Cross-site Request Forgery (diskuse)

[Michal Čihař]

Tenhle zápisek jsem potřeboval asi tak před půl rokem .

[petr_p]

Skrytou součástí tohoto článku byl pokus, který měl ověřit funkčnost výše uvedeného útoku na čtenářích Abíčka.

Text článku obsahoval následující kód:

<div class="hidden">
    <img src="http://www.abclinuxu.cz/blog/EditMonitor/153095?action=toggle"
        alt="Proof-of-concept exploit">
</div>

který způsobil, že při každém zobrazení článku byl přihlášenému čtenáři změněn stav Sledování. Tj. při prvním zobrazení mu bylo sledování zapnuto. Za dobu 1 dne článek přečetlo 236 registrovaných uživatelů, přičemž čítač funkce zapnutého sledovaní se vyšplhal na 80. Zdá ze, že po získání prvního komentáře se někteří vrátili k článku, aby vypnuli, již vypnuté sledování. Zároveň prvních 30 minut vedl skrytý odkaz jinam, tudíž první čtenáři (asi 28) byly přihlášeni k jiné diskuzi.

Tímto se všem čtenářům omlouvám, že se nedobrovolně zůčastnili tohoto testu.

[freshmouse]

Hmm.

[Robert Krátký]

To by mě zajímalo, kde se v CSS Abíčka vzala ta třída hidden - já ji tam určitě nepřidal.

[Michal Čihař]

Nemáte CVS?

[Robert Krátký]

To nebylo myšleno tak docela vážně. Přidal jsem to tam určitě buď já nebo Leoš :-) (a protože já to určitě nebyl...). Jen nechápu proč.

[Leoš Literák]

Tusim ze to bylo kvuli softwaru, nejak javascriptove schovavanym elementum.

[Brabi]

A mě se zdálo, že vzhledem k počtu příspěvků post sleduje nějak moc lidí, ale myslel jsem, že je to atraktivitou tématu.

[David Watzke]

Můžeš ty výsledky popisu vytáhnout z tagu INS?

[petr_p]

A duvod? Krome toho, ze to vypada hnusne?

Pomoci CSS neni mozne testovat, zda element obsahuje nejakeho potomka, ze? INS totiz muze obsahovat blokove elementy. Mas nejaky napad, jak to na nakodit? Pridani nove tridy mi neprijde jako dobry napad.

[David Watzke]

Krome toho, ze to vypada hnusne?

Nic jinýho mě nenapadá...

Pomoci CSS neni mozne testovat, zda element obsahuje nejakeho potomka, ze? INS totiz muze obsahovat blokove elementy. Mas nejaky napad, jak to na nakodit?

To bohužel netuším...