هجمات تزوير الطلب عبر المواقع (Cross-Site Request Forgery) فكرتها إرسال طلبات للموقع من مصادر غير موثوقة، مثل إرسال بيانات Form من طرف ثالث لم يسجل بالموقع ولم يقم بتحميل الصفحة من السيرفر الفعلي، بل يرسل طلبيات للرابط مباشرة بدون طلب الصفحة بشكل سليم.
يقوم المخدم بتكوين Token (سلسسلة أحرف و أرقام ويحفظها في الجلسىة) ويرسلها للمستخدم الذي قام بتحميل الصفحة.
بعدما يقوم المستخدم بملئ النموذج، Form ويرسله، يعود المتصفح ويرسل CSRF مجدداً للخادم بحيث يتحقق الخادم من المستخدم.
فكرتها إرسال طلبات للموقع من مصادر غير موثوقة، مثل إرسال بيانات Form من طرف ثالث لم يسجل بالموقع ولم يقم بتحميل الصفحة من السيرفر الفعلي، بل يرسل طلبيات للرابط مباشرة بدون طلب الصفحة بشكل سليم.
ماتنفع التحققات التي نبرمجها في السيرفر لمدخلات المستخدم والكوكيز او الجلسه من هذه العمليه
يعمل هجوم CSRF لأن طلبات المتصفح تتضمن تلقائيًا جميع ملفات تعريف الارتباط بما في ذلك ملفات تعريف الارتباط للجلسة لذلك إذا تمت مصادقة المستخدم على الموقع فلا يمكن للموقع التمييز بين الطلبات المصرح بها المشروعة والطلبات المصادق عليها المزورة وهذه بعض الطرق للحماية من هذا الهجوم
تحقق مما إذا كان إطار العمل الخاص بك يحتوي على حماية CSRF مضمنة واستخدمها
لا تستخدم طلبات GET لعمليات تغيير الحالة.
استخدم ملفات تعريف الارتباط المزدوجة
ضع في اعتبارك تنفيذ الحماية القائمة على تفاعل المستخدم للعمليات شديدة الحساسية
مجتمع لمناقشة وتبادل الخبرات حول تطوير الويب. ناقش أحدث التقنيات، اللغات، والأدوات في عالم تطوير المواقع والتطبيقات. شارك مشاريعك، اسأل عن نصائح، وتعاون مع مطورين محترفين وهواة.