Các cuộc tấn công CSRF là gì và bạn có thể ngăn chặn chúng như thế nào?

Truy vấn yêu cầu chéo trang web (CSRF) là một trong những cách lâu đời nhất để khai thác lỗ hổng bảo mật của trang web. Nó nhắm mục tiêu vào các công tắc web phía máy chủ thường yêu cầu xác th��c như đăng nhập. Trong cuộc tấn công CSRF, kẻ tấn công nhằm mục đích ép nạn nhân của nó thực hiện một yêu cầu web độc hại, trái phép thay mặt họ.

Thực tiễn bảo mật trang web yếu hoặc kém và sự bất cẩn trên đường dẫn của người dùng là một số nguyên nhân phổ biến dẫn đến một cuộc tấn công CSRF thành công.

Hãy xem cuộc tấn công CSRF là gì và những cách khả thi mà bạn có thể tự ngăn chặn nó với tư cách là nhà phát triển hoặc người dùng.

Các cuộc tấn công CSRF ảnh hưởng đến bạn như thế nào?

CSRF là một cuộc tấn công được sử dụng để thực hiện các yêu cầu trái phép trong các hành động web yêu cầu người dùng đăng nhập hoặc xác thực. Các cuộc tấn công CSRF có thể lợi dụng ID phiên, cookie, cũng như các lỗ hổng dựa trên máy chủ khác để lấy cắp thông tin đăng nhập của người dùng.

Ví dụ: kích hoạt các quy trình chống CSRF ngăn chặn các tương tác độc hại giữa nhiều miền.

Khi rào cản đó bị phá vỡ, kẻ tấn công có thể nhanh chóng lợi dụng ID phiên của người dùng thông qua cookie được tạo bởi trình duyệt của người dùng và nhúng thẻ tập lệnh vào trang web dễ bị tấn công.

Bằng cách thao túng ID, kẻ tấn công cũng có thể chuyển hướng khách truy cập đến một trang web khác hoặc khai thác các phương pháp kỹ thuật xã hội như email để gửi liên kết, khuyến khích nạn nhân tải xuống phần mềm độc hại.

Khi nạn nhân thực hiện các hành động như vậy, nó sẽ gửi một yêu cầu HTTP đến trang dịch vụ của người dùng và cho phép thực hiện hành động yêu cầu có lợi cho kẻ tấn công. Điều đó có thể gây tàn phá cho một người dùng không nghi ngờ.

Một cuộc tấn công CSRF thành công có thể khiến người dùng được ủy quyền mất thông tin xác thực truy cập của họ cho kẻ tấn công, đặc biệt là trong các hành động dựa trên máy chủ như yêu cầu thay đổi mật khẩu hoặc tên người dùng. Trong các tình huống tồi tệ hơn, kẻ tấn công chiếm toàn bộ phiên và hành động thay mặt người dùng.

CSRF đã được sử dụng để chiếm đoạt các giao dịch quỹ qua web cũng như thay đổi tên người dùng và mật khẩu, dẫn đến việc người dùng mất quyền truy cập vào dịch vụ bị ảnh hưởng.

Cách những kẻ tấn công chiếm đoạt phiên của bạn bằng CSRF: Ví dụ

Các mục tiêu chính cho các cuộc tấn công CSRF là các hành động web liên quan đến xác thực của người dùng. Để thành công, nó cần những hành động vô tình từ nạn nhân.

Trong một cuộc tấn công CSRF, các hành động GET, DELETE và PUT, cũng như các yêu cầu POST dễ bị tấn công là mục tiêu chính của kẻ tấn công.

Hãy xem ý nghĩa của các thuật ngữ đó:

• GET: Yêu cầu thu thập một kết quả từ cơ sở dữ liệu; ví dụ: tìm kiếm của Google.
• ĐĂNG: Thông thường để gửi yêu cầu qua biểu mẫu web. Yêu cầu ĐĂNG là phổ biến trong quá trình đăng ký hoặc đăng nhập của người dùng, còn được gọi là xác thực.
• XÓA: Để xóa tài nguyên khỏi cơ sở dữ liệu. Bạn làm điều này bất cứ khi nào bạn xóa tài khoản của mình khỏi một dịch vụ web cụ thể.
• PUT: Yêu cầu PUT sửa đổi hoặc cập nhật tài nguyên hiện có. Một ví dụ là thay đổi tên Facebook của bạn .

Trong thực tế, những kẻ tấn công sử dụng chiếm quyền điều khiển phiên để sao lưu một cuộc tấn công CSRF. Khi sử dụng sự kết hợp này, kẻ tấn công có thể sử dụng một cuộc tấn công để thay đổi địa chỉ IP của nạn nhân.

Việc thay đổi địa chỉ IP sau đó đăng nhập nạn nhân vào một trang web mới nơi kẻ tấn công đã chèn một liên kết lừa dối gửi biểu mẫu sao chép hoặc yêu cầu máy chủ sửa đổi mà chúng đã tạo thông qua CSRF.

Một người dùng không nghi ngờ sau đó nghĩ rằng chuyển hướng đến từ nhà cung cấp dịch vụ và nhấp vào liên kết trên trang web của kẻ tấn công. Sau khi thực hiện xong việc này, tin tặc sẽ gửi biểu mẫu khi tải trang mà họ không hề hay biết.

Ví dụ về một cuộc tấn công CSRF GET Request

Hãy tưởng tượng bạn đang cố gắng thực hiện thanh toán trực tuyến qua một nền tảng thương mại điện tử không an toàn. Chủ sở hữu nền tảng sử dụng yêu cầu GET để xử lý giao dịch của bạn. Truy vấn GET đó có thể trông giống như sau:

https://websiteurl/pay?amount=$10&company=[company ABC's account]

Một kẻ không tặc có thể đánh cắp giao dịch của bạn một cách dễ dàng bằng cách thay đổi các thông số của yêu cầu GET. Để làm điều này, tất cả những gì họ cần làm là hoán đổi tên của bạn cho họ và tệ hơn, thay đổi số tiền bạn định trả. Sau đó, họ điều chỉnh truy vấn ban đầu thành một thứ như thế này:

https://websiteurl/pay?amount=$20000&company=[attacker's account]

Khi bạn nhấp vào liên kết đến yêu cầu GET đã sửa đổi đó, bạn sẽ thực hiện chuyển khoản không chủ ý vào tài khoản của kẻ tấn công.

Giao dịch thông qua các yêu cầu GET là một hoạt động không tốt và khiến các hoạt động dễ bị tấn công.

Ví dụ về một cuộc tấn công CSRF yêu cầu POST

Tuy nhiên, nhiều nhà phát triển tin rằng sử dụng yêu cầu POST an toàn hơn để thực hiện các giao dịch trên web. Mặc dù điều đó đúng, nhưng thật không may, một yêu cầu POST cũng dễ bị tấn công CSRF.

Để chiếm đoạt thành công một yêu cầu POST, tất cả những gì kẻ tấn công cần là ID phiên hiện tại của bạn, một số dạng vô hình được sao chép và đôi khi, một chút kỹ thuật xã hội.

Ví dụ: biểu mẫu yêu cầu ĐĂNG có thể trông giống như sau:

Tuy nhiên, kẻ tấn công có thể hoán đổi thông tin đăng nhập của bạn bằng cách tạo một trang mới và sửa đổi biểu mẫu ở trên thành như sau:

Trong biểu mẫu bị thao túng, kẻ tấn công đặt giá trị của trường số tiền thành "30000", hoán đổi số tài khoản của người nhận thành của họ, gửi biểu mẫu khi tải trang và cũng ẩn các trường biểu mẫu khỏi người dùng.

Sau khi chúng chiếm đoạt phiên hiện tại đó, trang giao dịch của bạn sẽ bắt đầu chuyển hướng đến trang của kẻ tấn công, điều này sẽ nhắc bạn nhấp vào liên kết mà chúng biết rằng bạn có nhiều khả năng sẽ truy cập.

Nhấp vào đây sẽ tải biểu mẫu được nhân rộng gửi, biểu mẫu này sẽ chuyển tiền của bạn vào tài khoản của kẻ tấn công. Điều đó có nghĩa là bạn không cần phải nhấp vào các nút như "gửi" để giao dịch diễn ra, vì JavaScript tự động thực hiện việc này khi tải trang web tiếp theo.

Ngoài ra, kẻ tấn công cũng có thể soạn thảo một email nhúng HTML nhắc bạn nhấp vào một liên kết để thực hiện cùng một lần gửi biểu mẫu tải trang.

Một hành động khác dễ bị tấn công CSRF là thay đổi tên người dùng hoặc mật khẩu, ví dụ về yêu cầu PUT. Kẻ tấn công sao chép biểu mẫu yêu cầu của bạn và thay thế địa chỉ email của bạn bằng địa chỉ của chúng.

Sau đó, họ đánh cắp phiên của bạn và chuyển hướng bạn đến một trang hoặc gửi cho bạn một email nhắc bạn nhấp vào một liên kết hấp dẫn.

Sau đó, nó sẽ gửi một biểu mẫu được thao tác gửi liên kết đặt lại mật khẩu đến địa chỉ email của tin tặc thay vì của bạn. Bằng cách đó, tin tặc sẽ thay đổi mật khẩu của bạn và đăng xuất bạn khỏi tài khoản của mình.

Cách ngăn chặn các cuộc tấn công CSRF với tư cách là nhà phát triển

Một trong những phương pháp tốt nhất để ngăn CSRF là sử dụng các mã thông báo thay đổi thường xuyên thay vì phụ thuộc vào cookie phiên để chạy thay đổi trạng thái trên máy chủ.

Liên quan: Hướng dẫn miễn phí để hiểu bảo mật kỹ thuật số và bảo vệ quyền riêng tư của bạn

Nhiều khung phụ trợ hiện đại cung cấp bảo mật chống lại CSRF. Vì vậy, nếu bạn muốn tránh các kỹ thuật của việc tăng cường chống lại CSRF, bạn có thể giải quyết nó một cách dễ dàng bằng cách sử dụng các khuôn khổ phía máy chủ đi kèm với mã thông báo chống CSRF tích hợp sẵn.

Khi bạn sử dụng mã thông báo chống CSRF, các yêu cầu dựa trên máy chủ sẽ tạo ra các chuỗi ngẫu nhiên thay vì các cookie phiên tĩnh dễ bị tấn công hơn. Bằng cách đó, bạn có thể bảo vệ phiên của mình khỏi bị kẻ tấn công đoán.

Việc triển khai hệ thống xác thực hai yếu tố (2FA) để chạy các giao dịch trên ứng dụng web của bạn cũng làm giảm cơ hội xảy ra CSRF.

Có thể khởi tạo CSRF thông qua tập lệnh trên nhiều trang web (XSS), liên quan đến việc đưa tập lệnh vào các trường của người dùng như biểu mẫu nhận xét. Để ngăn chặn điều này, bạn nên bật tính năng tự động thoát HTML trong tất cả các trường biểu mẫu người dùng trên trang web của bạn. Hành động đó ngăn các trường biểu mẫu thông dịch các phần tử HTML.

Cách ngăn chặn các cuộc tấn công CSRF với tư cách là người dùng

Là người dùng của dịch vụ web liên quan đến xác thực, bạn cũng có một phần vai trò trong việc ngăn chặn những kẻ tấn công lấy cắp thông tin đăng nhập và phiên của bạn thông qua CSRF.

Đảm bảo bạn đang sử dụng các dịch vụ web đáng tin cậy trong các hoạt động liên quan đến chuyển tiền.

Ngoài ra, hãy sử dụng  các trình duyệt web an toàn bảo vệ người dùng khỏi việc hiển thị phiên, cũng như các công cụ tìm kiếm an toàn bảo vệ chống rò rỉ dữ liệu tìm kiếm.

Liên quan:  Công cụ Tìm kiếm Riêng tư Tốt nhất Tôn trọng Dữ liệu của Bạn

Là người dùng, bạn cũng có thể phụ thuộc vào các trình xác thực của bên thứ ba như Google Authenticator hoặc các lựa chọn thay thế của nó để xác minh danh tính của bạn qua web.

Mặc dù bạn có thể cảm thấy bất lực trong việc ngăn kẻ tấn công chiếm quyền điều khiển phiên của mình, nhưng bạn vẫn có thể giúp ngăn chặn điều này bằng cách đảm bảo rằng trình duyệt của bạn không lưu trữ thông tin như mật khẩu và các chi tiết đăng nhập khác.

Tăng cường bảo mật web của bạn

Các nhà phát triển cần thường xuyên kiểm tra các ứng dụng web để tìm các vi phạm bảo mật trong quá trình phát triển và triển khai.

Tuy nhiên, việc đưa ra các lỗ hổng bảo mật khác trong khi cố gắng ngăn chặn những lỗ hổng khác là điều phổ biến. Vì vậy, hãy cẩn thận để đảm bảo rằng bạn không vi phạm các thông số bảo mật khác trong khi cố gắng chặn CSRF.