Атака межсайтовой подделки запросов (CSRF), также известная как атака с использованием сеанса или атака одним щелчком мыши, представляет собой тип уязвимости безопасности, которая возникает, когда злоумышленник обманным путем заставляет браузер пользователя выполнять непреднамеренные запросы к целевому веб-сайту. Он предполагает использование доверия веб-сайтов к аутентифицированной личности сеанса пользователя.

При атаке CSRF злоумышленник создает вредоносный веб-сайт или электронное письмо, содержащее запрос на выполнение действия на другом веб-сайте. Когда пользователь посещает вредоносный веб-сайт или нажимает на вредоносную ссылку, его браузер автоматически отправляет запрос на целевой веб-сайт, используя свои проверенные учетные данные сеанса. Поскольку запрос делается из браузера пользователя, целевой веб-сайт воспринимает его как законный запрос и обрабатывает его соответствующим образом, что часто приводит к непреднамеренным действиям или несанкционированным изменениям.

Для проведения CSRF-атак используется несколько методов:

1. Атаки на основе форм. Злоумышленники создают на своих вредоносных веб-сайтах HTML-формы, которые предварительно заполняются значениями и скрываются от просмотра пользователя. Когда пользователь посещает веб-сайт, форма автоматически отправляется, что запускает CSRF-атаку.

2. Атаки на теги изображений. Злоумышленники встраивают тег в URL-адрес, указывающий на целевое действие на другом веб-сайте. Когда пользователь посещает страницу злоумышленника, изображение загружается и запрос автоматически выполняется.

3. Атаки через JavaScript. Злоумышленники используют JavaScript для динамической генерации запросов к целевому веб-сайту. Эти запросы обычно инициируются тем, что пользователь посещает вредоносный веб-сайт или нажимает на вредоносную ссылку.

4. Атаки с использованием вредоносных ссылок. Злоумышленники отправляют пользователям созданные URL-адреса по электронной почте, через службы обмена сообщениями или через платформы социальных сетей. Когда пользователь нажимает на ссылку, запрос автоматически отправляется на целевой веб-сайт.

Предотвращение CSRF-атак включает в себя реализацию таких контрмер, как:

• Внедрение токенов CSRF. Веб-сайты могут генерировать уникальные токены для каждого сеанса пользователя и включать их в формы или запросы. Сервер проверяет токен при каждом запросе, гарантируя, что он получен из законного источника.

• Добавление файлов cookie SameSite. Установка для атрибута SameSite значения «Строгий» или «Слабый» в файлах cookie помогает предотвратить запросы из разных источников, снижая риск атак CSRF.

• Внедрение CAPTCHA. Включение CAPTCHA в важные действия или конфиденциальные операции может помочь смягчить атаки CSRF, проверив, что пользователь, инициирующий действие, является человеком.

• Использование заголовков Referer. Серверы могут проверять заголовок Referer, чтобы убедиться, что запрос исходит из того же домена, что добавляет дополнительный уровень защиты от атак CSRF.