آموزش مقابله با حملات Cross Site Request Forgery (CSRF) در ASP.NET Core یکی دیگر از آموزش های گروه آموزشی پرووید می باشد که در این قسمت آن را به شما معرفی می کنیم. این بسته آموزشی نیز یکی از دوره های آموزشی دیگر که در حوزه فارسی سازی آموزش های انگلیسی تنظیم شده است می باشد. عنوان این بسته آموزشی، محافظت از اپلیکیشن های ASP.NET Core در مقابل حملات Cross Site Request Forgery (CSRF) است که با نام اصلی Cross Site Request Forgery (CSRF) Prevention for ASP.NET Core 3 and ASP.NET 4 Applications از شرکت Pluralsight منتشر شده است.

حملات Cross Site Request Forgery و یا CSRF

یکی از انواع حملاتی که در web application ها رخ می دهد، حملات cross site request forgery که به صورت کوتاه به آنها CSRF نیز می گویند، می باشد. در این نوع از حملات یک هکر به روش های مختلف سعی می کند تا کاربر را به سمتی ببرد که علیرغم میل خود عملیاتی را انجام بدهد. با استفاده از شبکه های اجتماعی و مکانیزم social engineering (ارسال لینک از طریق ایمیل و یا در چت ها) هکر تلاش می کند تا کاربران را طوری فریب بدهد که عملیات مورد نظر خود را انجام بدهند. اگر قربانی حملات CSRF یک کاربر معمولی باشد، هکر می تواند با استفاده از آن کاربر request های مختلفی را در یک web application اجرا کند. برای مثال انتقال پول و یا تغییر آدرس ایمیل و یا مواردی از این دست جزء عملیاتی هستند که در حملات CSRF انجام می پذیرد و اما اگر قربانی یک حساب administrator داشته باشد CSRF می تواند تمامی یک web application را تحت الشعاع قرار بدهد.

همانطور که گفته شد در حملات CSRF قربانی بدون اینکه اطمینان داشته باشد اقدام به ارسال کردن request های مخرب می کند. در این نوع از حملات هکر از هویت و یا identity و همچنین مجوزها و یا privilege های قربانی استفاده می کند تا بتواند عملیات مورد نظر خود را به نمایندگی از قربانی انجام بدهد. در بسیاری از وب سایت ها، مرورگر به صورت خودکار درخواست ها و یا request های ارسال شده در مرورگر به صورت خودکار شامل credential های مربوط به یک وب سایت از قبیل session cookie مربوط به کاربر و IP address و همچنین domain credential های مربوط به ویندوز می باشند. بنابراین اگر کاربر در یک وب سایت authenticate کرده باشد، آن سایت به هیچ وجه روشی را ندارد تا بتواند تشخیص بدهد کدام request ها به واقع توسط خود کاربر ارسال شده اند و کدام یک از request ها توسط یک هکر ارسال گردیده اند.

سرفصل مطالب آموزش ویدئویی مقابله با حملات Cross Site Request Forgery (CSRF) در ASP.NET Core

فصل اول: مقدمه دوره آموزشی

• مقدمه دوره آموزشی

فصل دوم: درک کردن حملات CSRF و جلوگیری کردن از آنها

• ورژن های مربوط به ابزارهای استفاده شده در این آموزش
• مقدمه
• یادگیری CSRF
• بررسی SameSite Cookie ها
• بررسی Anti-forgery Token ها
• بررسی Best Practice های مربوط به حملات CSRF