No es muy alentador saber que este tipo de ataques web existe hace más de 20 años, pero lo increíble de esto es que hasta el día de hoy es posible explotar muchas aplicaciones con estos fallos.
CSRF del acrónimo Cross Site Request Forgery, muchas veces mencionado como XSRF y es realmente una de esas vulnerabilidades que nos permiten modificar información de un usuario autenticado en un sistema web por ejemplo, desde otro punto o formulario de la aplicación.
Sin importar si las peticiones son de tipo POST o GET, este tipo de vulnerabilidades se ha cobrado muchas víctimas y entre los fallos más populares encontramos a los CMS como Joomla! WordPress o Drupal que constantemente son vulnerando, teniendo la posibilidad de crear usuarios y privilegios de Administrador como es el caso del fallo publicado en WordPress 3.3.1
Más de 20 años a un problema que parece no tener fin y que es una responsabilidad de los programadores realizar el correcto procesamiento de los formularios antes de ejecutar alguna acción con los datos recibidos.
Una buena técnica que utilicé para evitar estos fallos y que lo proveen la mayoría de los Frameworks de Programación es la de la utilización de Tokens dinámicos obtenidos de una sesión establecida entre el usuario y la aplicación y que siempre se modifica, por ello el nombre de dinámico.
Por último les dejo un video que explica como podemos explotar la vulnerabilidad de CSRF en un entorno de prueba controlado llamado DVWA.
No hay comentarios.:
Publicar un comentario