Fałszowanie żądań między witrynami (CSRF) - Burp Academy скачать в хорошем качестве

Fałszowanie żądań między witrynami (CSRF) - Burp Academy

W tym odcinku omawiam szczegółowo podatność na fałszowanie żądań między witrynami (CSRF), czyli Cross-Site Request Forgery. CSRF to rodzaj ataku, który umożliwia atakującemu skłonienie użytkownika do wykonania niezamierzonych działań na stronie, na której jest aktualnie zalogowany. W tym filmiku przedstawiam, czym jest CSRF, jak rozpoznać tę podatność oraz jak przygotować skuteczny exploit. Podczas omawiania podstaw CSRF, wyjaśniam kluczowe elementy, które muszą być spełnione, aby atak CSRF był możliwy. Znajdziesz tu również trzy najczęściej stosowane metody obrony przed CSRF: użycie tokenów CSRF, ustawienie flagi SameSite dla ciasteczek oraz weryfikację za pomocą nagłówka Referer. W części praktycznej pokazuje, jak ręcznie skonstruować atak CSRF i jak wykorzystać Burp Suite do przeprowadzenia testów. Zawiera to przygotowanie złośliwego kodu HTML, który może zmienić adres e-mail użytkownika bez jego wiedzy. Całość kończy się opisem rozwiązania laboratorium związanym z tym tematem. Link do Laboratorium: https://portswigger.net/web-security/... Dodatkowe Materiały: CSRF Token: https://portswigger.net/web-security/... SameSite: https://portswigger.net/web-security/... Referer: https://portswigger.net/web-security/... --- Spis treści: 0:00 - 0:16 - Fałszowanie żądań między witrynami 0:17 - 0:31- Co to jest CSRF? 0:32 - 1:00 - Skutki ataku CSRF 1:01 - 2:18 - Kiedy atak jest skuteczny? 2:19 - 2:50 - Przykład żądania podatnego na atak 2:51 - 3:32 - Zasadza działania exploitu 3:33 - 3:50 - Inne przypadki CSRF 3:51 - 4:17 - Sposoby przygotowywania exploitu 4:18 - 5:28 - Jak atakujący dostarcza exploit? 5:29 - 6:04 - Podsumowanie teorii 6:05 - 6:57 - Opis zadania 6:58 - 9:36 - Omówienie podatnej witryny 9:37 - 12:22 - Przygotowanie i przetestowanie exploita 12:23 - 12:36 - Rozwiązanie zadania 12:37 - 14:07 - Najczęściej spotykane metody obrony 14:08 - 14:25 - Podsumowanie --- #csrf #crosssiterequestforgery #burpsuite #BezpieczeństwoWebowe #TokenCSRF #samesite #referer #ObronaCSRF