Jump to content

Recommended Posts

Posted

Τι είναι το Cross-Site Request Forgery ή αλλιώς CSRF ή XSRF ?

Είναι ένα είδος επίθεσης η οποία γίνετε ως εξής....

O Admin Κάνει Login

 

2qda2o1.png

 

Username: admin

Password: admin

 

29xvvc2.png

 

π.χ. ο admin θέλει να αλλάξει τον κωδικό του σε κάτι ποιό δύσκολο

 

35bt8qp.png

 

qsoyex.png

 

Ο admin μπορεί να μην είδε ότι στο URL υπάρχει η εντολή

password_new=test&password_conf=test&Change=Change

Τι μπορούμε να καταλάβουμε απο το URL

1) Μπορείς να αλλάξεις τον κωδικό απο εκεί

2) Δεν χρειάζεται Username ή κάτι τέτοιο οπότε πιάνει για όλους τους χρήστες που πηγαίνουν στο URL

 

Άν όμως το παρατηρούσε ένας "Hacker" την ώρα που άλλαζε τον κωδικό του ?

Τι θα κάνατε στην θέση του... ?

Θα σας πώ τι θα έκανα εγώ

1) Θα έπερνα το URL και θα το άλλαζα απο

 

http://127.0.0.1/dvwa/vulnerabilities/csrf/?password_new=test&password_conf=test&Change=Change#

 

http://127.0.0.1/dvwa/vulnerabilities/csrf/?password_new=Hacked&password_conf=Hacked&Change=Change#

 

Tώρα είναι το θέμα πώς θα "αναγκάσουμε" τον Admin να το πατήσει...

Ας πούμε ότι ήταν Admin σε αυτό το φόρουμ

Θα μπορούσαμε να κάνουμε αυτό

 

Press Here!

 

Όταν το πατήσει ο admin

 

6ig1up.png

 

Αν προσπαθήσει να κάνει Login με το κανονικό του Username Και Password

Username: admin

Password: test

(Αφού τον αλλάξε πρίν)

 

 

e6uee9.png

 

Login Failed!

 

11uuaec.png

 

Αν δοκιμάσει ο Hacker να κάνει Login όμως...?

 

2vdha8x.png

 

Πλέον είναι αυτός admin

 

29xvvc2.png

 

Create an account or sign in to comment

You need to be a member in order to leave a comment

Create an account

Sign up for a new account in our community. It's easy!

Register a new account

Sign in

Already have an account? Sign in here.

Sign In Now


×
×
  • Create New...

Important Information

This community uses essential cookies to function properly. Non-essential cookies and third-party services are used only with your consent. Read our Privacy Policy and We have placed cookies on your device to help make this website better. You can adjust your cookie settings, otherwise we'll assume you're okay to continue..