התקפת CSRF
פרקי ההרצאה: התקפת CSRF
תמלול ההרצאה: התקפת CSRF
הטקסט המלא של הדקות הראשונות בהרצאה «התקפת CSRF» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.
שלום לכולם, הגענו להתקפות CSRF שגם נקראות התקפות של קליק אחד שבאות לנצל את העובדה שיוזר תמים לוחץ על קישור שהבאנו לו ואז אנחנו עושים command submit, כאילו אנחנו נותנים פקודה בשמו של היוזר לאתר אינטרנט שסומך עליו והוא עבר שם עימות היוזר נכנס, קיבל קוקי שהוא מאומן שהכל בסדר
ואנחנו שולחים לו לינק, הוא לוחץ עליו ואז באתר הזה מתבצעות פעולות בשמו והוא בכלל לא שם לב לזה כי בתוך הלינק אנחנו נותנים פעולה לדוגמה אנחנו עכשיו באתר של dvwa שזה אתר אינטרנט פרוץ כזה ובהתקפת csrf יש לנו אפשרות להחליף סיסמה מי אני עכשיו אני עכשיו יוזר שסומכים עליו כי הוא עבר עימות של שם וסיסמה הכל תקין אם תסתכלו בפנים יש
לי פה קוקי שמזהה שעברתי שם וסיסמה אתם רואים פה קוקי סשן קוקי רואים שהסשן הזה עבר שם וסיסמה אז הכל בסדר אני יוזר תקין ואני כיוזר הרגיל יכול להחליף סיסמה באתר לדוגמה אני יכול לעשות סיסמה חדשה נעשה סיסמה של מייקרוסופט סתם אני עושה pstrudel ssw0rd כותב פעמיים סיסמה חדשה כל תקין זה הכל
בסדר אבל האתר הזה כשהוא מחליף את הסיסמה הוא גם שולח אותה לאתר אינטרנט דרך url שזה בסדר זה הכל תקין אין פה שום דבר כזה רע אז מה אפשר לעשות עם הפעולה הזאת אפשר לבנות כזה לינק לקחת את הלינק הזה בתוך הלינק הזה לשים איזושהי סיסמה חדשה שאני רוצה שתהיה למשתמש זאת אומרת אני מחליף סיסמה עכשיו בלי לעבור דרך האתר אלא רק דרך הלינק שזה אותו דבר הרי מה עשה האתר בסוף
האתר בסוף שלח את הלינק הזה עם כל הפרמטרים האלו לשרת והשרת ביצע החלפת סיסמה הוא רואה פה סיסמה חדשה שחוזרת על עצמה פעמיים ופעולת צ'יינג' עכשיו מה עושה האקר הזדוני הוא לוקח מפרסם קישור כזה באיזשהו אתר אינטרנט תמים או שולח אימייל תלחץ פה בן אדם בתמימות מגיע ולוחץ על הקישור לוחץ על הקישור ואז פתאום הופה הסיסמה שלו משתנה ולמעשה גרמתי לפעולה
אצל משתמש מורשה בלי שהוא מודע למה כי נתתי לו ללחוץ על קישור והקישור עשה את כל הדברים וזה נקרא Cross-Site Request Forgery. זה אומר הונאת ריקווסט. ריקווסט פורג'ירי זה הונאת ריקווסט, הונאת בקשה.
למה הונאה? כי אני עושה בקשה בשמו בלי שהוא מודע לזה. עכשיו, למה כל זה עובד? כי יש לי את הקוקי שעברתי עימות, ומבחינתו של האתר זה בן אדם לחץ על זה.
עד עכשיו זה נהדר ופשוט. עכשיו, השאלה היא איך מגינים נגד זה? תכף אנחנו נראה. אני אקפוץ ישר לרמת Impossible, למה שאי אפשר כבר לעשות את ההתקפה, איך הגנו על זה?
אומרים לבן אדם, כשאתה בא להחליף סיסמה, תכניס סיסמה ישנה. אז זהו, כבר האקר לא יכול פתאום לבנות לינק, כי הוא לא יודע את הסיסמה הישנה, כי צריך לדעת את הסיסמה הקודמת של היוזר.
זאת אומרת, האקר יכול לגרום לפעולה רק אם הוא יודע את כל מה שצריך להיות בלינק. איך הוא יודע כל מה שצריך להיות בלינק? כי לפני כן הוא נכנס לאתר הזה, קלט איך האתר בנוי, קלט שכל פעם שמכניסים פה סיסמה חדשה, נניח בפרופיל של היוזר, היא נשלחת דרך URL, הוא קלט את זה, בדיוק כמו שאנחנו רואים את זה עכשיו, פה
אנחנו רואים פה ש-u-password נשלח דרך URL, זאת הסיסמה החדשה, ואז הוא לוקח את הלינק הזה ושולח למישהו תמים, הוא לוחץ עליו, ואז מתחלפת לו סיסמה לאתר בלי שהוא מודע לזה והאקר יכול להיכנס בשמו לאתר.
ולמנוע את זה, לעשות ככה שיהיה בלינק הזה משהו שהאקר לא ידע. לדוגמה שדה מסוים כמו סיסמה ישנה אוקיי אז לבל הראשון הלבל של הלאו אנחנו מתגברים בקלות על ידי שליחת בקשה פשוטה וזהו בוא נפעיל עכשיו פרוקסי אה יש לי פה פרוקסי מוכן עובד ואנחנו יכולים לראות כאן גם בפרוקסי שהבקשות נשלחות והכל בסדר אוקיי בואו
נעבור לרמת מדיום נעבור לרמה יותר גבוהה בוא נראה מה עשה המתכנת כדי להגן קצת יותר טוב מה הם עשו בוא ננסה לעשות את אותו הטריק ניקח פה נרשום פסוורד חדש נעשה את זה אחד אחד סתם אני רושם אחד אין לי כוח לרשום סיסמה אמיתית הנה בבקשה הסיסמה שלי הוחלפה פסוורד צ'יינג'ד אני לוקח את ה-url הזה הנה הסיסמה החדשה שזה מספר 1 אני לוקח
אותו שולח למישהו אחר הוא פותח את זה בדף נפרד כן כי זה לינק נפרד לוחץ על הלינק נפתח דף חדש עם לינק ואז פתאום הוא מקבל הודעה שמשהו פה לא תקין עכשיו מה השתנה?
למה לפני כן זה עבד ועכשיו זה לא עובד? מה המתכנת עשה שם? אנחנו יכולים להסתכל על בקשה אחת שהצליחה, זאת הקודמת, והבקשה האחרונה שלא הצליחה, זאת זאת.
בואו ננסה לראות איפה ההבדל ביניהם. תסתכלו טוב טוב, אתם רואים איזשהו הבדל, אני עובר ביניהם. תסתכלו פה במספרי שורות אולי, קולטים את ההבדל?
השורה הזאת של רפר, תסתכלו על שורה 8. מה זה השורה הזאת של רפר? השורה הזאת של רפר אומרת מאיזה עמוד הגעתי, כאילו מי הפעיל אותי פה בבקשה האחרונה לא הייתי בשום עמוד עכשיו המתכנת בודק שאכן הלקוח כבר נמצא באתר ברגע שליחת הבקשה שזה לא לינק בחלון חדש בוא נראה יש לנו גם אפשרות פה למטה לראות את הקוד אנחנו רואים את הקוד בצד של השרת כמובן באמצעות אי אפשר לראות את זה
וברמת מדיום אנחנו רואים שהוא בודק מה הרפר שהרפר הזה קיים ואם הרפר הזה לא קיים הוא מגיע פה לאלס הזה if אלס זאת אומרת שהוא רוצה לוודא שיש הפניה מהאתר הנכון.
אנחנו רואים פה שזה חייב להיות קיים. אוקיי, איך אנחנו עכשיו יכולים להפעיל את הסקריפט הזדוני שלנו מתוך האתר? זאת אומרת, לא להפעיל אותו כלינק חיצוני, אלא כמשהו פנימי.
אז אני אתן לכם רמז, יותר נכון, הם נותנים לנו רמז, פה למטה ב-view help הם גם אומרים לנו מה זה ה-CSRF attack, הם מסבירים לנו מה זה ההתקפה הזאת.
להפעיל פעולה שהלקוח לא רצה אותה על אפליקציה שכרגע הוא מעומד בתוכה. אז הנה הם מסבירים לנו מה זה הדבר הזה, זה למעשה לרכב, אני רוכב על העימות שכבר התבצע על קוקי מעומד ושולח בשמו פעולות.
אז יש לנו פה הסבר מה לעשות, שעל ידי סושיאל אינג'ינירינג, על ידי פעולות הטיה שילחץ על הלינק ונבצע פעולה, יש לנו פה גם כזה ספוילר שאם אנחנו נסמן אותו עם עכבר נתחיל לסמן אותו ככה עם עכבר אז הוא ייחשף לנו וכתוב פה פשוט לשלוח את הלינק ברמת מדיום ברמה בינונית הם אומרים לנו שחייבים שהלינק יהיה מתוך האתר
והם מציעים לנו להשתמש ב-XSS בהתקפת XSS למה XSS כי אנחנו יכולים להפעיל סקריפט מה זה XSS זה אומר הפעלת סקריפט בתוך האתר הפעלת סקריפט זדוני בתוך האתר מורשה אז אנחנו באים פה להתקפת XSS Reflected, ואני מזכיר לכם שכבר עשינו את ההתקפות האלו.
מה שקרה פה, ואנחנו ברמת מדיום, אנחנו נכתוב פה את השם, עושים submit, הוא כותב לנו Hello את השם שלנו, אבל את השם שהגיע ב-URL, האתר שלח ב-URL, משתקף כאן.
ואם פה במקום השם נרשום סקריפט, אז הסקריפט הזה מכאן יגיע לכאן ויתבצע. והגנה ברמה בינונית הייתה שכתבנו מילת סקריפט בתוך סקריפט, אני מזכיר לכם, זאת אומרת לקחנו פה סקריפט בתוך סקריפט, כתבנו אלרט וסגרנו את הסקריפט וזה עבד לנו אז.
סקריפט זה פקודות לביצוע ואנחנו נגיד לו שיבצע כרגע אלרט, אבל במקום לעשות אלרט אנחנו יכולים להגיד לו תגלוש לאתר הזדוני שלי, למעשה לאותו אתר, תגלוש לאותו אתר ותעשה את הפעולה, הפעולה של החלפת סיסמה. עוד פעם, אני גולש לאותו אתר 188, למעשה אני אומר לסקריפט הזה תגלוש בדיוק לאותו
אתר, עם אותה פעולה שמחליפה סיסמה. ברגע שאנחנו נבצע דבר כזה, תסתכלו מה קורה פה בפרוקסי. זאת הפעולה האחרונה שלנו, תזכרו 703. איפה היא? 703, זאת הפעולה האחרונה שלנו.
אנחנו נבוא לכאן, נכניס לו את האלרט לפה או בשדה של טקסטבוקסי. יכלנו גם להכניס אותו כאן. זה לא משנה אם אנחנו מכניסים אותו כאן או שאנחנו מכניסים אותו כאן.
ברגע שאנחנו עושים submit, אנחנו רואים פה בקשה 704. ציפיתי שתהיה עוד אחת. אני לא רואה פה עוד אחת כנראה שמשהו פה השתבש לנו בוא ננסה עוד פעם איך נעשה את זה נעשה את זה דרך פרוקסי נעביר את הדבר הזה לריפיטר אנחנו בכלי שנקרא ריפיטר העברתי את זה וכאן בריפיטר בקווירי פרמטרס אני מחליף את מה ששלחתי
כנראה ששלחתי את זה לא מקודד אוקיי בוא נעשה את זה ככה דיברנו על כל זה בעבר נקודד את זה עכשיו זה מקודד נשלח את זה נראה מה התוצאה שקיבלנו במקום לעשות את זה דרך דפדפן, עשינו את זה דרך פרוקסי.
הנה, אני רואה פה את הסקריפט שלי, ה-hello שלי. אוקיי, זה נראה בסדר, כן? זה נראה שהסקריפט חוזר תקין. אוקיי, אז נעשה קופי url, נלך לדפדפן, כי הוא צריך לבצע את זה בכל זאת, ונדביק את זה פה.
הופה, הדבקנו את זה פה, ואנחנו רואים, קודם כל ככה, אנחנו רואים פתאום ש-password changed, ואנחנו רואים בפרוקסי, מה שהתכוונתי להראות לכם מההתחלה, שהייתה בקשה, אתם יכולים לראות פה באיזה זמן היא הייתה, איפה השעה?
ב-7 בבוקר, כמובן זה לא שעה בינתיים, ו-11 שניות, 7 ו-10 ו-11 שניות הייתה בקשה הזאת, וישר במיידי, איך שחזרה התשובה, ישר יצאה עוד בקשה.
זה הסקריפט שלי שביקש להחליף סיסמה. אבל בגלל שהסקריפט הופעל מתוך העמוד הזה, ניצלתי את האקססס שיעריץ סקריפט זדוני ובתוך הסקריפט הזדוני נתתי לו פקודה להחליף סיסמה אבל בגלל שהסקריפט רץ מתוך האתר כבר אנחנו רואים פה את הרפר, את המפנה, מי הפנה אותו והוא רואה שזה אותו אתר אז למעשה אנחנו עד עכשיו היינו חיצוניים עכשיו אנחנו ניצלנו אקססס בשביל שהסקריפט הזדוני ישתקף בעמוד תמים
של אקססס ואז הדפדפן יבצע אותו ויעבור לעמוד אחר ששם כבר מוחלפת הסיסמה. כל הסיפור זה לבנות לינק זדוני ושהיוזר יריץ אותו, זה נקרא CSRF. אוקיי, עכשיו ברמת היי, ברמה יותר גבוהה, הם כבר ממש השתפרו.