Scopri cos'è l'attacco CSRF hackerando un casinò online

Blog

Questo articolo è stato originariamente pubblicato su: https://www.blog.duomly.com/what-is-csrf-attack-tutorial-for-beginners/




introduzione

Oggi parleremo di cos'è l'attacco CSRF.

Sapevi che qualcuno può rubare i tuoi soldi usando solo una semplice immagine?



In questo tutorial, ti mostrerò come hackerare un casinò online insieme!

Nel primo post sulla sicurezza web, parlavamo dell'hacking di un'app bancaria tramite SQL Injection.



Il collegamento è qui:

Tutorial di attacco SQL Injection per principianti

Oggi ci concentreremo su qualcos'altro, ma comunque pericoloso e abbastanza facile da fare.

È particolarmente pericoloso perché molti siti Web e applicazioni sono vulnerabili a questo attacco.

arch linux su lampone pi 3

Imparerai cos'è un attacco CSRF e perché l'attacco CSRF può essere pericoloso.

Successivamente, discuteremo come effettuare un attacco CSRF e come proteggere l'app.

Iniziamo!

Se preferisci il video, ecco la versione youtube:

Cos'è l'attacco CSRF?

CSRF è un tipo di vulnerabilità di sicurezza che consente a un utente malintenzionato di eseguire qualsiasi azione su un'altra applicazione.

Soprattutto in una situazione, quella in cui la vittima è autenticata, e vorremmo fargli qualsiasi azione per noi.

È più focalizzato sulla modifica dello stato interno dell'app che sul push dei dati all'attaccante.

Perché un attacco CSRF è pericoloso

L'attacco CSRF può essere molto pericoloso, specialmente quando lo mescoleremo con quello XSS.

È principalmente mirato a compiere azioni nel nostro account autenticato, ma senza la nostra conoscenza e autorizzazione.

Ad esempio, immagina la situazione in cui siamo lettori di qualsiasi forum della comunità. Abbiamo effettuato l'accesso alla nostra e-mail o al conto bancario in una finestra del browser diversa.

Un utente malintenzionato può caricare un'immagine dannosa nel forum.

Può essere sufficiente che vedremo solo il suo post, il prossimo codice dall'immagine chiamerà il nostro account di posta elettronica.

Questa chiamata può modificare le impostazioni del nostro account di posta elettronica.

nessuna formula disponibile o botte con il nome mongodb

Ad esempio, tutte le email che arriveranno nella nostra casella di posta possono essere inoltrate anche alla casella di posta dell'attaccante.

Come proteggere l'app dall'attacco CSRF

In questa sezione, ti mostrerò alcuni metodi critici (per me) che possono impedire alla tua applicazione di attaccare CSRF.

Non è tutto quello che puoi fare, ma questi sono cruciali, secondo me.

Vale la pena fare ricerche e studiarne di più perché forse nel tuo progetto ci sarà bisogno di un po' più di sicurezza.

Ho usato un elenco puntato per renderlo il più chiaro possibile.

1. Stringi CORS e accetta chiamate solo da un'origine nota

2. Utilizzare i cookie dello stesso sito

3. Usa il token CSRF

4. Usa sessionId, solo per questa sessione

5. Usa le tue intestazioni personalizzate nelle chiamate

6. Non usare mai GET per la chiamata che dovrebbe fare qualcos'altro oltre a restituire i dati

7. Evita di sviluppare funzionalità che eseguiranno azioni speciali solo visitando l'URL

Di cosa ho bisogno per l'attacco CSRF

VirtualBox o VMware:

Puoi trovare VirtualBox (è gratuito) o acquistare/usare una versione di prova di VMware (è meglio).

Dojo di sicurezza web:

Web Security Dojo è un sistema operativo con molti strumenti utili come burp, Nikto o sqlmap che puoi utilizzare per allenare le tue abilità di hacking.

Il secondo fatto importante è che Web Security Dojo contiene alcuni obiettivi che puoi usare legalmente per hackerare.

Puoi scaricarlo da questo link:

https://sourceforge.net/projects/websecuritydojo/

Conoscenza dell'uso di SQL Injection:

In questa lezione, useremo SQL Injection per passare l'autenticazione del Casinò, e sarà necessario.

Non preoccuparti se non sai ancora come usarlo!

Nell'episodio precedente, ho creato un'intera lezione su SQL Injection di base.

Puoi impararlo e addestrarlo lì.

Ecco il post sul blog del tutorial 'Cos'è l'attacco SQL Injection':

Tutorial di attacco SQL Injection per principianti

peso ios-14

Ed ecco la versione youtube:

HTML molto semplice:

Utilizzeremo HTML per creare alcuni modelli della pagina con codice dannoso.

Useremo quel modello per hackerare il Casinò in seguito.

Se non sai ancora come usare l'HTML, non preoccuparti!

Puoi semplicemente seguire quello che facciamo nella lezione di oggi, oppure puoi fare un intero corso html&css qui:

Corso HTML e CSS

Come effettuare un attacco CSRF

Avvia la macchina:

Il primo passaggio di cui abbiamo bisogno è eseguire l'intero ambiente.

Esegui il tuo Web Security Dojo di VMware o VirtualBox e attendi che venga caricato.

Avvia il Casinò:

Quando il nostro Web Security Dojo è caricato, dobbiamo eseguire il Casinò.

Il primo passo è entrare nel menu (è l'icona blu nell'angolo in alto a sinistra).

Successivamente, dovresti aprire una scheda denominata 'Obiettivi'.

E, come ultimo passaggio, dovresti fare clic su 'Hacme Casino Start'.

Casinò aperto:

Il tuo server dovrebbe essere caricato, ora puoi aprire il Casinò.

Entra nel browser e digita nella barra degli indirizzi:

http://casino.local:3000
Hackerare l'autenticazione:

Quando hai visitato quell'URL, dovresti vedere il sito web del Casinò e un modulo di accesso.

Non conosciamo il login e la password dell'account dell'asso.

Quindi possiamo hackerarlo tramite SQL Injection.

Puoi hackerarlo con alcuni dei metodi che hai già imparato nella lezione precedente o utilizzare quello di seguito.

L'input della password dovrebbe essere vuoto e nell'input dell'utente dovresti digitare:

miglior motore di template per il nodo js
') OR 1=1 —
Prepara il sito Web dannoso:

Congratulazioni, hai violato l'accesso all'account dell'asso!

Successivamente, dovremmo creare un sito Web dannoso, in cui inseriremo la nostra immagine con l'URL falso, che effettuerà una chiamata al Casinò (dove la nostra vittima ha effettuato l'accesso).

Innanzitutto, devi creare una cartella per questo e, successivamente, devi creare il file index.php con il codice.

Guarda l'esempio qui sotto:

   
Esegui il sito Web dannoso:

Il prossimo passo è semplicemente eseguire il nostro server PHP che ospiterà il nostro sito dannoso.

Apriamo il terminale nella directory che contiene il nostro codice e digitiamo:

php -S localhost:8000
Accedi come bobby_blackjack:

In questo passaggio, dobbiamo essere una vittima per un po'.

Dobbiamo accedere come vittima e dare un'occhiata al nostro profilo (della vittima) o al saldo.

Ecco le credenziali che possiamo utilizzare.

login: bobby_blackjack pass: twenty_one
Apri il sito Web dannoso quando una vittima ha effettuato l'accesso (bobby_blackjack):

Ora inizia il divertimento!

Dobbiamo inviare l'URL dannoso alla vittima e aspettarci che lo apra.

Successivamente, quando la pagina viene caricata, il codice dannoso renderà l'immagine.

L'immagine ha il link dannoso che verrà licenziato e invierà del denaro dal conto della vittima all''andy_ace', che in questo caso è il nostro conto.

http://localhost:8000
Esci e accedi come andy_ace:

Dopo l'attacco corretto, possiamo accedere all'account andy_ace utilizzando nuovamente SQL Injection.

Vedete una maggiore quantità di denaro?

Congratulazioni!

Hai rubato soldi al bobby_blackjack!

Conclusione

Congratulazioni!

Ora sai cos'è CSRF, perché l'attacco CSRF è pericoloso e come effettuare l'attacco CSRF.

Sai anche come proteggere la tua app dall'attacco CSRF.

Seguici per acquisire competenze di sicurezza web più popolari e commenta ciò che vorresti imparare nelle prossime lezioni!

Ricorda, non puoi hackerare il software o le app di cui non sei il proprietario o non hai il permesso del proprietario.

È illegale e può avere enormi conseguenze.

Grazie per aver letto,

gia bennett cura della pelle

Radek di Duomly

#web-development #database #sql #api #html

www.blog.duomly.com

Scopri cos'è l'attacco CSRF hackerando un casinò online

Questo articolo è stato originariamente pubblicato su: https://www.blog.duomly.com/what-is-csrf-attack-tutorial-for-beginners/ ---

introduzione

Oggi parleremo di cos'è CSRF...