.jpg)
Cross-Site Request Forgery (CSRF), Türkçe'de Siteler Arası İstek Sahteciliği, bir saldırı türüdür ve web uygulamalarında yetkili bir kullanıcının bilgisi dışında isteklerin yapılmasını sağlar. CSRF saldırıları, bir kullanıcının oturum bilgilerini, yetkilerini veya kimliğini kullanarak kötü niyetli bir işlemi gerçekleştirmeye çalışır. Bu saldırılar genellikle kurbanın tarayıcısını hedef alır ve kullanıcının bir web sitesinde oturum açmış olması durumunda işler.
CSRF Nasıl Çalışır?
- Kurbanın Oturumunun Açık Olması: Saldırı yapılacak web sitesinde kurbanın bir oturumu açık durumdadır (örneğin, bir banka uygulamasında oturum açmış).
- Kötü Amaçlı Bir Bağlantı veya Form: Saldırgan, kurbanın oturum bilgisini kullanmak için kötü amaçlı bir bağlantı, form veya JavaScript kodu oluşturur.
- Kurbanın Bu İsteği Göndermesi: Kurban, saldırganın hazırladığı bağlantıya tıkladığında veya kötü amaçlı bir formu doldurduğunda, tarayıcı kullanıcı adına yetkili bir işlem yapar.
- İşlem Başarıyla Gerçekleşir: Çünkü tarayıcı, aynı siteden gelen isteklere otomatik olarak çerezleri ekler (örneğin, oturum bilgileri).
Örnek Senaryo
- Bir kullanıcı bankasının web sitesinde oturum açmıştır.
- Saldırgan, kullanıcıya e-posta ile kötü amaçlı bir bağlantı gönderir:
- Kullanıcı bu bağlantıya tıkladığında, bankanın sunucusu isteği işler çünkü kullanıcının oturumu hala aktif ve çerezler otomatik olarak eklenmiştir.
- Sonuç olarak, kurbanın bilgisi dışında saldırganın hesabına para transfer edilir.
CSRF'den Korunma Yöntemleri
- CSRF Token Kullanımı: Her bir işlem için benzersiz bir token (örneğin,
csrf_token) oluşturulur. Bu token, form veya istekle birlikte gönderilir ve sunucu bu tokeni doğrular. - Doğrulama Mekanizmaları: Kritik işlemler için kullanıcıdan ekstra doğrulama istenebilir (örneğin, şifre girme veya CAPTCHA).
- SameSite Çerez Özelliği: Çerezlerin yalnızca aynı siteden gelen isteklere dahil edilmesi sağlanır.
- CORS Politikalarının Kullanımı: Yalnızca izin verilen sitelerden gelen istekler işlenir.
- Karmaşık URL'ler ve Referer Doğrulama: Sunucu, isteğin geldiği referer başlığını kontrol edebilir.
CSRF saldırıları, özellikle kullanıcı verilerinin veya fonlarının bulunduğu uygulamalarda oldukça tehlikeli olabilir. Güvenlik için yukarıdaki yöntemlerin uygulanması önemlidir.
Cross-Site Request Forgery Nedir ?
4/
5
Oleh
WebYazilimciniz
.jpg)
.png)
.png)
.png)
.png)
.jpg)
Lütfen yorum yaparken şunlara dikkat ediniz:
Küfürlü, siyasi veya huzur bozucu yorumlar yapmamaya,
Reklam, spam gibi yorumlar yapmamaya.