csrf javascript autosubmit

HackForum

csrf javascript autosubmit#
ahoj,
nedavno jsem se tady na soomu v clanku od .cCuMiNn. docetl o tom jak snadne je ukrast domenu - o domenu mi ani tak nejde, spis o princip, jakym byl "utok" proveden.. v textu jsem nasel odkaz na tema csrf, pln informaci jsem nadsene vyzkousel popsane metody i na jeden projekt, u ktereho me zajimala jeho "neprustrelnost". oddychl jsem si po zjisteni, ze utok pres javascriptovy document.form.submit() provest nejde, ovsem bez tohoto automatickeho odesilani (situace kdy uzivatel musi kliknout na odesilaci tlacitko sam) z nejakeho duvodu osetrena neni a csrf se provede. zajimalo by me cim to je, jaky je rozdil mezi form.submit() a tim, kdy uzivatel formular odesle sam.

diky za odpoved
(odpovědět)
looptroop | 90.180.218.*5.11.2011 19:27
re: csrf javascript autosubmit#
jak uz sem psal do redakce v zadosti o smazani.. :), 3 hodiny nad timto dumam a 2 vteriny po odeslani prispevku me napadne reseni... stacilo ve formulari jsem mel input type=submit u odesilaciho tlacitka, staci toto zmenit na type=text (server pravdepodobne toto policko ocekaval, takze to neslo smazat uplne) - potom funguje i js submit()
(odpovědět)
looptroop | 90.180.218.*5.11.2011 20:04
re: csrf javascript autosubmit#
Jen doplním, že je dobré vždy použít lokální proxy a porovnat komunikaci odeslanou z regulerního webu a tu odeslanou během CSRF. Na rozdíly, které mohou způsobovat problém, se pak velmi rychle přijde.

----------
Teprve když vstáváte s hackingem a uléháte s myšlenkou na něj, máte šanci být hackerem.
(odpovědět)
.cCuMiNn. | E-mail | Website | PGP5.11.2011 20:17
re: csrf javascript autosubmit#
.cCuMiNn. mohl bys to s tou lokalni proxy pripadne trochu rozvest? dik
(odpovědět)
looptroop | 90.180.218.*5.11.2011 20:46
re: csrf javascript autosubmit#
looptroop: TamperData, WebScarab, apd. viz.články o manipulaci soutěží.

----------
Teprve když vstáváte s hackingem a uléháte s myšlenkou na něj, máte šanci být hackerem.
(odpovědět)
.cCuMiNn. | E-mail | Website | PGP5.11.2011 23:04
re: csrf javascript autosubmit#
.cCuMiNn. : mal by som takú otázku , dosť webov používa ako ochranu proti csrf skryté pole vo formulári s niakym vygenerovaný hashom , v tom prípade by sa útok nedal uskutočniť cez nami vytvorený formulár v iframe .Ale nie všetky webi majú ako napríklad facebook ochranu proti načítaniu v iframe (facebook pri pokuse o načítanie v iframe zruší iframe a načí ta sa na fullscreen ....)a keby sme načítali do iframe napríklad w w w.b a n ka .sk / zmen.php kde by sa nachádzal daný formulár s kontrolným hashom , a pomocou javascriptu by sme odoslali .Šlo by to ? A ak áno prečo sa taká to ochrana používa proti CSRF ? :)
(odpovědět)
nitram147 | E-mail6.11.2011 11:12
re: csrf javascript autosubmit#
nitram147: Nešlo by to kvůli Same Origin Policy. JavaScript spuštěný na jedné doméně nemůže přistupovat k obsahu, který je načten z jiné domény. Pokud ale jde načíst formulář do rámu, pak je s úspěchem možné k útoku využít clickjacking.

----------
Teprve když vstáváte s hackingem a uléháte s myšlenkou na něj, máte šanci být hackerem.
(odpovědět)
.cCuMiNn. | E-mail | Website | PGP6.11.2011 11:16

Zpět
 
 
 

 
BBCode