CSRF persistantes : plutôt ennuyeuses

Gnu citizen relate cette anecdote : "Bob ajouta l'image fred.com/image.jpg directement sur son blogue. Fred, qui gère fred.com, voit les références prevenir du blogue de Bob, et utiliser cette image particulière. Fred n'aime pas se faire voler des images et de la bande passante, alors il décide de s'amuser un peu. Avec quelques lignes de mod_rewrite, Fred redirige toutes les requêtes de fred.com/image.jpg vers bob.com/action.php?logout. Comme l'image apparait sur le site de Bob et dans son panneau d'administrateur, Bob ne peut plus s'identifier sur son système, car il se fait immédiatement déconnecter."

Le reste de l'article montre comment bloquer un utilistateur hors de google reader, en lui envoyant une image bien faite.

Cela vous éclairera surement sur les riques des CSRF et leur persistance.

•  Persistent CSRF and The Hotlink Hell (79 visites)