Say mam następujące:Szyny 5 - Czy ktoś może wyjaśnić, w jaki sposób generowanie adresu URL z niesanalizowanych parametrów żądania jest niebezpieczne?
link_to "Excel", params.merge(format: 'xlsx')
Rails 5 mówi,
Próba wygenerowania URL z parametrów spoza odkażane życzenie! Osoba atakująca może wstrzyknąć szkodliwe dane do wygenerowanego adresu URL, na przykład zmienić hosta. Biała lista i odkaż parametry przekazane, aby były bezpieczne.
Chyba nie rozumiem, jak to jest niebezpieczne. Każdy może wpisać dowolną treść w przeglądarce i wykonać żądanie GET na moim serwerze. Co za różnica?
Wiem, że mogę obejść to dzięki permit!
. Staram się zrozumieć, co osiąga higienizacja moich parametrów.
https://www.owasp.org/index.php/Cross-Site_Request_Forgery_(CSRF) – coreyward
@coreyward Rails używa tokenów CSRF do POST, mówię o żądaniach GET.Wiadomość narzeka na URL, który generuję w mojej witrynie, więc czy przez CSRF proponujesz atakującemu adres URL mojej witryny, który po odwiedzeniu zawiera wygenerowany adres URL do zaatakowania innej witryny? –