Şimdi kullanıcı diyelimki zararlı bir siteye girdi. Aynı zamanda bizim sitedede oturum açık. Zararlı sitede javascript koduyla kullanıcıya benim sitemdeki bir form doldurtulabilir. Bunu nüne geçmek için asp. net mvc de AntiForgeryToken muhabbetini kullanıyoruz. CSRF saldırısı diye geçiyor. Bazı yerlerde sadece referrer kontrolu yapmayın mutlaka token falanda ekleyin demişler. Bense sadece token eklıyorum referrer falan kullanmadım hıc. Ondan acaba dedim referrer kontrolunu nerelerde kullanırız. CSRF için kullanmaya gerek var mıdır..

Peki bu referrer kontrolunu nerelerde yapmak lazım hocam o konuda bi fikrin var mı?

CSRF koruması için yeterli diye biliyorum ben. Yabancı kaynaklarda da bu şekilde okumuştum.

https://msdn.microsoft.com/en-us/library/dd492767(v=vs.118).aspx burdaki linkte AntiForgeryToken metodunun salt değer alan override larına obsolete demişler. Eskimiş değil mi? XSS içinde kullanıcıdan veri alırken zaten mvc default olarak tehlikeli karakterleri engellemiyor mu? Ekstra olarak neler yapıyorsunuz hocam XSS için? evet artık kaldırmışlar. XSS için https://dzone.com/articles/preventing-xss-aspnet-made AntiXSS artık framework ile birlikte geliyor amma yinede ekstra nlemler ala bilirsin yukardakı makele bir koç yol izlenilmiş.

Ben MVC yazarken ekstra nlem almıyordum. AntiXSS otomatik olarak nlüyordu. Bu konuda Stackoverflow'da adamın biri güvenlikçiden daha iyi bir güvenlikçi olmadıkça ekstra güvenlik nlemi alma çabasının yeni bi güvenlik açığı oluşturbileceğinden bahsetmişti ve mantıklıydı. Şu aşamada konusunda bizden daha uzman kişilerin yazdığı bir kodu kullanıp onlara güvenmeyi tercih ederim. XSS konusunda en büyük problemi bence WYSIWYG HTML Editor kullanılan durumlar oluşturuyor. herkes programcı olmak zorunda değildir, lütfen bir zorunluluk gibi programlama dilleri ğrenmeye çalışmayın. yabancı dil filan ğrenin amq.// s. kimin etini yerim, kasaba minnet etmem.// ince düşünene kalın girer.//

bu konudan grüp bende bir kaç forma validateforgerytoken ekledim :)

Referer kontrolu güçlü bir yntem değil. Bazı kullancılar gizlilik sebeblerine gre referer header kapatıyorlar. Eğer sitende bir çok forum varsa, Salt kullanarak byle bir şey yapa bilirsin : Html. AntiForgeryToken ve action methoda Bu yntem ile eğer token korumasını keçildiyse diğer Salt değeri her forumda farklı atandığı için tahmin edmiyecekdir. Bundan başqa XSS karşı nlem mutlaka al, eğer XSS açığın varsa zaten kullanıcının anti-forgery-token okuna bilecek. Başka bir yntem, her kullanıcı için formda birer 'şifre' oluştur bunun için GUID kullana ve ya her hangi method yazıb random şifre oluştura bilirsin. Şifreni hidden field olarak view de tanımla ve kullanıcının session ve ya cookie da kayd edib ordan okuya bilirsin. Çalışdığım şirketde biz sadece AntiForgeryToken kullanıyoruz sadece proje internal çalışacağı için rahatsız. türkçem iyi olmaya bilir kusura bakma. Homer tarafından 01/Eyl/16 20:35 tarihinde düzenlenmiştir

WYSIWYG HTML Editor falan kullanmıyorum sırf bu yüzden hocam. O zaman ekstra bişey yapmaya gerek yok heralde. Cevaplarınız için teşekkürler. Ama validateforgerytoken ı kullanın bence hocam same-origin policy tek basına yeterli olmuyo demişler 1-2 yerde. Yinede asp. net mvc ve xss, csrf ile falan yazmak isteyen arkadaslar yazarsa buraya güzel olur.

https://msdn.microsoft.com/en-us/library/dd492767(v=vs.118).aspx burdaki linkte AntiForgeryToken metodunun salt değer alan override larına obsolete demişler. Eskimiş değil mi? XSS içinde kullanıcıdan veri alırken zaten mvc default olarak tehlikeli karakterleri engellemiyor mu? Ekstra olarak neler yapıyorsunuz hocam XSS için?

Ben veri ekleme/silme/güncelleme yaptırdığım ekranlarda mutlaka koyuyorum hocam. Ancak verileri listelediğim yerlere koymuyorum. Zaten dnen sonucu gremez yazmışlar zaten dnen sonuçları grmesi cok onemlı değil bence nemli olan kullanıcıya haberı olmadan bişey eklettirmesin.

Şimdi kullanıcı diyelimki zararlı bir siteye girdi. Aynı zamanda bizim sitedede oturum açık. Zararlı sitede javascript koduyla kullanıcıya benim sitemdeki bir form doldurtulabilir. Bunu nüne geçmek için asp. net mvc de AntiForgeryToken muhabbetini kullanıyoruz. CSRF saldırısı diye geçiyor. Bazı yerlerde sadece referrer kontrolu yapmayın mutlaka token falanda ekleyin demişler. Bense sadece token eklıyorum referrer falan kullanmadım hıc. Ondan acaba dedim referrer kontrolunu nerelerde kullanırız. CSRF için kullanmaya gerek var mıdır.. Bilmedigimden soruyorum same origin policy zaten bu gorevi yapmıyor mu :/ ben olayi yanlis mi. anlamisim

Hocam neden byle bir koruma yntemine gerek duydun? herkes programcı olmak zorunda değildir, lütfen bir zorunluluk gibi programlama dilleri ğrenmeye çalışmayın. yabancı dil filan ğrenin amq.// s. kimin etini yerim, kasaba minnet etmem.// ince düşünene kalın girer.//

Hannibal_King bunu yazdı Şimdi kullanıcı diyelimki zararlı bir siteye girdi. Aynı zamanda bizim sitedede oturum açık. Zararlı sitede javascript koduyla kullanıcıya benim sitemdeki bir form doldurtulabilir. Bunu nüne geçmek için asp. net mvc de AntiForgeryToken muhabbetini kullanıyoruz. CSRF saldırısı diye geçiyor. Bazı yerlerde sadece referrer kontrolu yapmayın mutlaka token falanda ekleyin demişler. Bense sadece token eklıyorum referrer falan kullanmadım hıc. Ondan acaba dedim referrer kontrolunu nerelerde kullanırız. CSRF için kullanmaya gerek var mıdır.. Bilmedigimden soruyorum same origin policy zaten bu gorevi yapmıyor mu :/ ben olayi yanlis mi. anlamisim Hocam bende aynı şeye takıldım o yüzden sordum. CSRF'i koymak için tek geçerli neden adamların direk olarak servislerime request yapmaması olabilir . TeRRoR tarafından 01/Eyl/16 16:11 tarihinde düzenlenmiştir herkes programcı olmak zorunda değildir, lütfen bir zorunluluk gibi programlama dilleri ğrenmeye çalışmayın. yabancı dil filan ğrenin amq.// s. kimin etini yerim, kasaba minnet etmem.// ince düşünene kalın girer.//

https://www.owasp.org/index. php/Cross-Site_Request_Forgery_ _Prevention_Cheat_Sheet#Checking_The_Origin_Header http://stackoverflow.com/questions/33261244/why-same-origin-policy-isnt-enough-to-prevent-csrf-attacks https://webuygulamaguvenligi.wordpress.com/2010/05/30/14-csrf-cross-site-request-furgery/ http://security.stackexchange.com/questions/81194/uses-of-same-origin-policy/81331#81331 Burda bişeyler yazmışlar son linktede "The SOP does not stop a cross-domain AJAX request " falan yazmış eleman tek başına çzüm olmadığını sylüyorlar sanırım. Hani veri okuyamaz yani isteği yapar ama cevabı gremez demişler bide. owasp dada hem referrer bakın hemde işte bu token muhabbetını yapın demısler. Bende referrer ı ondan sordum işte. Yani bence token kullanmaya kesinlikle ihtiyaç var hocalar. Ama referrer konusunda kararsız kaldım.

Şimdi kullanıcı diyelimki zararlı bir siteye girdi. Aynı zamanda bizim sitedede oturum açık. Zararlı sitede javascript koduyla kullanıcıya benim sitemdeki bir form doldurtulabilir. Bunu nüne geçmek için asp. net mvc de AntiForgeryToken muhabbetini kullanıyoruz. CSRF saldırısı diye geçiyor. Bazı yerlerde sadece referrer kontrolu yapmayın mutlaka token falanda ekleyin demişler. Bense sadece token eklıyorum referrer falan kullanmadım hıc. Ondan acaba dedim referrer kontrolunu nerelerde kullanırız. CSRF için kullanmaya gerek var mıdır.. Cross-domin call'leri browser hali hazırda engellemiyor mu? herkes programcı olmak zorunda değildir, lütfen bir zorunluluk gibi programlama dilleri ğrenmeye çalışmayın. yabancı dil filan ğrenin amq.// s. kimin etini yerim, kasaba minnet etmem.// ince düşünene kalın girer.//

Asp. net mvc de kullanıcıya veri girişi yada güncelleme tarzı birşey yaptırdığım zaman ilgili view içerisinde formun içine @Html. AntiForgeryToken yazıyorum. Sonra formun post edileceği action methoda da Attribute unu ekliyorum. Buna ek olarak ilgili action method içinde Request. UrlReferrer diyerek referrer kontrolu yapayım mı? Yada bu referrer kontrolunu bir attribute içinden yaparım istediğim action methodların tepesine o attribute u yazarım. Ama bu kontrole gerek var mı yok mu? Yada csrf dısında nerelerde bu referrer kontrolunu yaparız?