Да, не только спамом. Можно постить комментарии и от имени зарегистрированных на ресурсе пользователей, что в определенных случаях действительно более опасно, чем спам. Так, в процессе тестирования в блог попадали комментарии от моего аккаунта, а не имени сгенерированного скриптом.

dasty Apr 4 2012 at 21:27

К примеру тут, на хабре, такую уязвимость недавно использовали для поднятия собственной кармы, руками других пользователей (без их ведома естественно).

Isis Apr 5 2012 at 00:27

Недавно? В 2008 )

mayorovp Apr 4 2012 at 21:03

Это — не CSRF-уязвимость. Это всего лишь гостевой доступ.

-9

UFO just landed and posted this here

rushter Apr 4 2012 at 21:36

Эта фишка не нова, она давно применяется в спамерах по wordpress, которые один раз парсят форму и уже потом постоянно спамят одним post запросом, чтобы добиться очень больших скоростей :).
Разработчикам давно пора ввести токены с использованием javascript.

Homakov Apr 4 2012 at 21:44

>Подумал — может и я так смогу?
совершенно не зря так подумал. уязвимость крайне распространена — можно найти десяток за час на разных популярных сайтах любому новичку. тестить вордпресс тоже хорошая идея. я поддерживаю. а то «сообществу» никаких аргументов недостаточно — все им «это ошибка разработчика» да «бага известная поэтому ты ничего нового не доказываешь». прям парадокс

iTs Apr 4 2012 at 22:16

You're doing it wrong. Теперь надо посетить форум wp и поднять истерику на ломаном англицком, после (возомнив себя кулхацкером) завести страничку в бложике с предложением услуг по аудиту безопасности данной проблемы и расписать тарифы ($9000/hr). И тут начинается игра в неуловимого Джо…

+20

UFO just landed and posted this here

Assargin Apr 5 2012 at 00:56

а также с Педро и Гомесом

Assargin Apr 5 2012 at 00:59

sed 's/а также/скорее/g'

zerkms Apr 5 2012 at 02:32

> Вывод — используйте капчу! :)

Зачем? CSRF-уязвимость успешно лечится добавлением csrf-токена

simon311 Apr 5 2012 at 02:47

Верно, но до момента официального обновления — думаю только так. Хотя можно допилить самому или поискать плагин.

zerkms Apr 5 2012 at 04:00

А, понял, это был WP-специфичный совет. Тогда да

UFO just landed and posted this here

zerkms Apr 5 2012 at 11:19

От CSRF-уязвимостей — да, это препятствие.

Вы же говорите не об эксплуатации CSRF, а о ботах.

Nigrimmist Apr 5 2012 at 12:21

Читаю сейчас книгу asp.net: «ASP.NET MVC 3» Адама Фримена и был довольно сильно удивлён тем, что о csrf уязвимости (не только о ней, но это было и в предыдущих книгах, sql inj/xss etc) написан большой подробный пункт, в котором объясняется что это такое и как с этим бороться встроенными средствами.

Мне кажется, что вот если бы такие врезки были в каждой книге, описывающие серверные веб технологии, тогда и процент уязвимых сайтов был бы не так высок.

ZiNTeR Apr 5 2012 at 15:55

Это никакая не серверная технология. Просто мелкая доработка: каждая форма имеет, грубо-говоря, свой уникальный идентификатор. И если ты его не отправил — стало-быть ты не открывал данную форму и не можешь данные из неё сохранить.

UFO just landed and posted this here

Nigrimmist Apr 5 2012 at 18:10

Вам уже выше ответили — Вы путаете защиту от ботов/спама и защиту от CSRF уязвимости. И раз Вас плюсуют, то не Вы один. Попробую в двух словах объяснить:

Если форма не подписана токеном, который, например зависит от сессии — злоумышленник может легко совершить некое действие за вас, а вы даже и не узнаете, перейдя по ссылке goo.gl и увидев ролик о котятах.

Ботам же на токены наплевать, они их забирают прямо из html. От ботов используются капчи и другие средства.

Не путайте пожалуйста

UFO just landed and posted this here

simon311 Apr 5 2012 at 21:45

Да, именно так.
Но в данном конкретном случае можно постить и анонимные комментарии, что также открывает широкие возможности спамерам. Получается, что для спама с помощью этой дырки не нужны никакие боты и ботнеты — просто загружаем нашу вредоносную страничку на бесплатный хостинг и заказываем туда много посещений.

AntonDiaz Apr 7 2012 at 11:21

Надо заметить, что автор статьи не сделал достаточный акцент на этом, отсюда такая путаница у многих.

Nigrimmist Apr 5 2012 at 18:11

Я написал «серверная технология» применительно к «в каждой книге», а не к csrf уязвимости в общем. Извиняюсь если ввел в заблуждение, красноречием не владею.

Homakov Apr 5 2012 at 20:37

в каждой книге — об этом я и говорил. в каждой книге от пхп за 24 часа до джава быстрый курс должно быть четкое описание csrf. его же нет. вообще её знают «избранные» — по моим подсчетам процентов 30 программистов

Only those users with full accounts are able to leave comments. Log in, please.