Frage zu CSRF

Dieter Gast #5283267
Lesenswert?
• ▲
▼ 
Hi zusammen,

ich habe im Internet gelesen, dass man per CSRF im Kontext eines 
irgendwo angemeldeten Users schabernack treiben kann:

https://poe-php.de/sicherheit/was-ist-cross-site-request-forgery-csrf

Als Beispiel wird Facebook genannt, wo ohne CSRF-Gegenmaßnahmen ein 
ungewollter Formular-POST ausgelöst werden könnte. Ein Formular-Token 
soll wohl Abhilfe schaffen.
Hier frage ich mich, warum der Angreifer nicht zuerst ein GET sendet, 
dadurch ein frisches Token erhält und dann den POST mit eben diesem 
gültigen Token zurück an Facebook sendet?
Mache ich einen Denkfehler oder wie genau funktioniert jetzt der Schutz 
gegen CSRF durch Tokens?

Grüße...Dieter
Antwort Zitieren Bearbeiten Thread verschieben Thread sperren Anmeldepflicht aktivieren Anpinnen Thread löschen Thread mit anderem zusammenführen Beitrag melden
TestX Gast #5283272
Lesenswert?
• ▲
▼ 
Der Trick ist ja, dass man per Weiterleitung irgendeinen scheiß mit 
"seiner" Session auslöst. Den Token kann sich die andere Webseite 
allerdings nicht klauen, da diese keinen Zugriff auf die Session hat..
Antwort Zitieren Bearbeiten Löschen Beitrag melden
Thread beobachten

Antwort schreiben

Eine eigene Frage? Dieser Thread ist über 8 Jahre alt. Stell sie in einem eigenen Thread – dort lesen mehr Leute mit, und sie wird öfter und schneller beantwortet.

Neuen Thread starten

Eine Lösung, Ergänzung oder Rückmeldung zu diesem Thread? Dann antworte hier.

Formatierung
  • [c]C-Code[/c]
  • [code]Code in anderen Sprachen, ASCII-Zeichnungen[/code]
  • [math]Formel in LaTeX-Syntax[/math]
  • [[Titel]] – Link zu einem Artikel
  • Verweis auf einen anderen Beitrag: Rechtsklick auf dessen Beitrags-ID (#8078628), „Adresse kopieren“, in den Text einfügen

Mehr zur Formatierung

Längeren Sourcecode als Anhang, nicht in den Text. JPG nur für Fotos und Scans; Zeichnungen und Screenshots als PNG oder GIF. Siehe Bildformate.

Dein Name und deine E-Mail-Adresse

Schon registriert? Anmelden

Wird nicht angezeigt. Wir schicken dir einen Link; sobald du damit bestätigst, erscheint dein Beitrag.

Mit dem Abschicken legst du einen kostenlosen Account an und erkennst die Nutzungsbedingungen und die Datenschutzerklärung an.