اثر
ڪراس سائٽ ريڪوسٽ فارجري (CSRF) هڪ حملي آور کي اجازت ڏئي ٿو ته هڪ متاثر جي برائوزر کي چوري ڪري هڪ مختلف ويب سائيٽ تي ناپسنديده ڪارناما انجام ڏئي جتي هن وقت مقتول جي تصديق ٿيل آهي. ڇاڪاڻ ته برائوزر خودڪار طريقي سان ايمبيئنٽ سندون شامل ڪندا آهن جهڙوڪ درخواستن ۾ ڪوڪيز، هڪ حملو ڪندڙ رياستي تبديليءَ جي عملن کي جڙي سگھي ٿو- جهڙوڪ پاسورڊ تبديل ڪرڻ، ڊيٽا کي حذف ڪرڻ، يا ٽرانزيڪشن شروع ڪرڻ- صارف جي ڄاڻ کان سواءِ.
بنيادي سبب
CSRF جو بنيادي سبب ويب برائوزر جو ڊفالٽ رويو آهي جيڪو ڪنهن ڊومين سان لاڳاپيل ڪوڪيز موڪلڻ جو آهي جڏهن به ان ڊومين تي ڪا درخواست ڪئي ويندي آهي، بغير ڪنهن درخواست جي اصل [S1]. مخصوص تصديق کان سواءِ ته هڪ درخواست عمدي طور تي ايپليڪيشن جي پنهنجي يوزر انٽرفيس مان شروع ڪئي وئي هئي، سرور هڪ جائز صارف عمل ۽ جعلي هڪ جي وچ ۾ فرق نٿو ڪري سگهي.
جيانگو سي ايس آر ايف جي حفاظتي ميڪانيزم
Django انهن خطرن کي گھٽائڻ لاءِ هڪ بلٽ ان ڊفينس سسٽم مهيا ڪري ٿو مڊل ويئر ۽ ٽيمپليٽ انٽيگريشن [S2].
مڊل ويئر چالو ڪرڻ
django.middleware.csrf.CsrfViewMiddleware CSRF تحفظ لاءِ ذميوار آهي ۽ عام طور تي ڊفالٽ [S2] کي فعال ڪيو ويندو آهي. اهو لازمي طور تي ڪنهن به ڏسڻ کان اڳ پوزيشن هجڻ گهرجي Middleware جيڪو فرض ڪري ٿو CSRF حملن کي اڳ ۾ ئي هٿ ڪيو ويو آهي [S2].
ٽيمپليٽ تي عملدرآمد
ڪنهن به اندروني پوسٽ فارم لاءِ، ڊولپرز کي <form> عنصر [S2] اندر {% csrf_token %} ٽيگ شامل ڪرڻ گهرجي. اهو يقيني بڻائي ٿو ته هڪ منفرد، ڳجهي ٽوڪن درخواست ۾ شامل آهي، جنهن کي سرور وري صارف جي سيشن جي خلاف تصديق ڪري ٿو.
ٽوڪن ليڪج جا خطرا
هڪ نازڪ عمل جي تفصيل اها آهي ته {% csrf_token %} کي ڪڏهن به فارمن ۾ شامل نه ڪيو وڃي جيڪي حدف ٿيل خارجي URLs [S2]. ائين ڪرڻ سان ڳجهي CSRF ٽوڪن کي ٽئين پارٽي ڏانهن لڪي ويندي، امڪاني طور تي صارف جي سيشن سيڪيورٽي [S2] سان سمجھوتو ڪندي.
برائوزر-سطح دفاع: SameSite ڪوڪيز
جديد برائوزرز متعارف ڪرايو آهي SameSite وصف Set-Cookie هيڊر لاءِ دفاع جي هڪ پرت مهيا ڪرڻ لاءِ [S1].
- سخت: ڪوڪي صرف پهرين پارٽي جي حوالي سان موڪلي وئي آهي، مطلب ته URL بار ۾ موجود سائيٽ ڪوڪيز جي ڊومين [S1] سان ملي ٿي.
- Lax: ڪوڪيز ڪراس سائيٽ جي ذيلي درخواستن (جهڙوڪ تصويرون يا فريم) تي نه موڪلي ويندي آهي پر ان وقت موڪلي ويندي آهي جڏهن ڪو صارف اصل سائيٽ ڏانهن نيويگيٽ ڪندو آهي، جيئن معياري لنڪ [S1] تي عمل ڪندي.
ڪيئن FixVibe ان لاءِ ٽيسٽ ڪري ٿو
FixVibe هاڻي شامل آهي CSRF تحفظ هڪ گيٽ فعال چيڪ طور. ڊومين جي تصديق کان پوءِ، active.csrf-protection دريافت ڪيل رياستي تبديلين جي فارمن جو معائنو ڪري ٿو، CSRF-ٽڪن جي شڪل واري انپٽس ۽ SameSite ڪوڪيز سگنلن جي چڪاس ڪري ٿو، پوءِ ڪوشش ڪري ٿو گھٽ اثر واري جعلسازي جمع ڪرائڻ ۽ صرف رپورٽ ڪري ٿو جڏهن سرور ان کي قبول ڪري ٿو. ڪوڪيز چيڪ پڻ جھنڊو ڪمزور SameSite خاصيتون جيڪي CSRF دفاع جي کوٽائي کي گھٽائي ٿو.