Cross Site Request Forgery (CSRF)

2024-07-13T17:48:43Z

St231804: CSRF

Bei einem CSRF Angriff versucht der Angreifer das Opfer dazu zu bewegen eine unbeabsichtigte Aktion auszuführen.

Der Angriff nutzt meist eine Funktion um Datenänderungen vorzunehmen. ( Rechte eines Nutzers ändern ...).

Hierbei macht sich der Angreifer zu nutze, dass der Nutzer auf der legitimen Seite bereits eingeloggt ist und einen Session Cookie gespeichert hat. (zusätzliche macheanismen zum Validieren des User requests sind nicht vorhanden).

Wenn ein Angreifer sein Opfer nun auf eine modifizierte Seite lockt, auf der dann die Änderung der Email-Adresse via eines HTTP-Requests ausgeführt wird, kann dieser ggf. den Account der opfers übernehmen oder anders modifizieren.

Der Browser des Opfers nutzt den Session-Cookie um den nicht legitimen Request von der Angriffsseite gegenüber der legitimen Seite zu verifzieren und durchzuführen.

Typische Schritte des CSRF Angriffs:

1. Opferauthentifizierung: Das Opfer meldet sich auf einer legitimen Website an und erhält ein Sitzungscookie, das seine Sitzung authentifiziert.

2. Böswillige Anfrage: Der Angreifer erstellt eine Anfrage an die legitime Website, die eine vom Angreifer gewünschte Aktion ausführt (z. B. Geld überweisen, eine E-Mail-Adresse ändern). Diese Anfrage ist normalerweise in eine bösartige Website oder E-Mail eingebettet.

3. Ausführung: Wenn das Opfer die bösartige Website besucht oder auf den manipulierten Link klickt, während es sich noch bei der legitimen Website authentifiziert ist, fügt der Browser automatisch den Sitzungscookie in die Anfrage ein und täuscht so der legitimen Website vor, die Anfrage sei legitim.

4. Durchgeführte Aktion: Die legitime Website verarbeitet die Anfrage, da sie offenbar von einem authentifizierten Benutzer stammt.

Beispiel:

Eine legitime Webseite(A) nutzt zum Ändern der Email-Adresse folgenden POST Request.

POST /email/change HTTP/1.1

Host: legitime-website.com

Content-Type: application/x-www-form-urlencoded

Content-Length: 30

Cookie: session=tzuiolknhbgacdvreeqHHAJJVCeefsdfX

email=alice@normaler-user.com

der Angreifer Bob nutzt nun Seine böse Webseite (B) um Alice dazu zu bewegen folgenden code auszuführen.

<html>

<body>

<form action="https://legitime-website.com/email/change" method="POST">

<input type="hidden" name="email" value="bob@boeser-user.net" />

</form>

<script>

document.forms[0].submit();

</script>

</body>

</html>

Besucht Alice nun mit dem Browser auf dem sie eingeloggt ist. Bobs Webseite wird der Code zur Emailänderung zu Bobs Addresse ausgeführt und mit dem Session-cookie aus Alice Browser verarbeitet.

Bob kann somit die Email-Adresse für Alices Account auf legitime-website.com ändern.

Wie wird ein CSRF Angriff It Forensisch erkannt ?

Da bei einem CSRF Angriff in jedem Fall eine böswillige Anfrage einer anderen Seite ausgeht, ist die Anfrage in der History des Browsers oder im Netzwerktraffic sichtbar. Hier ist erkennbar, dass z.B vor einem ungewollten Postrequest eine bösartige Seite besucht worden ist. Der Referral-Header kann hier Hinweise geben von wecher Webseite der bösartige Request kommt.
Da es sich bei allerdings um eine valide Anfrage des Browsers handelt ist der Angriff nicht unmittelbar erkennbar.

folgende vorsorgliche Sicherheitsmaßnahmen können implementiert werden um besser vor CSRF Angriffen geschützt zu sein:

- Synchronizer-Tokens (CSRF-Tokens): Dabei wird für jede Sitzung ein eindeutiges Token generiert und in jedes Formular eingefügt, das ein Benutzer übermittelt. Der Server überprüft dann, ob das Token mit dem in der Sitzung des Benutzers gespeicherten Token übereinstimmt.

- SameSite-Cookies: Mit diesem Cookie-Attribut können Server behaupten, dass ein Cookie nicht zusammen mit Cross-Site-Anfragen gesendet werden soll, was einen gewissen Schutz vor CSRF-Angriffen bietet.

- Double-Submit-Cookies: Die Anwendung erfordert, dass ein bestimmter Cookie-Wert als Teil der Anfrage zusammen mit dem eigentlichen Cookie gesendet wird. Der Server kann dann das Vorhandensein des Cookies prüfen und sicherstellen, dass es übereinstimmt.

- Benutzerdefinierte Anforderungsheader: Anwendungen können benutzerdefinierte Header in Anforderungen erfordern (z. B. X-Requested-With). Da diese Header nicht domänenübergreifend festgelegt werden können, kann dies dazu beitragen, CSRF-Angriffe zu verhindern.

- Überprüfen des Referer-Headers: Der Referer-Header kann überprüft werden, um sicherzustellen, dass Anfragen vom gleichen Ursprung kommen. Diese Methode ist jedoch weniger zuverlässig, da einige Clients möglicherweise nicht immer den Referrer-Header senden.

Hauptseite

2024-07-13T17:47:30Z

St231804: /* C */

Willkommen auf dem IT-Forensik-Wiki der Hochschule Wismar. Hier werden wesentliche Begriffe zum Thema „Digitale Forensik“ erläutert.

== Literatur ==
Artikel [https://t3n.de/news/digitale-verbrechen-was-macht-eigentlich-ein-it-forensiker-1629195/?utm_source=rss&utm_medium=feed&utm_campaign=t3n-news "Digitale Verbrechen: Was macht eigentlich ein IT-Forensiker?"] 10.6.2024

[[Simon Bauer]]: '''Identifizierung und Sicherung von Artefakten in Infrastructure-as-a-Service Plattformen'''. Master Thesis, Hochschule Wismar, März 2024

[[Thomas Reimann]]: '''Forensische Herausforderungen bei der Erkennung generativer Deepfake-Bilder'''. Bachelor Thesis, Hochschule Wismar, Februar 2024

[[Sebastian Haeuser]]: '''Forensische Live-Analyse von Windows Systemen mit dem PowerShell Skript „LiveForensicator“'''. Bachelor Thesis, Hochschule Wismar, November 2023

[[Franz Zeilhofer]]: '''DISSECT Tools zur effizienten Triage von DISK-Images''', Projektarbeit im Bachelor-Fernstudiengang "IT-Forensik", Hochschule Wismar, Oktober 2023

[[Abschlussarbeiten im Master Studiengang "IT-Sicherheit und Forensik"]]

[[Abschlussarbeiten im Bachelor Studiengang "IT-Forensik"]]

[[Projektarbeiten]]

[[Forensik in DB]]

== Stichworte IT-Forensik ==
=== A ===
[[ACPO]]

[[Adware]]

[[Aggregation]]

[[AmCache]]

[[Angriffe auf Forensik-Software]]

[[Anti-Forensik]]

[[Anwendungsarchitektur]]

[[Arbeitsspeicher]]

[[Asset Relocation]]

[[APT]]

[[Autopsy]]

[[Alternative Data Stream (ADS)]]

=== B ===
[[BBED]]

[[Betriebssystem]]

[[Bitlocker]]

[[Blacklisting]]

[[BLOB]]

[[BlockchainForensik|Blockchain Forensik]]

[[Blockchainbasierte Datenbank]]

[[Broken Authentication]]

[[Brute Force]]

[[BSI-Vorgehensmodell]]

[[Bundesdatenschutzgesetz (BDSG)]]

[[BurpSuite]]

=== C ===
[[Cache]]

[[Canarytoken]]

[[CERT-Taxonomie]]

[[Chain of Custody]]

[[Cheat Engine]]

[[Checkliste IT-Forensik für Unternehmen]]

[[Chip-Off]]

[[Clickjacking]]

[[Cloud Log Forensik]]

[[Cold Backup]]

[[Command-and-Control-Server]]

[[Computer Sabotage]]

[[Containervirtualisierung]]

[[Cookies]]

[[Cross Site Request Forgery (CSRF)]]

[[Cross Site Scripting (XSS)]]

[[CryptoLocker]]

[[CSA - Cloud Security Alliance]]

[[CTI - Cyber Threat Intelligence]]

[[CVE - Common Vulnerabilities and Exposures]]

[[Cybercrime]]

=== D ===
[[Darknet]]

[[Dateiheader]]

[[Datenanalyse]]

[[Datenbank Firewall]]

[[Datenbankausführungsplan]]

[[Datenbankforensik]]

[[Datenreduktion]]

[[Datensammlung]]

[[Datenschutz in der IT-Forensik]]

[[Datenvernichtung]]

[[Datenverschleierung]]

[[DDL & DML]]

[[Deep Packet Inspection]]

[[Deep Web]]

[[Diamond-Modell]]

[[Wörterbuchangriff|Dictionary Attack]]

[[Diff]]

[[Digitale Artefakte]]

[[Digitale Forensik]]

[[DLL (.dll Dateien)]]

[[DLP]]

[[DNS-Tunneling]]

[[Dokumentation]]

[[DoS & DDoS]]

[[Doxing]]

[[.DS-Store]]

[[Dual Use Software]]

[[Dumpster Diving]]

[[Dynamische Analyse]]

=== E ===
[[E-Mail-Header]]

[[E-Mail-Verschlüsselung und Signatur in der IT-Forensik]]

[[eDiscovery]]

[[Egg Hunting]]

[[ENISA]]

[[Ermittlungsprozess]]

[[Error Based SQL Injection]]

[[Exchangeable Image File Format (EXIF)]]

[[Exploit]]

=== F ===
[[File Carving]]

[[Fingerprinting (Browser)]]

[[Fingerprinting (Betriebssystem)]]

[[Flash Speicher]]

[[Flüchtige Daten]]

[[Footprinting]]

[[Forensik]]

[[Forensic Data Mining]]

[[Forensic Readiness]]

[[Forensische Duplikation]]

[[Forensischer Koffer]]

[[Fragmentierung]]

[[Fuzzing]]

=== G ===
[[Geotag]]

[[GeoIP-Datenbank]]

[[Gerichtsfestigkeit]]

[[Google Hacking]]

=== H ===
[[Hackback]]

[[Hardware-Sicherheitsmodul]]

[[Hashcat]]

[[Hashwert]]

[[Hilfstatort]]

[[Honeypot]]

=== I ===
[[ICMP - Internet Control Message Protocol]]

[[Identitätsanbieter]]

[[IDS - Intrusion Detection System]]

[[Image]]

[[Imaging]]

[[IMSI-Catcher]]

[[Incident-Response-Team]]

[[Indicator of Compromise]]

[[Inline (Queries) SQL Injection]]

[[Integrität]]

[[IT-Forensik]]

[[IT-Forensiker]]

[[IT-Forensisches Gutachten]]

[[IPS - Intrusion Prevention System]]

=== J ===
[[Jailbreak]]

[[John the Ripper]]

[[Journaling-Dateisystem]]

[[Juice Jacking]]

[[Jump Lists]]

=== K ===

[[Installieren eines Live-Kali-Linux-System auf USB-Stick|Kali-Linux-Live-System auf USB-Stick installieren]]

[[Kaltstartattacke]]

[[Kausalität in der Forensik]]

[[Key Derivation Function]]

[[Kerberos]]

[[Keystroke Injection Attack Tool]]

[[Korrelation]]

[[Keylogger]]

=== L ===
[[Lateral Movement]]

[[LDAP-Injection]]

[[Litigation Hold]]

[[Live-Forensik]]

[[Local file inclusion]]

[[Locard'sche Regel]]

[[Lockheed Martin Cyber Kill Chain]]

[[Log-File]]

[[LogMining]]

[[Logical Volume Manager (LVM)]]

=== M ===
[[Magnet Axiom]]

[[Makrovirus]]

[[Malware]]

[[MariaDB-Audit-Plugin|MariaDB Audit Plugin]]

[[Memory Forensics]]

[[Metadaten]]

[[Mobiltelefon-Forensik]]

[[Metadata Carving]]

=== N ===
[[Netcat]]

[[Netflow]]

[[Never-Touch-Original]]

[[Nmap]]

[[NTFS]]

[[Nutzdaten]]

=== O ===
[[OCR]]

[[Online-Forensik]]

[[Offline-Forensik]]

[[Ontologie & Semantik]]

[[Oracle DB]] (Forensische Aspekte)

[[Order of Volatility]]

[[OSINT]]

[[OSINT-Werkzeug]]

[[Out-of-Band]]

=== P ===
[[Pass-the-Hash-Attack]]

[[Passwortsicherheit]]

[[Payload]]

[[Partition]]

[[PCMCIA]]

[[Penetrationstest]]

[[PhotoDNA]]

[[Public Key Infrastructure (PKI)|PKI]]

[[PostgreSQL Command Execution]]

[[Post-Mortem-Analyse]]

[[Prepared Statement]]

[[Privilege Escalation]]

[[Prozess der Mobiltelefon Forensik]]

[[Prüfsumme]]

[[Public Key Infrastructure (PKI)|Public Key Infrastructure]]

[[Purview eDiscovery (Microsoft)]]

[[P2P (Peer-to-Peer) Software / Netzwerke]]

[[PIC]]

=== Q ===

[[Query Log]]

[[QRT: Quick Reaction Team]]

[[QRT: Quick Response Team]]

=== R ===

[[Radare 2 - Reverse Engineering Framework]]

[[Rainbow Table]]

[[Ransomware]]

[[Privilege_Escalation|Rechteausweitung]]

[[Redo Logs]]

[[Registry]]

[[Remote Access Trojaner (RAT)]]

[[Replay Attack]]

[[Reverse Engineering]]

[[Rogue Access Point & Evil Twin]]

[[Rootkit]]

=== S ===
[[SAP-Modell]]

[[Sandbox]]

[[Schwachstelle]]

[[Security Information and Event Management (SIEM)]]

[[Security Operations Center (SOC)]]

[[Seitenkanalattacke]]

[[Semantik]]

[[Server Side Request Forgery]]

[[Shellbags]]

[[ShimCache]]

[[Sigma]]

[[Skimming]]

[[Skript-Kiddie]]

[[Slack Space]]

[[Sleuthkit]]

[[Smishing]]

[[Sparse Image]]

[[Stack-basierte Buffer-Overflow Angriffe in Microsoft Windows]]

[[Statische Analyse]]

[[Sniffing]]

[[Sealbag]]

[[Secure Erase]]

[[Server Side Request Forgery]]

[[SpiderFoot]]

[[Spuren]]

[[SQL Injection]]

[[SQL Stored Procedures]]

[[SQLite Datenbanken auslesen mittels Python]]

[[Sqlmap]]

[[SSL Inspection]]

[[Steganographie]]

[[Steghide]]

[[Supply Chain Attack]]

=== T ===
[[Tatort]]

[[Team Win Recovery Project]]

[[Threat Intelligence]]

[[Thumbnail Cache unter Windows]]

[[Thunderspy]]

[[Timeline]]

[[Triage]]

[[Trigger in DBMS]]

[[Trugspur]]

[[Tsurugi-Linux]]

[[Totmannschalter]]

=== U ===
[[Unallocated Data (Nicht zugeordnete Daten)]]<br>
[[UNION Based SQL Injection]]

=== V ===
[[Verfügbarkeit]]

[[Vertraulichkeit]]

[[Vertraulichkeit in Datenbanksystemen]]

[[VPN]]

[[Volume Shadow Copies]]

[[Vorsorge für die IT-Forensik]]

[[Video-Forensik]]

=== W ===
[[W-Fragen]]

[[Watering-Holes]]

[[Web-Application-Firewall]]

[[Whitelisting]]

[[Why-Because-Analyse (WBA)]]

[[Windows-RAM auslesen]]

[[Windows-Papierkorb]]

[[Windows-Prefetch]]

[[Wiping]]

[[Wireshark]]

[[Write Blocker]]

[[Wörterbuchangriff]]

[[Worm]]

=== X ===
[[Xmount]]

=== Y ===
[[Yara Regeln]]

=== Z ===
[[Zeit]]

[[Zeitstempel]]

[[Zeitbasierte SQL Injection Attacken]]

[[Zenmap]]

[[Zero-Day-Exploit]]

[[Ziele einer forensischen Untersuchung nach A. Geschonneck]]

== Fernstudiengänge an der Hochschule Wismar (berufsbegleitend) ==

[https://www.wings.hs-wismar.de/de/fernstudium_bachelor/it_forensik IT-Forensik, Bachelor]

[https://www.wings.hs-wismar.de/de/fernstudium_master/it_sicherheit_und_forensik/ IT-Sicherheit und Forensik, Master]

== Starthilfen ==

* Hilfe zur Benutzung und Konfiguration der Wiki-Software finden Sie im [https://www.mediawiki.org/wiki/Special:MyLanguage/Help:Contents Benutzerhandbuch]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Manual:Configuration_settings Liste der Konfigurationsvariablen]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Manual:FAQ MediaWiki-FAQ]
* [https://lists.wikimedia.org/mailman/listinfo/mediawiki-announce Mailingliste neuer MediaWiki-Versionen]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Localisation#Translation_resources Übersetze MediaWiki für deine Sprache]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Manual:Combating_spam Erfahre, wie du Spam auf deinem Wiki bekämpfen kannst]

IT-Forensik Wiki - Benutzerbeiträge [de]

Cross Site Request Forgery (CSRF)

Hauptseite