Cross-Site Request Forgery (XSRF oder CSRF)
Bei einer XSRF-Attacke gibt der Angreifer vor, ein legitimer Anwender einer Website zu sein. Ein XSRF-Angriff kann dazu verwendet werden, Firewall-Einstellungen zu ändern, nicht autorisierte Daten in einem Forum zu veröffentlichen oder betrügerische Finanztransaktionen durchzuführen. Ein kompromittierter Benutzer weiß möglicherweise nie, dass ein solcher Angriff stattgefunden hat. Wenn der Benutzer von einem Angriff erfährt, kann es sein, dass der Schaden bereits eingetreten ist und eine Abhilfe unmöglich ist.
Ein XSRF-Angriff kann ausgeführt werden, indem die Identität eines bestehenden Benutzers gestohlen und dann unter Verwendung dieser Identität in einen Webserver eingedrungen wird. Ein Angreifer kann auch einen legitimen Benutzer dazu bringen, unwissentlich HTTP-Anforderungen zu senden, die sensible Benutzerdaten an den Angreifer zurücksenden.
Ein XSRF-Angriff ist funktionell das Gegenteil eines Cross-Site-Scripting-Angriffs (XSS), bei dem der Hacker bösartigen Code in einen Link auf einer Website einfügt, der scheinbar von einer vertrauenswürdigen Quelle stammt. Wenn ein Endbenutzer auf den Link klickt, wird die eingebettete Programmierung als Teil der Webanfrage des Clients übermittelt und kann auf dem Computer des Benutzers ausgeführt werden.
Ein XSRF-Angriff unterscheidet sich auch vom Cross-Site-Tracing (XST), einer ausgefeilten Form von XSS, die es einem Eindringling ermöglicht, mit Hilfe eines einfachen clientseitigen Skripts Cookies und andere Authentifizierungsdaten zu erhalten. Bei XSS und XST ist der Endbenutzer das primäre Ziel des Angriffs. Bei XSRF ist der Webserver das Hauptziel, auch wenn einzelne Endbenutzer oft geschädigt werden.
