تفاوت XSS و XSRF/XSRF چیست؟

دوتا مفهوم داریم ، که خیلیا اینارو باهم اشتباها قاطی میکنن…
XSS : Cross Site Scripting
CSRF/XSRF : Cross Site Request Forgery

=+=+=+=+=+=+=+=+=+=+=+=+=+

من سعی میکنم جدا جدا توضیح بدم ، و بگم چیه…

=+=+=+=+=+=+=+=+=+=+=+=+=+

قبل از اینکه شروع کنم یه مفهومی هست که پیشنیازه توضیح بدم، بهش میگن:
SOP : Same Origin Policy

یه پالیسی (سیاست/قانون/عرف..) هست که توی وب رعایتش میکنن ، اونم اینه که کلاینتها/سرور ها رکوئستی رو valid میپندارن و معتبر میدونن که دقیقا از منبع درستش (منبع قبلی) باشه.

این اعتبار سنجی هم با چک کردن 3 تا چیز مشخص میشه:
1- پرتکلش همون باشه (مثلا HTTP)
2- آدرس هاست (دامین) همون باشه
3- پورت دقیقا همون باشه

مثلا یکی میاد یه رکوئست رو عوض میکنه به سمت براوزر تو و میگه من گوگلم:
https://hacker.com:80

براوزر تو گوگل رو این میدونه:
https://google.com:80
حالا میاد چک میکنه:
https://hacker.com:80
https://google.com:80
\____/ \______/ \__/
Prtocol Host Port

پروتکل همونه✅
هاست همون نیست❌
پورت همونه✅

یکی از شرطها برقرار نیست پس ارور:
Same Origin Policy
میده و رکوئست دراپ میشه😬

با این پالیسی میشه جلوی خیلی از حمله هارو گرفت ، ولی حملات دیگری هستن که با وجود این پالیسی بازم قابل انجامن مثل
XSS
XSRF/CSRF

که که قراره راجع بهشون حرف بزنیم ✅

منبع: https://t.me/TadavomnisT_channel