SİBERSALDİRİ.COM · KONU ODAKLI DERS
Bu derste kazanacaklarınız
- Oturum ile İstek doğrulama arasındaki ilişkiyi açıklamak.
- “CSRF ile kimlik doğrulama neden ayrıdır?” sorusuna gerekçeli yanıt vermek.
- Örneği değiştirip beklenen ve gözlenen davranışı karşılaştırmak.
Çalışma mantığı ve güven sınırı
CSRF tokenını oturuma bağlayın, tahmin edilemez üretin ve sunucuda doğrulayın. SameSite çerez politikası ve Origin denetimi ek savunma sağlayabilir; uygulamanın kullanımına göre değerlendirilir. Durum değiştiren GET uçlarını kaldırın. XSS varsa CSRF korumasının etkisi zayıflayabilir; katmanları birbirinin alternatifi saymayın.
Açıklamalı örnek
Aşağıdaki parça kavramı görünür kılar. Komut veya kod içeren örnekleri üretim sisteminde değil, size ait ayrı deneme ortamında değerlendirin. Mimari şema ve politika örnekleri çalıştırılabilir program değildir.
POST /preferences
Oturum: doğrulanmış kullanıcı
CSRF tokenı: oturumla eşleşen değer
Sunucu: yöntem + token + işlem yetkisi kontrolüBeklenen sonuç ve yorumu
Alanlar doğru olsa bile geçersiz tokenlı istek değişikliği gerçekleştirmemelidir.
Karşılaştırmalı durumlar
| Durum | Beklenen yaklaşım | Neden? |
|---|---|---|
| Token eksik | Değişiklik yok | İstek doğrulanmaz |
| Başka oturum tokenı | Ret | Oturuma bağlılık gerekir |
| Token doğru ama yetki yok | Ret | CSRF yetki değildir |
Uygulama görevi
Eksik, başka oturuma ait ve doğru token için üç olumsuz/olumlu senaryo yazın.
- İşlemden önce beklenen sonucu ve kabul koşulunu yazın.
- Tek bir değişkeni değiştirin; gözlemi ve kullandığınız ortamı kaydedin.
- Sonucu yukarıdaki karşılaştırma tablosuyla değerlendirin. Uymayan durumda hangi varsayımın yanlış olabileceğini açıklayın.
Sık yapılan hata ve düzeltme yönü
Tokenı URL'ye koyarak günlük ve referrer içinde sızdırmayın.
Kendinizi sınayın
CSRF ile kimlik doğrulama neden ayrıdır?
Açıklamalı yanıt: Kullanıcı oturumu geçerli olabilir; sorun isteğin kullanıcının niyetine bağlanmamasıdır.
İlgili derslerle ilerleyin
- PHP oturumları: Çerezden kimlik yaşam döngüsüne
- PHP formları: Doğrulama, CSRF ve yanıt
- CORS: Tarayıcı okuma izni ile kimliği ayırma
- MFA güvenliği: Akışın bütün yollarını koruma
Teknik başvuru
Bu dersin anlatımı ve örnekleri akademi için yeniden hazırlanmıştır. Aşağıdaki bağlantı, kullanılan teknoloji veya güvenlik yaklaşımının ayrıntılarını doğrulamak için teknik başvurudur.
