Vulnerabilidad de CSRF en la interfaz web de hardware CGI / shell script

0

Tengo una interfaz web para un hardware que se utiliza principalmente para reiniciar el hardware. El reinicio solo lo puede realizar un usuario autenticado. La interfaz web está escrita en CGI / shellscript. No utiliza ninguna sesión / cookies. Se trata de una autenticación de tiempo a través de la autenticación lighttpd ldap. No se transfieren cookies en el navegador.

¿El ataque CSRF puede reiniciar el hardware? ¿Cómo puedo encontrar la vulnerabilidad CSRF en dichas interfaces web CGI / shell script?

    
pregunta imanartist 25.06.2014 - 05:35
fuente

1 respuesta

2

CSRF puede ocurrir en cualquier momento que sus servicios de servidor POST no se originen en un formulario servido por su servidor .

No usar cookies para la autorización no significa que CSRF no pueda ocurrir. Un iframe incrustado aún puede POST a cualquier URL adivinable con parámetros adivinables. Un agente de usuario personalizado aún puede enviar encabezados adivinables.

  

Es la autenticación de una sola vez a través de la autenticación ltap lighttpd.

No entiendo los detalles de este método de autenticación, pero una sola vez generalmente resuelve el problema con CSRF. No serás vulnerable a CSRF si

  • su servicio de reinicio siempre le pide al usuario que ingrese sus credenciales para hacer un reinicio, entonces no es en sí mismo idempotente
  • el servicio de reinicio solo se solicita desde un formulario con una acción indiscutible (por ejemplo, una con un secreto incrustado o credenciales incrustadas) desde una página que verifica LDAP
  • el servicio de reinicio solo funciona cuando tiene un encabezado indiscutible establecido por una página que comprueba LDAP, entonces CSRF no es un problema.
  • el servicio de reinicio solo es accesible por medio de una URL indiscutible

† - más generalmente, cualquier unsafe / operación de efecto secundario
‡: más generalmente, no desde el código de confianza del origen que atiende la solicitud

    
respondido por el Mike Samuel 25.06.2014 - 14:35
fuente

Lea otras preguntas en las etiquetas