K
kr4l
CSRF - Black Box Test:
Black box testi gerçekleştirebilmek için kısıtlı bölgedeki (kimlik doğrulandıktan sonra girilebilen alan) URL'leri bilmek lazım. Eğer geçerli bir credential varsa hem kurban hem de saldırgan rolleri simüle edilebilir.
Aksi durumda, eğer geçerli bir credential yoksa, legal yollardan sisteme girmiş bir kullanıcıyı hazırladığımız bir linkr tıklamaya ikna ederek gerçek bir saldırı düzenlememiz gerekir.
Her iki durumda da test şu şekilde bina edilebilir:
"u" test edilecek URL olsun.
"u"ya bir talep de içeren bir html sayfası hazırlanır. GET talebi için bu düz bir talep olacak, fakat POST talebi için bir takım Javascript koduna başvurmak gerekecek.
Geçerli kullanıcının sisteme login olduğundan emin olmak gerekir.
Kullanıcıyı "u"ya talep içeren linke tıklamak için geçerli kullanıcı ikna edilir.
Sonuç göztlenir, mesela web sunucunun talebi gerçekleştirip gerçekleştirmediği.
CSRF - Gray Box Test
Uygulamanın oturum yönetiminin zaafiyet içerip içermediği denetlenir. Eğer oturum yönetimi sadece istemci tarafındaki değerlere dayanıyorsa (browser'a açık bilgi) uygulamada zaafiyet var demektir. "İstemci tarafındaki değerler"dan kasıt, cookie'ler ve HTTP kimlik doğrulama credential'ları (Basic authentication ve diğer HTTP kimlik doğrulamalar; uygulama seviyesi kimlik doğrulama olan form-based authentication DEĞİL). Bir uygulamanın zaafiyet içermiyor olması için URL içinde oturumla ilişkili bilgi içermeli, ki bu bilgiler kullanıcılar tarafından tanımlamamalı ya da tahmin edilememeli.
Black box testi gerçekleştirebilmek için kısıtlı bölgedeki (kimlik doğrulandıktan sonra girilebilen alan) URL'leri bilmek lazım. Eğer geçerli bir credential varsa hem kurban hem de saldırgan rolleri simüle edilebilir.
Aksi durumda, eğer geçerli bir credential yoksa, legal yollardan sisteme girmiş bir kullanıcıyı hazırladığımız bir linkr tıklamaya ikna ederek gerçek bir saldırı düzenlememiz gerekir.
Her iki durumda da test şu şekilde bina edilebilir:
"u" test edilecek URL olsun.
"u"ya bir talep de içeren bir html sayfası hazırlanır. GET talebi için bu düz bir talep olacak, fakat POST talebi için bir takım Javascript koduna başvurmak gerekecek.
Geçerli kullanıcının sisteme login olduğundan emin olmak gerekir.
Kullanıcıyı "u"ya talep içeren linke tıklamak için geçerli kullanıcı ikna edilir.
Sonuç göztlenir, mesela web sunucunun talebi gerçekleştirip gerçekleştirmediği.
CSRF - Gray Box Test
Uygulamanın oturum yönetiminin zaafiyet içerip içermediği denetlenir. Eğer oturum yönetimi sadece istemci tarafındaki değerlere dayanıyorsa (browser'a açık bilgi) uygulamada zaafiyet var demektir. "İstemci tarafındaki değerler"dan kasıt, cookie'ler ve HTTP kimlik doğrulama credential'ları (Basic authentication ve diğer HTTP kimlik doğrulamalar; uygulama seviyesi kimlik doğrulama olan form-based authentication DEĞİL). Bir uygulamanın zaafiyet içermiyor olması için URL içinde oturumla ilişkili bilgi içermeli, ki bu bilgiler kullanıcılar tarafından tanımlamamalı ya da tahmin edilememeli.