​​Современные web-уязвимости (6.CSRF- Cross Site Request Forgery)

Эксклюзивно для Codeby продолжаю публиковать перевод ресерчей по книге 2021 года от Brandon Wieser. В этот раз разберем CSRF уязвимости и как их находить. Прежде чем мы обсудим следующий тип cross-origin атак, нам нужно определить новую концепцию - идею запроса, изменяющего состояние данных (state-changing request). В контексте безопасности веб-приложений, запрос на изменение состояния может быть определен как веб-запрос, который изменяет хранящуюся информацию с одного значения на другое. Например, запросы, которые изменяют информацию профиля пользователя (адрес, номер телефона, имя и т. д.), учетные данные пользователя, электронную почту для сброса пароля, независимо от того, включена ли для пользователя двухфакторная аутентификация, перевод средств с одного банковского счета на другой или автоматическая покупка товара в интернет-магазине (Amazon's One-Click Buy, например).

Читать: https://codeby.net/threads/sovremennye-web-ujazvimosti-6-csrf-cross-site-request-forgery.78214/

#web #csrf #pentest

​​Современные web-уязвимости (7.CSRF Bypass – Clickjacking Drag and Drop)

Эксклюзивно для Codeby продолжаю публиковать перевод ресерчей по книге 2021 года от Brandon Wieser. В этой главе восточно-европейский хакер Юрий и его юный подаван Газманов перейдут от теории к практике и проэксплуатируют CSRF уязвимость через clickjacking. Напомню, кликджекинг (clickjacking) - это атака, которая является формой изменения пользовательского интерфейса (UI). Clickjacking-атака — это попытка через изменение пользовательского интерфейса жертвы, обычно с использованием HTML тега <iframe>, заставить пользователя выполнить запрос на изменение данных. На вредоносном сайте злоумышленник, используя iframe, внедряет в уязвимое веб-приложение другой HTML-документ, содержащий форму для изменения данных.

Читать: https://codeby.net/threads/sovremennye-web-ujazvimosti-7-csrf-bypass-clickjacking-drag-and-drop.78229/

#web #csrf #pentest

​Современные web-уязвимости (7.CSRF Bypass – Clickjacking Drag and Drop)

Напомню, кликджекинг (clickjacking) - это атака, которая является формой изменения пользовательского интерфейса. Clickjacking-атака — это попытка через изменение пользовательского интерфейса жертвы, обычно с использованием HTML тега iframe, заставить пользователя выполнить запрос на изменение данных. На вредоносном сайте злоумышленник, используя iframe, внедряет в уязвимое веб-приложение другой HTML-документ, содержащий форму для изменения данных.

📌 Читать далее

#beginner #pentest #csrf

​Аудит веб-приложения. Уязвимость с CSRF

Вавилен был доволен своим рабочим местом в конторе. В один момент начальство, очередной раз заработав на труде Вавилена, решает с ним не делиться. Они теряют ценного сотрудника и получают обманутого человека, который жаждет возмездия. После ухода из конторы, все наши права на доступ к инфраструктуре были отозваны. Основные ресурсы бизнеса располагаются в веб-приложении, которое обрабатывает массивы данных. Компрометация веб-приложения позволит заполучить всю нужную информацию. В истории нашего браузера остался IP адрес сервера...

📌 Читать далее

#history #pentest #csrf

​Аудит веб-приложения. Уязвимость с CSRF

Вавилен был доволен своим рабочем местом в конторе. Он зарабатывал деньги себе и своему начальству, которое предоставляло для этого инфраструктуру. Но в один момент, начальство, очередной раз заработав на труде Вавилена, решает с ним не делиться. Они теряют ценного сотрудника и получают обманутого человека, который жаждет возмездия.

📌 Читать далее

#pentest #xss #csrf