دوتا مفهوم داریم ، که خیلیا اینارو باهم اشتباها قاطی میکنن…
XSS : Cross Site Scripting
CSRF/XSRF : Cross Site Request Forgery
=+=+=+=+=+=+=+=+=+=+=+=+=+
من سعی میکنم جدا جدا توضیح بدم ، و بگم چیه…
=+=+=+=+=+=+=+=+=+=+=+=+=+
قبل از اینکه شروع کنم یه مفهومی هست که پیشنیازه توضیح بدم، بهش میگن:
SOP : Same Origin Policy
یه پالیسی (سیاست/قانون/عرف..) هست که توی وب رعایتش میکنن ، اونم اینه که کلاینتها/سرور ها رکوئستی رو valid میپندارن و معتبر میدونن که دقیقا از منبع درستش (منبع قبلی) باشه.
این اعتبار سنجی هم با چک کردن 3 تا چیز مشخص میشه:
1- پرتکلش همون باشه (مثلا HTTP)
2- آدرس هاست (دامین) همون باشه
3- پورت دقیقا همون باشه
مثلا یکی میاد یه رکوئست رو عوض میکنه به سمت براوزر تو و میگه من گوگلم:
https://hacker.com:80
براوزر تو گوگل رو این میدونه:
https://google.com:80
حالا میاد چک میکنه:
https://hacker.com:80
https://google.com:80
\____/ \______/ \__/
Prtocol Host Port
پروتکل همونه✅
هاست همون نیست❌
پورت همونه✅
یکی از شرطها برقرار نیست پس ارور:
Same Origin Policy
میده و رکوئست دراپ میشه😬
با این پالیسی میشه جلوی خیلی از حمله هارو گرفت ، ولی حملات دیگری هستن که با وجود این پالیسی بازم قابل انجامن مثل
XSS
XSRF/CSRF
که که قراره راجع بهشون حرف بزنیم ✅
منبع: https://t.me/TadavomnisT_channel