ASP Security by Soroush Dalili - Intelligent Exploit

برنامه هايي كه با متدGetمي توان به آنها وارد شد.‏ مانند لينك زير:‏-http://www.example.com/admin/doSomething.ctl?username=admin&passwd=admin-1برنامه هايي كه در آنها درخواست هاي داراي مجوز فقط برپايه اعتبارنامه هاييستصورت خودكار با هر درخواست فرستاده مي شوند.‏ مانندكه به2كوكي نشست اگر در برنامه وارد شدهباشد،‏ ويژگي3me” “Remember در صورتي كه به برنامه وارد نشده باشد يا اجازه ورودKerberosيكي شده باشد.‏در صورتي كه بخشي از يك شبكه داخلي باشد و با وروديActive Directoryمتاسفانه امروزه بيشتر برنامه هاي كاربردي تحت وب اعتبار سنجي كاربران را فقط برپايه اعتبارنامههايي كه به صورت خودكار فرستاده مي شوند انجام مي دهند؛ اعتبارنامه هايي نظير كوكي نشست،‏SSL گواهينامه هاي ،IP آدرس هاي ،basic authentication 45يا اعتبار نامه هاي دامنه ويندوز .اين آسيب پذيري در جاهاي مختلف به اسامي گوناگوني آمده است و تمامي نام هاي زير،‏ نام ديگرهمين آسيب پذيري مي باشند:‏Hostile،Cross Site Reference Forgery،One-Click Attacks،Session RidingAutomation Attack ،Linkingمخففنيز اغلب براي اين آسيب پذيري كاربرد دارد.‏اصطلاحي كه در اينجا براي اين آسيبXSRFپذيري انتخاب شده در6OWASP و MITRE 7 استاندارد شده است.‏1 Credentials2 Session cookie3 Token5 Windows domain6 www.owasp.org7 www.mitre.org49٤واژه نامه را ببينيد.‏