanlar gelen kutusunda pembe slip bulurlar.

Neden CSRF-Magic?

CSRF önleme için bulunan güncel standartlar, bir “şimdiki zaman” oluşturmaktadır. Bu oldukça etkili olabilir; ama çok can sıkıcı bir iştir. Eğer uygulamalarınıza girebilmek için formlarınızı el ile yazıyorsanız, CSRF koruması etkisini tam gösteremeyebilecektir.

İşte burada csrf-magic devreye girmektedir. Csrf-magic, mekanik olarak dökümanınızda, formları ve scriptleri yeniden yazmak için PHP’nin output buffering yeteneğini kullanır. Aynı zamanda POST isteklerini de engelleyecektir. Bu; formlarla beraber normal bir web sitesi için, csrf-magic’i kurup gerisini düşünmemeniz anlamına gelir.

Kaynak: http://csrf.htmlpurifier.org/

Çeviri: Serdar BARAKLI