| data.prot. |
XSRF (сокр. от "cross-site request forgery" Alex_Odeychuk); CSRF (сокр. от "cross-site request forgery" Alex_Odeychuk); cross-site request forgery (вид атаки на посетителей сайтов, использующий недостатки протокола HTTP. Если пользователь заходит на сайт, созданный злоумышленником, от его лица тайно отправляется запрос на другой сервер, например, на сервер платёжной системы, осуществляющий несанкционированную операцию, например, перевод денег на счёт злоумышленника. Для осуществления этой атаки пользователь должен быть аутентифицирован на том сервере, на который отправляется запрос, и этот запрос не должен требовать какого-либо подтверждения со стороны пользователя, которое не может быть проигнорировано или подделано атакующим скриптом. Основное применение этой атаки — вынуждение выполнения каких-либо действий на уязвимом сайте от лица пользователя, например, изменение пароля, секретного вопроса для восстановления пароля, электронной почты, добавление администратора и т. д.: Cross-Site Request Forgery. Overview: Attackers trick victims into executing unwanted actions on a web application in which they're authenticated. Example: A website that changes a user's email without verifying the request source. • Shukla A. Building Web Apps with Spring 5 and Angular  uni-stuttgart.de, wikipedia.org Alex_Odeychuk) |
| gen. |
CSRF (тип атаки на пользователя, когда злоумышленник обманным путем заставляет пользователя отправить вредоносный запрос веб-приложению, в котором пользователь уже аутентифицирован. Это может быть достигнуто, напр., методом социальной инженерии: вредоносный запрос встраивается в письмо или ссылку на сайте, на которую пользователь нажмет с большой долей вероятности. Вредоносные запросы направляются на конечный сайт через браузер жертвы. Приложение, которое принимает эти запросы, не может отличить правомерный запрос от зловредного, так как пользователь уже аутентифицирован в нем на момент атаки. В результате злоумышленник может изменить пароль, секретный вопрос пользователя или настройки его профиля. Он получает доступ к оправке почты, может добавить себя в группу администраторов сайта и т.д. Alex_Odeychuk) |
