🧑‍💻Cyber.vision🧑‍💻

توکن CSRF یه توکن غیرقابل پیشبینی‌عه که برنامه نویس اون رو طراحی می‌کنه. این توکن باید توی درخواست‌های حساس کاربر که به سمت سرور ارسال می‌کنه وجود داشته باشه، در غیر این صورت اون درخواست توسط سرور پردازش نمی‌شه. برای مثال:
<form name="change-email-form" action="/my-account/change-email" method="POST">
<label>Email</label>
<input required type="email" name="email" value="[email protected]">
<input required type="hidden" name="csrf" value="50FaWgdOhi9M9wyna8taR1k3ODOR8d6u">
<button class='button' type='submit'> Update email </button>
</form>
با درست ست شدن توکن CSRF درخواست‌های حساس، شبیه به درخواست زیر ارسال می‌شن:
POST /my-account/change-email HTTP/1.1
Host: normal-website.com
Content-Length: 70
Content-Type: application/x-www-form-urlencoded

csrf=50FaWgdOhi9M9wyna8taR1k3ODOR8d6u&[email protected]
و با وجود توکن CSRF جلوی این آسیب پذیری گرفته می‌شه. چرا که مهاجم نمی‌تونه این توکن رو حدس بزنه و درخواست کاربر رو جعل کنه.
البته این رو هم توجه کنید که توکن CSRF همیشه به عنوان یه پارامتر مخفی با متد POST ارسال نمی‌شه و توی برخی موارد به عنوان یه هدر HTTP هم ست می‌شه.

www.tgoop.com/pythonwithmedev/394

129 viewsJan 7 at 17:22

توکن CSRF یه توکن غیرقابل پیشبینی‌عه که برنامه نویس اون رو طراحی می‌کنه. این توکن باید توی درخواست‌های حساس کاربر که به سمت سرور ارسال می‌کنه وجود داشته باشه، در غیر این صورت اون درخواست توسط سرور پردازش نمی‌شه. برای مثال:
<form name="change-email-form" action="/my-account/change-email" method="POST">
<label>Email</label>
<input required type="email" name="email" value="[email protected]">
<input required type="hidden" name="csrf" value="50FaWgdOhi9M9wyna8taR1k3ODOR8d6u">
<button class='button' type='submit'> Update email </button>
</form>
با درست ست شدن توکن CSRF درخواست‌های حساس، شبیه به درخواست زیر ارسال می‌شن:
POST /my-account/change-email HTTP/1.1
Host: normal-website.com
Content-Length: 70
Content-Type: application/x-www-form-urlencoded

csrf=50FaWgdOhi9M9wyna8taR1k3ODOR8d6u&[email protected]
و با وجود توکن CSRF جلوی این آسیب پذیری گرفته می‌شه. چرا که مهاجم نمی‌تونه این توکن رو حدس بزنه و درخواست کاربر رو جعل کنه.
البته این رو هم توجه کنید که توکن CSRF همیشه به عنوان یه پارامتر مخفی با متد POST ارسال نمی‌شه و توی برخی موارد به عنوان یه هدر HTTP هم ست می‌شه.

BY 🧑‍💻Cyber.vision🧑‍💻