This site is the archived OWASP Foundation Wiki and is no longer accepting Account Requests.
To view the new OWASP Foundation website, please visit https://owasp.org
Difference between revisions of "Germany/Projekte/Top 10 fuer Entwickler-2013/A8-Cross-Site Request Forgery (CSRF)"
(User user = ESAPI.authenticator().logout;) |
(Link auf DefaultHTTPUtilities.java angepasst (war fehlerhaft)) |
||
Line 61: | Line 61: | ||
private String csrfToken = resetCSRFToken();<br/> | private String csrfToken = resetCSRFToken();<br/> | ||
<br/> | <br/> | ||
− | '''/** (B) In zu schützenden FORM-Seiten (B1), oder Urls (B2) das CSRF-Token als 'hidden field' hinzufügen, vgl [http://code.google.com/ | + | '''/** (B) In zu schützenden FORM-Seiten (B1), oder Urls (B2) das CSRF-Token als 'hidden field' hinzufügen, vgl [http://code.google.com/p/owasp-esapi-java/source/browse/trunk/src/main/java/org/owasp/esapi/reference/DefaultHTTPUtilities.java]**/'''<br/> |
<!-------------------------- POST-Request und QS fehlen noch --------------------------------> | <!-------------------------- POST-Request und QS fehlen noch --------------------------------> | ||
Revision as of 18:29, 15 April 2013
← Top_10_fuer_Entwickler/A4_Unsichere direkte Objektreferenzen | Top_10_fuer_Entwickler/A6_Sicherheitsrelevante Fehlkonfiguration → |
Seite in Bearbeitung (BAUSTELLE!!)
A5 Cross-Site Request Forgery (CSRF, XSRF, Session Riding)
______ | Ausnutzbarkeit DURCHSCHNITTLICH |
Verbreitung SEHR HÄUFIG |
Auffindbarkeit EINFACH |
Auswirkung MITTEL |
Application / Business Specific |
Jeder, der einem Nutzer einer Webanwendung einen nicht beabsichtigten Request für diese Anwendung unterschieben kann. Hierfür kommt jede Website oder jede HTML-Quelle in Betracht, die der Nutzer verwendet. | Durch Image-Tags, XSS oder andere Techniken löst das Opfer unbeabsichtigt einen gefälschten HTTP-Request für eine Anwendung aus. Falls der Nutzer authentisiert ist, wird dieser Angriff Erfolg haben. | CSRF zielt auf Anwendungen, die es dem Angreifer erlauben, alle Details eines Requests für eine bestimmte Aktion vorherzusagen.
Da Browser Informationen zum Session-Management automatisch mitsenden, kann ein Angreifer gefälschte Requests auf bösartigen Websites hinterlegen, die von legitimen Requests nicht unterschieden werden können. CSRF-Schwächen sind leicht durch Penetrationstests oder Quellcode-Analysen auffindbar. |
Der Angreifer kann unbemerkt das Opfer über dessen Browser dazu veranlassen, alle Daten zu ändern oder jede Funktion auszuführen, für die das spezifische Opfer berechtigt ist. | Betrachten Sie den Geschäftswert der betroffenen Daten oder Funktionen. Es bleibt die Unsicherheit, ob der Nutzer die Aktion ausführen wollte. Bedenken Sie mögliche Auswirkungen auf Ihre Reputation. |
Mögliche Angriffsszenarien
Die Anwendung erlaubt es einem Benutzer, einen zustandsändernden Request auszulösen, der kein geheimes Token beinhaltet, wie z.B.:
Dadurch kann ein Angreifer einen Request erzeugen, der Geld vom Konto des Opfers auf das Konto des Angreifers transferiert. Diesen bettet er in einem Image-Tag oder einem Iframe ein und hinterlegt ihn in einer beliebigen Website.
Wenn das Opfer eine präparierte Seite besucht, während es z.B. bereits auf example.com authentisiert ist, wird der untergeschobene Request unbemerkt ausgeführt, da der Browser die aktuellen Session-Informationen automatisch mitsendet und somit unbeabsichtigt autorisiert. |
Wie kann ich 'Cross-Site Request Forgery (CSRF)' verhindern?
Um CSRF zu verhindern, muss ein unvorhersagbarer Token im Body oder in der URL eines jeden HTTP-Requests eingebettet sein (und geprüft werden). Ein solcher Token sollte für mindestens jede Nutzer-Session, besser noch für jeden Request, einzigartig sein.
|
- JAVA
- Test
- Test LanguageFile 2010 en
- Test LanguageFile 2010 us
- Test LanguageFile 2010 Default
- Test LanguageFile 2013 Default
- Test LanguageFile Default
Verteidigungs-Option 1 gegen 'Cross-Site Request Forgery (CSRF)':
ESAPI /** (A) CSRF-Token erzeugen **/ /** (B2) das CSRF-Token als 'hidden field' in den GET-Request hinzufügen **/
<%
} catch( Exception e ) {
}
|
Verteidigungs-Option 2 gegen 'Cross-Site Request Forgery (CSRF)':
CSRF Guard
<context-param>
</context-param>
</context-param>
</listener>
</filter>
</filter-mapping> vgl Owasp.CsrfGuard.Test |
Auswirkung(en) auf den Benutzer
Tbd!!
Z.B. Keine Bookmarks auf ausgefüllte Eingabe-Formulare, Suchergebnisse; Frameworks funktionieren teilweise nicht für Web 2.0 | |
Referenzen
OWASP
Andere |
Verteidigungs-Option 1 gegen 'Cross-Site Request Forgery (CSRF)':
tbd Text |
Verteidigungs-Option 2 gegen 'Cross-Site Request Forgery (CSRF)':
tbd Text |
Verteidigungs-Option 3 gegen 'Cross-Site Request Forgery (CSRF)':
(ganze Breite) Text | |
Wie kann ich 'Cross-Site Request Forgery (CSRF)' verhindern?
Text | |
Auswirkung(en) auf den Benutzer
Text |
Referenzen
|
Defending Option 1 against 'Cross-Site Request Forgery (CSRF)':
tbd Text |
Defending Option 2 against 'Cross-Site Request Forgery (CSRF)':
tbd Text |
Defending Option 3 against 'Cross-Site Request Forgery (CSRF)':
tbd (ganze Breite) Text | |
How Do I Prevent 'Cross-Site Request Forgery (CSRF)'?
Text | |
Impact to the User
Text |
How Do I Prevent 'Cross-Site Request Forgery (CSRF)'?
Text |
References
|
Defending Option 1 against 'Cross-Site Request Forgery (CSRF)':
tbd Text |
Defending Option 2 against 'Cross-Site Request Forgery (CSRF)':
tbd Text |
Defending Option 3 against 'Cross-Site Request Forgery (CSRF)':
tbd (ganze Breite) Text | |
How Do I Prevent 'Cross-Site Request Forgery (CSRF)'?
Text
| |
Impact to the User
Text |
How Do I Prevent 'Cross-Site Request Forgery (CSRF)'?
Text |
References
|
Defending Option 1 against 'Cross-Site Request Forgery (CSRF)':
tbd Text |
Defending Option 2 against 'Cross-Site Request Forgery (CSRF)':
tbd Text |
Defending Option 3 against 'Cross-Site Request Forgery (CSRF)':
tbd (ganze Breite) Text | |
How Do I Prevent 'Cross-Site Request Forgery (CSRF)'?
Text | |
Impact to the User
Text |
How Do I Prevent 'Cross-Site Request Forgery (CSRF)'?
Text |
References
|
Defending Option 11 against 'Security Misconfiguration':
tbd Text |
Defending Option 2 against 'Security Misconfiguration':
tbd Text |
Defending Option 3 against 'Security Misconfiguration':
tbd (ganze Breite) Text | |
How Do I Prevent 'Security Misconfiguration'?
Text | |
Impact to the User
Text |
How Do I Prevent 'Security Misconfiguration'?
Text |
References
|
Defending Option 1 against 'Cross-Site Request Forgery (CSRF)':
tbd Text |
Defending Option 2 against 'Cross-Site Request Forgery (CSRF)':
tbd Text |
Defending Option 3 against 'Cross-Site Request Forgery (CSRF)':
tbd (ganze Breite) Text | |
Impact to the User
Text |
How Do I Prevent 'Cross-Site Request Forgery (CSRF)'?
Text |
How Do I Prevent 'Cross-Site Request Forgery (CSRF)'?
Text | |
References
|
← Top_10_fuer_Entwickler/A4_Unsichere direkte Objektreferenzen | Top_10_fuer_Entwickler/A6_Sicherheitsrelevante Fehlkonfiguration → |
![CC-by-sa-3 0-88x31.png](/images/6/64/CC-by-sa-3_0-88x31.png)