ההבדל העיקרי בין XSS ל-CSRF הוא שב-XSS (או Cross Site Scripting), האתר מקבל את הקוד הזדוני בעוד שב-CSRF (או Cross Site Request Forgery), הקוד הזדוני מאוחסן בקוד השלישי אתרי מסיבות. ה-XSS הוא סוג של פגיעות אבטחת מחשב ביישומי אינטרנט המאפשרת לתוקפים להחדיר סקריפטים בצד הלקוח לדפי אינטרנט שנצפו על ידי משתמשים אחרים. מצד שני, CSRF הוא סוג של פעילות זדונית של האקר או אתר אינטרנט שמשדר פקודות לא מורשות שאפליקציית האינטרנט של המשתמש תסמוך עליהן.
פיתוח אתרים הוא תהליך של תכנות אתר לפי דרישות הלקוח.כל ארגון מתחזק אתרים. אתרים אלו עוזרים לשפר את העסק ולהשיג רווחים. יחד עם זאת, יכולים להיות איומים המשפיעים על הפונקציונליות של האתר. שניים מהם הם XSS ו-CSRF.
מה זה XSS?
XSS היא התקפת הזרקת קוד שמחדירה קוד זדוני לאתר. זוהי אחת מהתקפות האתר הנפוצות ביותר. זה יכול להשפיע על האתר ויכול להשפיע גם על המשתמשים של אותו אתר. במילים אחרות, כאשר יש מתקפת XSS באתר, הקוד הזה יתבצע במשתמשי האתר על ידי הדפדפן.
איור 01: מתקפת XSS
שפה נפוצה אחת לכתיבת קוד זדוני עבור XSS היא JavaScript. XSS יכול לגנוב קובצי Cookie של המשתמש. זה יכול לשנות את דף האינטרנט כך שייראה ויתנהג אחרת. יתר על כן, הוא יכול להציג הורדות תוכנות זדוניות ולשנות את הגדרות המשתמש.
ישנם שני סוגים של התקפות XSS. הם נקראים מתמידים ולא מתמידים. בהתקפת XSS מתמשכת, הקוד הזדוני מאוחסן במסד הנתונים של האתר. המשתמש עשוי לגשת אליו ללא כל ידיעה. מתקפת XSS הלא מתמשכת נקראת גם Reflected XSS. הוא שולח את הסקריפט הזדוני כבקשת HTTP. אלה שני הסוגים העיקריים ב-XSS.
מה זה CSRF?
באתר, יש צד לקוח וצד שרת. דפי האינטרנט, הטפסים נמצאים בצד הלקוח. צד השרת מבצע פעולה כאשר המשתמש פועל. צד השרת מקבל בקשות מאתרים אחרים.
תקפת CSRF מרמה את המשתמש לקיים אינטראקציה עם דף או סקריפט באתר של צד שלישי. זה ייצור בקשה זדונית לאתר המשתמש. אבל השרת מניח שזו בקשה מאתר מורשה. כאשר המשתמש מקבל זאת, תוקף יכול לקחת את השליטה על השימוש בנתונים שנשלחו בבקשה.
דוגמה אחת היא כדלקמן.משתמש נכנס לחשבון הבנק שלו. הבנק מספק לו אסימון הפעלה. האקר יכול להערים על המשתמש ללחוץ על קישור מזויף שמפנה לבנק. כאשר המשתמש לוחץ על הקישור, הוא משתמש באסימון ההפעלה הקודם. לאחר מכן, בקשת ההאקר מבוצעת, וחשבון המשתמש נפרץ. הוא יכול להעביר כסף מחשבונו. הבקשה לבנק מזויפת מכיוון שהיא משתמשת באותו אסימון הפעלה של המשתמש. בסך הכל, חשוב לדעת כיצד להגן על האתר מפני התקפת CSRF בפיתוח אתרים.
מה ההבדל בין XSS ל-CSRF?
XSS מייצג Cross Site Scripting, ו-CSRF מייצג Cross Site Request Forgery. XSS הוא סוג של פגיעות אבטחת מחשב ביישומי אינטרנט המאפשרת לתוקפים להחדיר סקריפטים בצד הלקוח לדפי אינטרנט שנצפו על ידי משתמשים אחרים. CSRF הוא סוג של פעילות זדונית של האקר או אתר אינטרנט המשדר פקודות לא מורשות שאפליקציית האינטרנט של המשתמש תבטח בהן. כמו כן, XSS דורש JavaScript כדי לכתוב את הקוד הזדוני בעוד שה-CSRF אינו דורש JavaScript.
יתר על כן, ב-XSS, האתר מקבל את הקוד הזדוני ואילו ב-CSRF, הקוד הזדוני מאוחסן באתרי הצד השלישי. זה ההבדל העיקרי בין XSS ל-CSRF. בדרך כלל, אתר שפגיע להתקפת XSS חשוף גם להתקפת CSRF. עם זאת, אתר שיש לו הגנה מפני XSS עדיין יכול להיות פגיע להתקפות CSRF.
סיכום – XSS לעומת CSRF
XSS ו-CSRF הם שני סוגים של התקפות על אתר. XSS מייצג Cross Site Scripting בעוד CSRF מייצג Cross Site Request Forgery. ההבדל בין XSS ל-CSRF הוא שב-XSS, האתר מקבל את הקוד הזדוני בעוד שב-CSRF, הקוד הזדוני מאוחסן באתרי הצד השלישי.
