Hola estas semanas que ando estudiando mas, y metiendome nuevamente en el area de seguridad lei sobre CSRF lo primero que dije fue wtf? un xss… me quede con cara de tonto, porque no comprendia a que se referia es xss lo cual me llevo a investigar y poder comprender, lo primero CSRF esta en el top 10 de OWASP.
El primer y principal error que tuve fue al generilizar e indicar que un Cross Site Request Forgery (CSRF o XSRF) era igual que un Cross Site Scripting (XSS), ya que es totalmente diferente no tiene ninguna relación enseguida veremos el porque y como poder explotar esta vulnerabilidad.
¿Qué es un Cross Site Request Forgery ?
Un CSRF, es una vulneralidad que su función es la de explotar una sesión de un usuario sin tener los credenciales necesarios, es decir generando peticiones en base a la sesion actual.
Nos vamos a un ejemplo un poco mas claro tengo una cuenta bancaria de bitcoins, ya que anda de moda ….
Ejemplo:
www.bitcoinsbank.com/data/misBit/donar.php?ID=3782121&confirm=Yes"
Como ven en el link que hacemos? tenemos un link que es donar.php que tiene algunos parámetros los cuales podemos explotarlos y usarlos el ID llegaria a ser nuestro ID para poder pasarnos un monto de bitcoins sin que la persona sepa como vemos eso es generico no existe una confirmación adicional ni nada, lo cual podemos confirmar y recibir el dinero como facil enviando el link a SeguridadJabali :) .. me preguntan como podemos llegar a ser eso si el sabe pues facil tenemos algunas opciones una de las cuales es mandarle en un link embebido o bien dentro de un imagen.
Esta tecnica recuerden que solo es vulnerable si estas en una seccion activa del mismo modo podemos usar otro servidor el cual contenga alguna información.
Donde esta la diferencia ahora entre el XSS y el CSRF en que el xss explota al usuario en base a la certeza de seguridad que se tiene con la pagina web, por lo tanto CSRF se va al otro lado es decir explota la confianza del sitio web hacia el browser, es decir que esta seguro el sitio que el navegador que esta siendo por el usuario manda la solicitud.
Una entrada rapida Sabadera antes que acabe el dia, si me olvide de algo o falta mas información o bien ya sea que me equivoque en los terminos porfavor una notificación que estamos para aprender, en las proximas entradas veremos como explotar con herramientas y a su vez como detectar y satinizar el problema.
Regards,
Snifer
