Hackerlar web tarayıcınızı zorlayarak istedikleri siteden istek gnderebilirler. Tek yapmaları gereken sizin bir bağlantıya tıklamanızı ya da bir e-postayı okumanızı sağlamak. Eğer sitede de bir koruma yoksa -ki genellikle yoktur- hackerlar tarayıcınızda sizin yapabileceğiniz her şeyi yapabilir. zelliklerle oynayabilir, şifrelerinizi değişebilir hatta banka hesabınıza girebilir. Tüm bu kargaşanın altında Cross-Site bağlantısı vardır. Tarayıcılar bu bağlantıyı kesmek için genellikle "benzer kaynak ilkesini" kullanır. Bu ilke basitçe şyledir; eğer sitenizin kaynaklarının tümü eşleşmiyorsa bu site üzerinden başka bir siteye bilgi gnderimi ya da alımı yapamazsınız. Bu yntem dışında internet üzerinde cross-site bağlantısı için başka bir güvenlik nlemi yoktur. Eğer ayrı bir web tarayıcısı kullanmıyorsanız her site bir diğerine veri gnderebilir. Yegane yntem olan "benzer kaynak ilkesi" yntemini aşmak ise saldırganlar için çokta zor değil. "IMG, FORM, SCRIPT, IFRAME" gibi etiketleri kullanarak kurbanın tarayıcısında bir istek oluşturulabilir bu da hedef siteye gnderilir. Saldırganlar bu yntem ile sahte istekler gnderir. Bu saldırı yntemi "cross-site request forgeries" ya da kısaca CSRF olarak adlandırılır. rnek olarak Netflix'e yapılan CSRF saldırısına bir gz atalım.<img src=http://www.netflix.com/AddToQueue?movieid=70011204 width="1" height="1" border="0"><body onload="document. forms . submit "><form method="POST" action="https://bank.com/transfer. do"> <input type="hidden" name="account" value="123456789"/> <input type="hidden" name="amount" value="2500"/></form> Saldırgan bir resim etiketini istediği yere koyabilir, bir blog'a, web sayfasına ya da bir e-postanın içine. Kaza ile bu etiketi içeren bir sayfaya girerseniz ve Netflix hesabınıza da giriş yapmışsanız hesabınıza gizlice bir film eklenmiş olacaktır. Daha gelişmiş saldırılar ardarda koyulan CSRF parçalarının sırayla çalışmasından doğabilir. Düşünün ki tarayıcınız çıldırdı ve ortalığı dağıtmaya başladı. Peki neler yapabilir? Giriş yaptığınız e-postalarınızı karıştırabilir. Daha nce giriş yaptığınız banka hesaplarında ne var ne yok diye gz atabilir. Ya da daha nceden "beni hatırla" seçeneğini işaretlediğiniz web sayfalarını gzüne kestirebilir. Peki ya iş yerinizdeyseniz ya da nemli bir ağa bağlı iseniz? Çılgın web tarayıcınız bu ağ için artık fitili çekilmiş bir bombadan farksızdır. İşte tüm bu saldırılar CSRF yntemi ile basitçe ve uzaktan yapılabilir. Güvenlik SanatıPeki tüm bu kargaşadan nasıl korunacağız? Dediğimiz gibi tarayıcılar güvenlik için yetersiz bu nedenle güvenlik nlemlerini kendimiz almalıyız. İlk olarak web sitelerine giriş yapmış durumda kalmayın. Bir sayfadan çıkacaksanız sadece tarayıcıyı kapatmayın mutlaka "çıkış " bağlantısına da tıklayın. Diğer bir adım ise eğer CSRF'den korkuyorsanız kritik siteleriniz için ayrı tarayıcılar kullanın. Şirketler intranet uygulamaları genellikle için bu yntemi izlerler. Eğer bir CSRF saldırısı altındaysanız büyük ihtimalle olağadan dışı bir şey grmeyeceksiniz. Çünkü tamamen bağlantıların ynlendirilmesi ile yapılan CSRF saldırıları dışarı uyarı vs. vermez. Bunu anlamanın tek yolu saldırının hedefi olan hesaplarınızdaki anlık değişimlerdir. Ayrıca CSRF çok güçlü bir teknikte olsa genellikle XSS ile birlikte kullanılır. Bu şekilde bağlantıya müdahale edildikten sonra sistemde çeşitli uygulamalarda çalıştırılabilir. Gelişen saldırı yntemleriyle birlikte yakında CSRF-XSS kurtçuklarının çıkması olası grünüyor. Şuanda CSRF'den en iyi korunma metodu rastgele anahtarlar oluşturmaktır. Bu anahtarları uygulamanızın içerisine, URL'nin içine ya da gizli bir form ile ekleyebilirsiniz. rnek;http://www.siteismi.com/?token=8FD41A&data=1 Yanlış anahtarla gelen istekleri bu şekilde tespit edebilir ve geri gnderebilirsiniz. Bunun dışında eğer kodlarla uğraşmak istemiyorsanız OWASP'ın geliştirdiği OWASP CSRFGuard bir çzüm olabilir. CSRF'den kurtulmak istiyorsanız yukarıdaki değişik yntemleri kullanabilirsiniz fakat en nemli güvenlik nleminin sizin dikkatiniz olduğunu hiç bir zaman unutmayın. Yazar: Jeff WilliamsOrjinal Kaynak: http://www.aspectsecurity.com/Türkçe Çeviri ve Kaynak: Guvenli. orgNot: İlgili konuda Türkçe bulunamayacak kalitede bir dküman. Yararlanmanızı tavsiye ederim. Bilgi güçtür, düşmanını barışa zorlar.