CSRF - Cross-Site Request Forgery

CSRF - Cross-Site Request Forgery​

CSRF tokenı, SameSite politikaları, Referer/Origin bypass ve API CSRF zafiyetleri için metodoloji.

Klasik CSRF & Aynı Kaynak Politikası (Same-Origin)​

Tanım: Kurbanın tarayıcısını, izinsiz (POST/PUT/DELETE) işlem yapmaya zorlama. Başarı için kurbanın oturum çerezleri gerekir.
Tespit: State-changing endpoint'i (örn: Adres Güncelleme) belirle. Bu isteği Burp'te yakalayıp, tokenı ve tüm kaynak başlıklarını kaldırarak test et.
SameSite Kontrolü: Oturum çerezlerinin SameSite=Lax (varsayılan koruma) veya SameSite=Strict olup olmadığını kontrol et. SameSite=Lax, POST CSRF'yi engeller.
PoC Notu: Klasik HTML form PoC'leri, güçlü SameSite veya Referer kontrolü nedeniyle genellikle başarısız olur. Bu, zafiyetin olmadığı anlamına gelmez!

Token Kontrol Zafiyetleri​

Token Eksikliği: İstekten authenticity_token, _xsrf, vb. token parametresini tamamen kaldırıp isteği tekrar gönder. Başarılı olursa basit CSRF zafiyeti vardır.
Token Tekrar Kullanımı (Re-use): Başarılı bir isteğin tokenını kopyala ve aynı kullanıcıyla farklı bir işlem için tekrar kullan. Token her kullanımda yenilenmiyorsa mantık hatasıdır.
Token Kapsamı/Tahmin Edilebilirlik: Farklı bir kullanıcının tokenıyla veya tahmin edilebilir bir tokenla (ör: kullanıcı ID'si içeriyorsa) işlemi gerçekleştirmeyi dene.
Çift Gönderim Kontrolü (Double Submit): Uygulama, çerezdeki token ile isteğin gövdesindeki/başlığındaki tokenı eşleştirir. İstekteki token değerini rastgele bir şeyle değiştirip dene. Eğer kabul edilirse eşleştirme mantığı hatalıdır.

Programatik Bypass: Referer/Origin Atlatma​

Tanım: Token kontrolü olsa bile, sunucunun Origin ve Referer başlıklarını doğru kontrol etmemesi nedeniyle Burp/cURL gibi araçlarla atlatma.
Tespit: Geçerli çerezlerle yakalanan isteğin sadece Origin ve Referer başlıklarını https://hacker.com gibi harici bir adrese değiştir.
Başarı Kanıtı: Sunucu HTTP 302 Found ile başarılı geri dönüş sayfasına yönlendiriyorsa (Login sayfasına değil), zafiyet kanıtlanmıştır. Bu, programatik araçlarla sömürülebilir.
Ek Not: Aynı zafiyetin bulunduğu API'lerde, X-Requested-With başlığını silerek bypass etmeyi deneyin.

Güvenli Olmayan Metot ve API CSRF​

Metot İhlali: Adres silme/güncelleme gibi state-changing işlemlerin POST/PUT/DELETE yerine GET metoduyla yapılıp yapılmadığını kontrol et. (GET ile işlem yapılıyorsa büyük bir zafiyettir.)
JSON CSRF: API'nin JSON payload kabul edip etmediğini kontrol et. Kötü amaçlı formda enctype="text/plain" kullanarak, sunucuyu form verisini JSON olarak ayrıştırmaya zorlamayı dene.
CORS CSRF: API'nin Access-Control-Allow-Origin: * ve Access-Control-Allow-Credentials: true ayarlarına sahip olup olmadığını kontrol et. Bu, üçüncü taraf sitelerin XHR ile çerezli istek atmasını sağlar.

Örnek CSRF Senaryoları​

Senaryo 1 - Temel Token Eksikliği (POST)Senaryo 2 - Token Kısıtlaması YokSenaryo 3 - Referer Başlık Kontrolü Bypass
Senaryo 4 - Zafiyetli Metot Kullanımı (GET ile Hesap Silme)
Senaryo 5 - JSON CSRF (text/plain Yöntemi)
Senaryo 6 - Double Submit Cookie CSRF Bypass
Senaryo 7 - Origin Kontrolü Bypass (Null Byte veya Port Kullanımı)
Senaryo 8 - Güvenli Olmayan HTML Tag'leri ile GET CSRF