A falsificação de solicitação entre sites é uma das formas mais comuns de ataque por spammers e golpistas online. A explorabilidade deste ataque é um pouco complicada, sua prevalência é generalizada.

Mas os ataques CSRF podem ser facilmente previstos e seu impacto é moderado.

script CSRF. 

Falsificação de
solicitação
Nesse cenário, temos um invasor, um usuário, invasores e um servidor de destino. Um invasor pode compartilhar um link malicioso com um usuário de várias maneiras.

A troca de links pode ser feita por meio de mídias sociais, e-mail e muitas outras formas. Depois que o usuário clica no link, o link vai para o servidor da Web do invasor.

Agora, a solicitação do servidor do invasor também contém uma solicitação maliciosa incorporada que faz com que o navegador do usuário envie uma solicitação ao site de destino.

Todo o processo do CSRF é obter um usuário autenticado que já esteja autenticado no site de destino. Portanto, essa é uma das condições que geralmente precisam ser atendidas para um CSRF bem-sucedido.

Falsificação de solicitação

Falsificação de solicitação entre sites

Neste cenário, o usuário transfere dinheiro para um site bancário, o usuário agora faz login no banco e autentica a solicitação de transferência de dinheiro.

A requisição deve ser algo como HTTP POST http://bank.com/transfer , assim que a requisição for processada, o servidor enviará uma mensagem Authcookie: 86GHTR para salvar o estado do usuário.

Existe um corpo de solicitação como a solicitação de postagem que consiste no número da conta de destino: 7895457898054 e para onde a quantia de dinheiro deve ser transferida: 100000.

Agora, um invasor pode falsificar essa solicitação e é um problema com o CSRF se o invasor conseguir enganar o navegador do usuário para fazer esta solicitação quando eu puder concluir com sucesso a solicitação CSRF.

Então agora o invasor faz isso: o invasor já conhece o caminho de postagem HTTP, ele olha para o banco e informa qual URL você precisa enviar para transferir dinheiro.

Eles já conhecem os campos, então só precisam da URL e do corpo da solicitação, porque se forçam o usuário a fazer uma solicitação para aquela parte com o corpo da solicitação.

Um cookie de autenticação será enviado automaticamente com a solicitação que os navegadores normalmente fazem, envie qualquer cookie com uma solicitação válida para o domínio de destino.

Proteção contra falsificação de solicitação
CSRF é usado se usarmos padrões previsíveis.
Use tokens antifalsificação, adicione aleatoriedade à solicitação.
Solicitações válidas não devem vir de fora.
O link deve estar nos pedidos de cada cabeçalho.
Proteção de navegador integrada.
Modelos de detecção de fraude.