Archwium dla tagu ‘CSRF’
Cross-site request forgery – CSRF
W notce Bezpieczenstwo mechanizmu sesji wspomniałem o niebezpieczeństwie związanym z CSRF. Kilka osób dało mi znać, że pojecie to nadaj nie jest dla nich jasne. W poniższej notce postaram się rozwiązać wszelkie wątpliwości.
Niebezpieczeństwo HTML’a
Od dawna w Internecie przyjęło się, że ataki z rodziny HTML Injection są mało groźne i nie warto się nimi przejmować. Potwierdzeniem tego faktu jest ogromna liczba podatnych stron, w skład których wchodzą takie serwisy jak Onet, Wirtualna Polska, Gazeta.pl, a nawet YouTube. Faktem decydującym o takim stanie rzeczy jest utożsamianie tych ataków z niegroźnymi […]
Bezpieczeństwo mechanizmu sesji
Czym są sesje? Sesje są rozwiązaniem problemu bezstanowości protokołu HTTP, w którym żądania nie są ze sobą powiązane. Umożliwiają one identyfikacje żądań poszczególnych użytkowników za pomocą przekazania identyfikatora sesji. Jest on dołączany do każdej odpowiedzi serwera jako ciastko, ukryte pole w kodzie strony lub jako dodatkowy parametr adresu URL. Fizycznie są to pliki tekstowe zawierające […]
Błędy na DobraOpcja.pl
. grzech: brak filtracji danych konsekwencja: podatność na XSS, SQL Injection, CSRF możliwość usunięcia konta innego użytkownika Serwis DobraOpcja.pl jest polskim klonem MySpace’a. Jak na serwis web dwa zerowy przystało znajdziemy tam pastelowe kolory, zaokrąglone rogi, oraz jako że jest to polskie web 2.0 – błędy. Błędy, które możemy znaleźć to XSS (wstrzyknięcie własnego kodu […]