偵測

跨網站要求偽造

medium Web App Scanning Plugin ID 98112

語系：

概要

跨網站要求偽造

說明

經驗證的使用者遭誘騙而按一下連結時，該連結會在未經使用者同意的情況下自動提交要求，此時會發生跨網站要求偽造 (CSRF) 攻擊。

如果要求不包含防禦 CSRF 權杖 (每次造訪要求會產生此權杖並在提交要求時傳遞)，並且 Web 應用程式後端可使用此權杖來驗證要求是否源自合法使用者，就可能會發生此攻擊。

利用容易受到跨網站要求偽造攻擊的要求時，需要具有不同的因素：

- 此要求必須執行敏感動作。

- 受害者必須有使用中的工作階段。

- 攻擊者必須讓受害者按一下連結，以便在未經同意的情況下傳送此要求。

掃描程式偵測到僅經驗證的使用者可以使用的要求，其中的所有參數皆為已知或可預測。因此，此要求可能容易遭受 CSRF 攻擊。

可能需要手動驗證，以確認要求提交後是否會執行敏感動作，例如重設密碼、修改使用者設定檔、在論壇上張貼內容等。

解決方案

更新應用程式，在經驗證的工作階段中提供的任何敏感表單中新增防禦 CSRF 權杖支援。
多數 Web 架構提供內建解決方案，或具有可用來輕鬆將這些權杖新增至任何表單的外掛程式。參閱針對大多數已知架構提供的可能解決方案的參考資料。

另請參閱

http://en.wikipedia.org/wiki/Cross-site_request_forgery

http://www.cgisecurity.com/csrf-faq.html

https://codex.wordpress.org/WordPress_Nonces

https://docs.djangoproject.com/en/1.11/ref/csrf/

https://docs.joomla.org/How_to_add_CSRF_anti-spoofing_to_forms

https://symfony.com/doc/current/form/csrf_protection.html

https://www.drupal.org/docs/7/security/writing-secure-code/create-forms-in-a-safe-way-to-avoid-cross-site-request-forgeries

https://www.nccgroup.trust/globalassets/our-research/us/whitepapers/csrf_paper.pdf

https://www.owasp.org/index.php/Cross-Site_Request_Forgery_(CSRF)

https://www.owasp.org/index.php/Testing_for_CSRF_(OTG-SESS-005)

Plugin 詳細資訊

嚴重性: Medium

ID: 98112

類型: remote

已發布: 2017/3/31

已更新: 2024/6/26

掃描範本: full, pci, scan

風險資訊

VPR

風險因素: Medium

分數: 4.9

CVSS v2

風險因素: High

基本分數: 7.5

媒介: CVSS2#AV:N/AC:L/Au:N/C:P/I:P/A:P

CVSS 評分資料來源: Tenable

CVSS v3

風險因素: Medium

基本分數: 6.3

媒介: CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:L

CVSS 評分資料來源: Tenable

參考資訊