เรียนรู้เกี่ยวกับวิธีการโจมตีการปลอมแปลงคำขอข้ามไซต์

การปลอมแปลงคำขอข้ามไซต์ (XSRF หรือ CSRF) เป็นวิธีการโจมตีเว็บไซต์ที่ผู้บุกรุกปลอมตัวเป็นผู้ใช้ที่ถูกต้องตามกฎหมายและเชื่อถือได้

การปลอมแปลงคำขอข้ามไซต์คืออะไร

การโจมตี XSRF สามารถใช้เพื่อแก้ไข การตั้งค่า ไฟร์วอลล์โพสต์ข้อมูลที่ไม่ได้รับอนุญาตในฟอรัม หรือดำเนินการธุรกรรมทางการเงินที่ฉ้อโกง ผู้ใช้ที่ถูกโจมตีอาจไม่มีทางรู้ว่าตนตกเป็นเหยื่อของ XSRF แม้ว่าผู้ใช้จะตรวจพบการโจมตีนี้ แต่จะเกิดขึ้นหลังจากที่แฮ็กเกอร์ได้สร้างความเสียหายแล้วเท่านั้น และไม่มีมาตรการใดที่จะแก้ไขปัญหานี้ได้

การโจมตีการปลอมแปลงคำขอข้ามไซต์ดำเนินการอย่างไร

การโจมตี XSRF สามารถทำได้โดยการขโมยข้อมูลระบุตัวตนของผู้ใช้ที่มีอยู่ จากนั้นเจาะเข้าไปในเว็บเซิร์ฟเวอร์โดยใช้ข้อมูลระบุตัวตนที่ถูกขโมยไปก่อนหน้านี้ ผู้โจมตียังสามารถหลอกผู้ใช้ที่ถูกต้องให้ส่ง คำขอHypertext Transfer Protocol (HTTP) โดยไม่ได้ตั้งใจ และส่งข้อมูลผู้ใช้ที่ละเอียดอ่อนกลับไปยังผู้บุกรุก

การปลอมแปลงคำขอข้ามไซต์เหมือนกับการเขียนสคริปต์ข้ามไซต์หรือการติดตามข้ามไซต์หรือไม่

การโจมตี XSRF มีฟังก์ชันการทำงานที่ตรงกันข้ามกับการโจมตีแบบCross-site scripting (XSS)ซึ่งแฮ็กเกอร์แทรกโค้ดที่เป็นอันตรายลงในลิงก์บนเว็บไซต์ ซึ่งดูเหมือนว่ามาจากแหล่งที่เชื่อถือได้ เมื่อผู้ใช้คลิกลิงก์ โปรแกรมที่ฝังไว้จะถูกส่งเป็นส่วนหนึ่งของคำขอและสามารถดำเนินการบนคอมพิวเตอร์ของผู้ใช้ได้

การโจมตี XSRF ยังแตกต่างจากการติดตามข้ามไซต์ (XST) ซึ่งเป็นรูปแบบที่ซับซ้อนของ XSS ที่ช่วยให้ผู้บุกรุกสามารถรับคุกกี้และข้อมูลการตรวจสอบสิทธิ์อื่น ๆ โดยใช้สคริปต์ฝั่งไคลเอ็นต์แบบง่าย ใน XSS และ XST ผู้ใช้ปลายทางคือเป้าหมายหลักของการโจมตี ใน XSRF เว็บเซิร์ฟเวอร์เป็นเป้าหมายหลัก แม้ว่าผู้ใช้ปลายทางจะรับผลเสียหายจากการโจมตีนี้ก็ตาม

ระดับอันตรายของการปลอมแปลงคำขอข้ามไซต์

การโจมตี XSRF นั้นป้องกันได้ยากกว่าการโจมตี XSS หรือ XST ส่วนหนึ่งเป็นเพราะการโจมตี XSRF พบได้น้อยและไม่ได้รับความสนใจมากนัก ในทางกลับกัน ในทางปฏิบัติ อาจเป็นเรื่องยากที่จะระบุได้ว่าคำขอ HTTP จากผู้ใช้รายใดรายหนึ่งถูกส่งโดยบุคคลนั้นจริงหรือไม่ แม้ว่ามาตรการป้องกันที่เข้มงวดสามารถนำมาใช้ในการตรวจสอบตัวตนของผู้ใช้ที่พยายามเข้าถึงเว็บไซต์ได้ แต่ผู้ใช้ก็ไม่ค่อยกระตือรือร้นที่จะขอการรับรองความถูกต้องบ่อยครั้ง การใช้โทเค็นการเข้ารหัสสามารถให้การรับรองความถูกต้องบ่อยครั้งในเบื้องหลัง เพื่อให้ผู้ใช้ไม่ถูกรบกวนโดยคำขอการรับรองความถูกต้องอย่างต่อเนื่อง