ثغرة في الملاذ الأخير

اللابات تحتاج كمبيوتر

افتح هذه الصفحة من كمبيوتر أو كبر نافذة المتصفح

جار تحميل اللاب

السيناريو

بعد الدرسين السابقين وضع الهاكر كوكي الجلسة على SameSite=Lax فصارت طلبات المواقع الأخرى لا تحمل الجلسة لكن بقي مسار GET قديم يغير البريد الاحتياطي و SameSite=Lax يسمح بإرسال الكوكي عند التنقل العلوي بطلب GET الزعيم فضولي ويفتح الروابط التي تصله

ما الذي تراه أمامك

نفس لوحة تحكم الغربان لكن كوكي الجلسة الآن SameSite=Lax فلا يرفق مع طلب POST عبر المواقع ولا مع تحميل مورد في الخلفية وتغيير الحالة هنا عبر GET. فكر أي توصيل يرفق الكوكي ويقبله الخادم معا أنت تختار طريقة توصيل الطلب المزور من صفحة المهاجم نموذج يرسل تلقائيا POST أو صورة تحمل رابطا GET أو رابط يفتحه الزعيم بنفسه GET والتطبيق يوضح هل أرفق المتصفح كوكي الجلسة ولماذا

الهدف

غير بريد الزعيم الاحتياطي إلى بريدك رغم حماية SameSite=Lax

متى يعتبر محلولا

تنقل علوي بطلب GET حمل كوكي Lax وغير بريد الزعيم

قائمة الخطوات

علم كل خطوة وأنت تمشي فيها الخطوات هي الطريقة وليست الجواب

جرب النموذج POST والصورة GET ولاحظ أن الكوكي لم يرفق
تذكر أن Lax يرفق الكوكي فقط مع تنقل أعلى المستوى بطريقة آمنة
استخدم توصيل الرابط الذي يفتحه الزعيم بنفسه
تأكد أن الرابط وحده أرفق الكوكي ونجح

التلميحات

لم تكشف أي تلميح بعد اسأل الصقر عند الحاجة

لماذا نجح الحل

SameSite=Lax حماية جيدة لكنها ليست كاملة: تسمح بإرسال الكوكي مع التنقل العلوي بطلب GET وهذا يكفي لو كان هناك فعل يغير حالة عبر GET خطآن اجتمعا: فعل خطير على GET وكوكي Lax بدل Strict الحل: لا تغير حالة أبدا عبر GET واستخدم SameSite=Strict للجلسات الحساسة وابق على رمز CSRF فالطبقات تكمل بعضها

السبب الجذري

SameSite=Lax يقلل CSRF لكنه لا يمنعه ما دام فعل يغير الحالة متاحا عبر تنقل GET أعلى المستوى لأن Lax يرفق الكوكي في هذه الحالة تحديدا

كيف يصلح الكود

Lax ليست درعا كاملا ضد CSRF إنها طبقة الدرع الحقيقي هو عدم تغيير الحالة عبر GET مع رمز CSRF وربما Strict

الكود المصاب

// Dangerous: it changes state on GET, which Lax still allows cross-site via a top-level link.
app.get('/settings', (req, res) => {
  if (!req.session.user) return res.status(401).end();
  db.setRecoveryEmail(req.session.user, req.query.email);
  res.end('updated');
});
// Set-Cookie: session=...; SameSite=Lax

الكود الآمن

// State changes are POST + token; the cookie is Strict for a sensitive panel.
app.post('/settings', requireToken, (req, res) => {
  db.setRecoveryEmail(req.session.user, req.body.email);
  res.end('updated');
});
// Set-Cookie: session=...; SameSite=Strict; HttpOnly; Secure

الأثر في الواقع

الاعتماد على SameSite وحده يترك ثغرة في كل فعل يغير الحالة عبر GET وهو خطأ شائع عند الاكتفاء بإعداد الكوكي بدل الرمز

كيف يكتشفها المدافعون

المدافع يجمع SameSite مع رمز CSRF ويمنع GET من تغيير الحالة ويستخدم SameSite=Strict أو Lax للكوكي مع فحص Origin

العودة إلى الدرس