Tout sur les attack CSRF - Cross Site Request Forgery

[artis]

Merci pour l'histoire

Je voulais juste rajouter une petite précision sur la manière de sécuriser le problème.
C'est assez simple, on peut ajouter un paramètre: un token
C'est un code unique par utilisateur, ainsi il n'est pas possible aux autres de le retrouver.
Il faut donc que le token soit valide pour que l'action de page puisse s'exécuter correctement.

Pour reprendre l'exemple, il faudrait que l'image pointe vers cette adresse en admettant que le token soit le bon :

Code :

www.victime.com/transfer.php?from=Pierre&to=Luc&amount=100&csrf_token=4d894zef98sdf4erg

On peut aussi améliorer le système et limiter un token à une seule utilisation. Ainsi si la requête est interceptée, le token aura déjà été utilisé et il ne sera plus valide.

J'espère que j'ai pas trop mal expliqué pour ceux qui ne connaissaient pas ce type de faille