Frage zu CSRF

[baserider]

Hi,

habe mich eben mal etwas mit diesem Thema beschäftigt.
Ist die Abwehr solcher Angriffe nur auf Formulare beschränkt, die sich hinter einem Login befinden oder könnte man auch z.B. ein normales Kontaktformuar schützen?

Meist wird ja dazu in einem versteckten Feld ein Token hinterlegt und dieser dann mit dem Token aus der Session verglichen.

Um bei Kontaktformular zu bleiben: Es hindert mich ja niemand, den Quellcode inklusive Token zu kopieren und dann das Formular von einem anderen Server abzuschicken. Oder habe ich da was falsch verstanden?

 

[ice-breaker]

Oder habe ich da was falsch verstanden?

Ja, und auf Wikipedia kannst du es nochmal nachlesen.

• es ist nicht auf Formulare beschränkt sondern gilt für alle Anfragen
• ob Login oder nicht spielt keine Rolle, CSRF bleibt CSRF
• Daten auf einen Server kopieren und da ausführen hat Null (!) mit CSRF zu tun

 

[baserider]

Daten auf einen Server kopieren und da ausführen hat Null (!) mit CSRF zu tun

Weshalb nicht?
Ich kann doch das Opfer mit einem Link auf meine Seite locken und dann wird der Angriff ausgführt.

 

[ice-breaker]

Lies den Artikel und es wird dir klar was CSRF ist. Quelltext kopieren und zu einem Server schicken geht eben nicht, dazu ist eine XSS-Lücke nötig, und dann kann mit JS auch gleich die Lücke aushebeln.
Ein CSRF-Schutz funktioniert nicht, wenn du noch andere Lücken im System hast, womit sich der Schutz aushebeln lässt (XSS, Remote File Inclusion usw).

 

[baserider]

Quelltext kopieren und zu einem Server schicken hatte ich auch nie vor bzw. das auch nie unter CSRF verstanden.