CSRF nedir ve bunu nasıl önlersiniz?

Question

Accepted Answer

**CSRF (Cross-Site Request Forgery)**, oturum açmış bir kullanıcının tarayıcısını, kimlik doğrulaması yapıldığı bir sitede **istenmeyen istekler** yapmaya kandırır — tarayıcının kimlik bilgilerini/çerezleri otomatik olarak göndermesinden yararlanarak, kullanıcının onayı olmadan işlemler (transferler, değişiklikler) gerçekleştirir. ## CSRF nasıl çalışır ```text The attack exploits that browsers AUTO-SEND cookies (incl. session cookies) with requests: 1. a user is LOGGED IN to a site (has a session cookie) 2. the user visits a MALICIOUS page (or clicks a crafted link) 3. that page makes a request to the target site (e.g. a hidden form auto-submitting) 4. the browser AUTOMATICALLY includes the user's session cookie → the site thinks it's a legitimate request from the user → performs the action (transfer money, change email) → the user unknowingly performs an action they didn't intend. ``` ```html ``` ## Önleme ```text ✓ CSRF TOKENS → a unique, unpredictable token per session/form that the server verifies; the attacker's site can't know it → the forged request fails (the primary defense) ✓ SameSite COOKIES → SameSite=Lax/Strict → cookies NOT sent on cross-site requests → blocks CSRF (now a strong, default-ish browser defense) ✓ Check Origin/Referer headers; require re-authentication for sensitive actions ✓ Don't use GET for state-changing actions (use POST/PUT/DELETE properly) → Frameworks often provide CSRF protection built in — enable/use it. ``` ## Neden önemli CSRF'yi ve bunu nasıl önleyeceğinizi anlamak değerlidir çünkü tarayıcıların nasıl çalıştığını kötüye kullanan **yaygın bir web güvenliği açığıdır** ve saldırganların kimlik doğrulaması yapılan kullanıcılar olarak işlemler gerçekleştirmesine izin verir; bu nedenle web geliştiricileri için önemli bir güvenlik bilgisidir. **CSRF'nin nasıl çalıştığını anlamak** — tarayıcıların isteklerle beraber çerezleri (oturum çerezleri dahil) **otomatik olarak göndermesinden** yararlanması, kötü amaçlı bir sayfanın kullanıcının oturum açtığı bir siteye istek tetikleyebilmesi ve tarayıcının oturum çerezini dahil etmesi, sitenin sahte isteği meşru olarak görmesi ve kullanıcının onayı olmadan işlemi gerçekleştirmesi — bu incelikli ama tehlikeli saldırıyı anlamak için gereklidir. CSRF tehlikelidir çünkü kurban olup bilmeden hassas işlemleri gerçekleştirebilir ve yaygın bir web güvenliği açığıdır. **Önlemenin** anlaşılması esastır: **CSRF token'ları** (sunucunun doğruladığı, oturum/form başına benzersiz, tahmin edilemez bir token — saldırganın sitesi bunu bilemez, bu nedenle sahte istekler başarısız olur; geleneksel birincil savunma), **SameSite çerezleri** (SameSite=Lax/Strict ayarlaması böylece çerezler siteler arası isteklerde gönderilmez, artık güçlü bir tarayıcı seviyesi savunma ve giderek varsayılan hale geliyor), Origin/Referer başlıklarını kontrol etme, hassas işlemler için yeniden kimlik doğrulaması isteme ve durum değiştiren işlemler için GET kullanmama. **Framework'lerin genellikle yerleşik CSRF koruması sağladığını** (bu korumanın etkin olması ve kullanılması gerekir) anlamak pratik açıdan önemlidir. CSRF token'ları ve SameSite çerezlerinin kombinasyonu sağlam koruma sağlar. CSRF yaygın bir web güvenliği açığı olduğu için tarayıcı davranışını kötüye kullanan kimlik doğrulaması yapılmış kullanıcılar olarak istenmeyen işlemler gerçekleştirmeye olanak tanıdığından, ve nasıl çalıştığını ve bunu nasıl önleyeceğini (CSRF token'ları, SameSite çerezleri, framework korumaları) anlamanın web geliştiricileri için önemli olduğundan, CSRF'yi ve bunu önlemeyi anlamak değerli, pratik açıdan ilgili bir güvenlik bilgisidir — her web uygulaması için önemli olan ve anlaşılması gereken ve karşısında savunma yapılması gereken bir saldırı sınıfıdır; kimlik doğrulaması yapılmış durum değiştiren işlemlere sahip herhangi bir web uygulaması için, savunmalar (CSRF token'ları ve SameSite çerezleri) kullanıcıları istenmeyen işlemlere kandırılmaktan korumak için önemli bir bilgidir.