Тёмный
No video :(

Cómo hacer un Ataque CSRF 

Antonio Sarosi
Подписаться 167 тыс.
Просмотров 165 тыс.
50% 1

Curso de Laravel y Vue:
www.mastermind...
Mi otro canal:
• Tutorial de Ataque CSR...
Mientras hacía el curso de Laravel estaba pensando en cómo explicarle a los alumnos por qué tenemos que incluir CSRF Tokens en todos los formularios, y se me ocurrió que la mejor manera es precisamente viendo un ataque CSRF en acción. Para lo cual me puse a investigar durante muchas horas, hasta que entendí el proceso completo. Esa investigación ha resultado en este vídeo, y en un tutorial que está subido a mi otro canal, pero no está publicado. Ya sabéis lo que hay que hacer para que lo publique ;)
ÍNDICE
00:00 - Promo
01:12 - CSRF
02:45 - Autenticación
05:52 - El Ataque
11:16 - Protección con CSRF Tokens
14:50 - CORS
CURSOS
Curso de Linux en 9 horas:
bit.ly/30bqEfv
Curso de Personalizar Arch Linux:
bit.ly/3gHdkVk
Curso de Sistemas Operativos
www.mastermind...
REDES SOCIALES
Discord: discordapp.com...
Instagram: / antoniosarosi
Twitter: / antoniosarosi
FAQ
¿Cuál es el monitor, la lámpara RGB, micro? Aquí tienes mis enlaces de afiliados de Amazon para los productos:
Lámpara RGB AUKEY:
amzn.to/3noz7Vt
Monitor 21-27 pulgadas HP:
amzn.to/2RsQxms
Micro FIFINE:
amzn.to/3fMjtj3
Cámara Panasonic Lumix DMC G7:
amzn.to/2KUV2FO
Webcam Aukey:
amzn.to/34G0cwu
¿Qué sistema operativo usas?
Es bastante evidente que uso Arch Linux
¿Qué editor de texto usas?
Uso muchos, en este vídeo en concreto uso Vscode
¿Qué tema usas?
En este vídeo Atom Onedark
MÚSICA
Andy Leech, René
• Andy Leech - René
The Calico Sequence, Juno
• Juno
Mike Noise, Low Earth Orbit
• Mike Noise Low Earth...
Nomyn, Serene
• Nomyn - Serene
Rameses B, Believing
• Rameses B - Believing
Shap3S, Swell
• Shap3S - Swell
TAGS
#Ciberseguridad
#Javascript
#Nodejs

Опубликовано:

 

15 авг 2024

Поделиться:

Ссылка:

Скачать:

Готовим ссылку...

Добавить в:

Мой плейлист
Посмотреть позже
Комментарии : 434   
@AntonioSarosi
@AntonioSarosi 3 года назад
El vídeo empieza en el 1:12 Curso de Laravel y Vue: www.mastermind.ac/courses/desarrollo-full-stack-con-laravel-v-uejs?ref=225b86&coupon=sarosi Mi otro canal: ru-vid.com/video/%D0%B2%D0%B8%D0%B4%D0%B5%D0%BE-C9dvkIndTLA.html
@asdetodo20
@asdetodo20 3 года назад
Que usas para el wifi? usas alguna GUI? usas NetworkManager?
@AntonioSarosi
@AntonioSarosi 3 года назад
@@asdetodo20 NetworkManager
@simoleans45
@simoleans45 3 года назад
Hay alguna manera de que acepten paypal para pagar el curso de Laravel + vueJS?
@AntonioSarosi
@AntonioSarosi 3 года назад
@@simoleans45 se puede pagar con PayPal
@vmporcayom
@vmporcayom 3 года назад
Bro, ¿qué se requiere para el curso?
@ivanmera1633
@ivanmera1633 3 года назад
Llevo trabajando como desarrollador web ya 4 años, y nunca nadie me había explicado TAN BIEN en qué consiste un CSRF. Sigue así viejo, excelente contenido.
@JuanPerez-lm1ur
@JuanPerez-lm1ur 3 года назад
@Robert Smith donde puedo conseguir esos cursos?
@julianramireze
@julianramireze 2 года назад
@@JuanPerez-lm1ur Hay un video muy bueno que te da una guia de como adquirir nuevo conocimiento: ru-vid.com/video/%D0%B2%D0%B8%D0%B4%D0%B5%D0%BE-qRKoWerpwV4.html puede ser como autodidacta o con cursos, elije el que mejor se adapte. *no pienses en el tiempo del video, luego de verlo me ahorro mucho tiempo que se puede usar para llegar a cumplir tus metas u objetivos, se debe de optimizar el tiempo al maximo sin reducir su calidad.
@skuldd
@skuldd 2 года назад
@Robert Smith en ningún momento aclaró de que es un purista, qué manera de dirigirte a una persona
@juanfranciscocevallosvaldi149
@juanfranciscocevallosvaldi149 2 года назад
@Robert Smith Oye, tranquilo viejo
@totekingpadi
@totekingpadi 8 месяцев назад
Trabajo en ciberseguridad desde hace cinco años y he de decis que ESTA GENIAL EXPLICADO ANTONIO, gracias
@thereciolol2733
@thereciolol2733 3 года назад
4tomik, con un 4 y una K porque queda mas hacker jajaja te mamaste bro xD... Ahorita me suscribo :3
@Neotokio1979
@Neotokio1979 2 года назад
Se me hace imposible pagar el curso pero sigo aprendiendo con tus vídeos. 👏
@joanvegabosch
@joanvegabosch Год назад
Muy bien explicado! de lo mejor que he visto
@olivertzunun3798
@olivertzunun3798 3 года назад
Viejo, hemos visto tu evolución en cuanto a tecnologías de programación (los que siempre hemos visto tus videos), es satisfactorio ver que sigas creciendo y motiva , para agarrar tu ritmo. Gracias por el contenido rey
@samuelpaez4316
@samuelpaez4316 3 года назад
el tiene recursos, hay personas como yo que vivo en Venezuela y estudiar ciencias computacionales es bastante dificil, aparte de que tengo un equipo de muy bajos recursos y un internet corriendo a menos de 1mb
@olivertzunun3798
@olivertzunun3798 3 года назад
@@samuelpaez4316 a bueno pa saber
@VioleGrace10
@VioleGrace10 3 года назад
ya me estaba preocupando de que no subías videos, sigue así :D
@Carlos-qi8er
@Carlos-qi8er 3 года назад
soy un hombre simple, veo un video de sarosi y doy like fin de la historia
@JesCarv27
@JesCarv27 3 года назад
Soy un hombre simple, veo un buen comentario como este y le doy like
@gerardopalacios9632
@gerardopalacios9632 3 года назад
Wow, enserio me gustan tus vídeos, no solo son muy informativos y educativos, si no también muy entretenidos :') sigue así 🙌
@jordylescano2403
@jordylescano2403 3 года назад
Buenísimo al explicar este capo, este toque de seriedad te queda perfecto jajaja
@revstreak
@revstreak 2 года назад
no me he enterado de nada porque no entiendo los suficiente pero me quede todo el video porque la musica los colores y lo simple que haces que prezca me llamo la atencion like
@ryanquezada2803
@ryanquezada2803 3 года назад
por fin entiendo a la perfeccion el tema del CORS
@mrwakko5715
@mrwakko5715 3 года назад
Eres muy bueno, para que vamos a decir otra cosa. No he visto ningun video tan bueno como este que explique algo tan complicado como el ataque CSRF. Gracias.
@manuelruiz525
@manuelruiz525 3 года назад
Tienes mi comentario por el algoritmo, porque te lo mereces. Gracias por compartir ;)
@santiagogutio8930
@santiagogutio8930 3 года назад
De los mejores videos de seguridad de la información que he visto.
@jonasmerthen
@jonasmerthen 3 года назад
Jejeje ya seguía al canal de atomic desde hace rato, muy buen contenido.
@ezequiel6391
@ezequiel6391 2 года назад
No habia visto esta parte del desarrollo web jajaj. Me gusta
@jfssven
@jfssven 2 года назад
Impresionante video Antonio! Una explicación del ataque CSRF muy clara, concisa y además ejemplificada de lo que es bueno y lo que no y "por qué". Excelente contenido.
@lichitoopintos4863
@lichitoopintos4863 3 года назад
Que bien me cae este tipo
@chumillas94
@chumillas94 Год назад
Hola Antonio, buen vídeo como siempre, pero te dejo un par de apuntes respecto a este tema: En este ejemplo has podido acceder a la cookie de la sesión desde localhost:5000 porque aunque esté en un puerto distinto, el dominio (localhost) es el mismo. El estándar RFC2965 que implementan los navegadores no especifica si se puede acceder a una cookie desde puertos distintos desde el mismo dominio, por lo que cada navegador web implementa un mecanismo propio. En el caso de Chrome por ejemplo, como has podido comprobar, sí puede acceder a la cookie creada en el dominio localhost:3000 desde localhost:5000, pero esto mismo puede no funcionar en otro navegador. Dicho esto, en entornos de producción reales, esto no funcionaría nunca, ni desde Chrome ni desde ningún otro navegador, ya que el atacante no puede suplantar un dominio web. Respecto a la segunda parte del vídeo, simplemente señalar que los atacantes puede fácilmente saltarte la restricción de Access-Control-Allow-Origin, ya que esta es una medida de seguridad que se lleva a cabo en la parte front (en el propio navegador) y no en el servidor, por lo que basta con no hacer esa petición desde un navegador, si no hacerla por ejemplo desde Postman/cUrl/etc, para saltarte ese control de seguridad.
@iamarobot8808
@iamarobot8808 Год назад
Hola. No estoy de acuerdo. No puedo comprobarlo ahora mismo, pero estoy seguro que el primer ataque funciona sin la necesidad de que las páginas tengan el mismo dominio, lo he hecho como aprendizaje de pentesting. No vas a poder acceder a la cookie cuando los dominios son diferentes, eso es cierto. Pero no necesitás leerla. Podés hacer un fetch o una post request usando un form y el navegador es el encargado de incluir la cookie. De todas maneras los navegadores tiene "the same origin policy" (SOP), la cual limita la forma de las requests que se hacen de diferentes dominios. Por ejemplo, solo podés modificar headers específicos (como content-type), y creo que no podés tocar el header de las cookies. Esto hace que si el session id viaja en un header específico (diferente a Cookie), un atacante no pueda hacer un CSRF attack por la same origin policy.
@iamarobot8808
@iamarobot8808 Год назад
Por otro lado, creo que se aclara bien que CORS es una protección del navegador. Pero no es que usando otto cliente diferente a un navegador te saltees la protección. Como se explicó, la idea de esto es evitar que un usuario usando un navegador entre a una página de un atacante usando el navegador, y luego que esta página obtenga el CSRF token a partir de una request en segundo plano. Gracias al header Access-Control-Allow-Origin el atacante no puede obtener el CSRF token cuando la víctima entra a su página desde un navegador
@davidmm5
@davidmm5 2 года назад
Una explicación muy clara de un ataque CSRF. Genial.
@igorprieto
@igorprieto 3 года назад
Definitivamente soy tu fan
@andyjs3537
@andyjs3537 3 года назад
Vengo por recomendación de Nate Gentile. Ya me suscribo.
@jask05
@jask05 Год назад
Gracias por el video, bastante claro.
@jhonmeneses6837
@jhonmeneses6837 3 года назад
Wow que bueno este video, ahora entiendo porque algunas páginas como la F cuando uno va a realizar acciones como cambiar el nombre de usuarios por ejemplo, esta solicita de nuevo la contraseña por mucho que uno ya esté autenticado.
@maximojuniorapazachirhuana9641
@maximojuniorapazachirhuana9641 3 года назад
Con razón para lo aplica. Gracias ahora tengo más claro el tema de los cors y la protección crsf
@hackyourmind4490
@hackyourmind4490 Год назад
Es muy bien explicado, se nota que vienes del desarrollo, sigue así Antonio, un saludo.
@angeloviedo3515
@angeloviedo3515 3 года назад
Ha vuelto el patrón, grande mi estimado, tus vídeos me han enseñado mucho, saludos.
@samsungatyt5176
@samsungatyt5176 3 года назад
Oye we no entendi ni vergas jeje pero me caes mejor que otro youtuber con sus videos de software complejo saludos desde mexico.
@jahirvidrio
@jahirvidrio 3 года назад
Hola Antonio, excelente video... No había encontrado hasta ahora una explicación tan buena como la tuya, pero me queda la duda... Como se aplicaría esto mismo pero a API REST? Por cierto, lo de los CORS muy buena, por fin entendí jajaja
@AntonioSarosi
@AntonioSarosi 3 года назад
Esto está hecho en REST, pides CSRF token a las rutas POST, PUT y DELETE. Si te refieres a una API como tal que solo manda JSONs, ahí no se usa CSRF tokens, la autenticación no va por sesiones, se usan otro tipo de IDs que van en una cabeceras Authorization de HTTP.
@kevinapps8130
@kevinapps8130 3 года назад
Wooow, necesitaba este video para mí website, te luciste bro, GRACIAS.
@xdEdgarBest
@xdEdgarBest 3 года назад
Me he suscrito porque explicas muy bien. Entendí incluso el significado del middleware. Muchas gracias. Veré tus cursos.
@Colmedoherman
@Colmedoherman 3 года назад
Super buena tu explicación gracias ! Siempre habia visto que en Laravel viene por defecto pero no sabia realmente el porque :)
@Apra2_DJ
@Apra2_DJ 3 года назад
Estas explicaciones son para gente PRO
@TheElmasmas
@TheElmasmas Год назад
Maravilloso video!
@charamuska15
@charamuska15 3 года назад
Cuando no Ud, impresionante explicación 👍
@ghostfire2304
@ghostfire2304 3 года назад
Has un curso de informática😔 Eres de los mejores canales que he visto en youtube
@ecartman
@ecartman 2 года назад
Buena info. Gracias por compartir!
@falc0nx160
@falc0nx160 3 года назад
Llevo mucho viendo tus videos y aprendiendo, bueno intentándolo jaja, estoy haciendo un servidor de gta roleplay y me preguntaba si en algún momento te has pensado hacer algo para la comunidad de videojuegos, y en especial para FiveM, eres un grande! Sigue así.
@miguelrodriguezluna3140
@miguelrodriguezluna3140 3 года назад
Es el primer video tuyo que veo y me encanto, te ganaste un subscritor!
@osvaldoflete3946
@osvaldoflete3946 3 года назад
¡Por fin nuevo video! 👍
@Artu2002
@Artu2002 3 года назад
Acabo de descurbir tu canal, llevo 1 minuto y medio de video y ya me suscribí, muy buena tu actitud y la edición, es el primer video de ciberseguridad que veo que es entretenido, sigue así 👍
@DanielBlasDr
@DanielBlasDr 3 года назад
Excelente explicacion Sarosi felicitaciones Tito s4vitar y tu parecen relojeros todo a la perfeccion!!!!!! Se tenso- se viene la charla con S4vitar ajjajja......a la espera de esa lucha de Titanes.
@nikse2028
@nikse2028 3 года назад
dale antonio sube mas videos!!!, no nos desampares
@danrosva315
@danrosva315 9 месяцев назад
Muy bien explicado tio!!!
@radio3angeles460
@radio3angeles460 3 года назад
De hecho actualmente, existen algunas medio maneras de saltarse esto. Existe una URL a la que le podrías hacer Fetch, pero primero necesitas la sesión
@alfoncode
@alfoncode 3 года назад
Eres un grande Antonio! Un video más aportando valor de calidad!
@lucasalcorta8114
@lucasalcorta8114 3 года назад
ojalas sigan subiendo cursos a Mastermind porque esta buenisimo ): he aprendido mucho ahí
@javieralvarez5842
@javieralvarez5842 2 года назад
muy bueno antonio, tienes mi like y mi suscripción también. saludos desde argentina
@jeison1305
@jeison1305 3 года назад
Excelente explicación, muchas gracias.
@dariorodrigotorrejon4004
@dariorodrigotorrejon4004 3 года назад
Genialidad de vdeo....muchas gracias por compartir tu conocimiento!!un saludo desde Argentina Antonio!
@juanmaa1414
@juanmaa1414 3 года назад
Nada mal un repaso y aprender, me encantó 👏
@lsilvac
@lsilvac 3 года назад
Entre con mis dudas, pero bien explicado, buenos ejemplos y temas.
@Magistrado1914
@Magistrado1914 3 года назад
Excelente vídeo y explicación Visto en 14/03/2021
@teknosuso1984
@teknosuso1984 3 года назад
Buen aporte ... Muy curioso el ataque . Bien explicado .
@gyrozeppeli8932
@gyrozeppeli8932 3 года назад
Sarosi vuelve a la carga
@nicoroxy
@nicoroxy 3 года назад
Me pareció genial el video, y como explicas muy claro todo! Ojala se vengan mas de seg!
@abundantegracia4872
@abundantegracia4872 2 года назад
Gracias!! por este video.
@0al3x
@0al3x 3 года назад
puff men tu explicacion de cors me cayo como anillo al dedo!
@AntonioSarosi
@AntonioSarosi 3 года назад
👌
@dannegm
@dannegm 3 года назад
Herramientas como Postman, CURl, HTTPie, etc, te permiten personalizar el header Origin. Por otro lado, si ya tienes el SID, para qué quieres más, simplemente clonas la sesión localmente. Por cierto, un método más seguro puede ser usar JWT, estos incluso te permiten proporcionar una llave para validar la autenticidad del cliente o un servidor tercero, es una firma E2E.
@AntonioSarosi
@AntonioSarosi 3 года назад
Nunca tienes el valor del SID. Tienes que hacer que sea el usuario quién lo manda.
@JoseMendoza-cr4il
@JoseMendoza-cr4il 3 года назад
Se te echaba de menos, eres un grande!
@drilosv13
@drilosv13 3 года назад
Un buen video, ahora entiendo un poco mas de los CORS
@aaanuarr
@aaanuarr 3 года назад
Curiosamente, hace poco tuve que aplicar cambios para evitar ataques CSRF y la solución fue la misma jaja. Buen video!
@RivicoYT
@RivicoYT 3 года назад
En laravel creo que existe un @CRSF (token generado) para evitar este tipo de ataques, eso creo, corregidme si estoy mal.
@alzate_dev
@alzate_dev 2 года назад
@@RivicoYT Si y en Symfony igual bro
@borjafdez.5878
@borjafdez.5878 2 года назад
Hola. Por fin he conseguido entender algunos conceptos que se me escapaban. Si algún día haces algún curso sobre programación segura y mejores prácticas, cuenta conmigo!
@eduardotrujillo9316
@eduardotrujillo9316 3 года назад
Así de primeras un full stack con VueJS y Lavarel me resulta muy atractivo habiéndome hecho el clasico de JS y PHP a secas. Yo no le puedo decir que no, aunque no conozco la plataforma y casi ya no tengo tiempo ni para estudiar. Pero voy a necesitar aprender VueJS para mi futuro (Y odio Angular).
@Codebuilder778
@Codebuilder778 3 года назад
ahora entiendo lo de laravel wooooooooooooow :D gracias por el video
@efranreyes1769
@efranreyes1769 Год назад
super tus videos hermano, he aprendido mucho con tus videos bendiciones.
@ByHugoStyle
@ByHugoStyle 3 года назад
Lo de los tokens se podría hacer más seguro utilizando blockchain pero ese ya es otro tema jajaj, muy buen video Antonio!
@luistorresg.3228
@luistorresg.3228 3 года назад
Toma tu like buen hombre...... ahora ME HE CONVERTIDO EN HACKERMANS...SI...! pd:suscrito
@MG-kb4wg
@MG-kb4wg 3 года назад
Los 7 que han dejado el dislike ni se han molestado a ver el video, enfin si a alguien le escueze lo que haces cuando lo haces bien es porque lo estas haciendo muy bien.
@AntonioSarosi
@AntonioSarosi 3 года назад
Tengo muchos haters jaja
@danielesquivel3155
@danielesquivel3155 3 года назад
@@AntonioSarosi porke :c
@albertogalvan3425
@albertogalvan3425 3 года назад
Excelente explicación! Sigue con tu buen contenido!
@Matias_Heinze
@Matias_Heinze Год назад
te la rebuscaste bien! bro sigue asi
@mkllabarca6969
@mkllabarca6969 3 года назад
Esto es el mercado amigo 🤑
@LuisLopez-ns6yg
@LuisLopez-ns6yg 3 года назад
Saludos Antonio, éxitos en tu nuevo canal:)
@somiglianagino9159
@somiglianagino9159 3 года назад
Sos un dios hermano,
@octaviocrypto6222
@octaviocrypto6222 3 года назад
Sos un fenomeno. Saludos desde Argentina
@ghostrgp01
@ghostrgp01 3 года назад
Está excelentemente explicado!
@maortega
@maortega 3 года назад
Te doy un like porque no te puedo dar mil! Excelente explicación!
@kevinguzman1929
@kevinguzman1929 3 года назад
Excelente video Antonio! Voy para el otro canal.
@glzsan5927
@glzsan5927 3 года назад
Buen vídeo, me gustarían más videos de ataques a web aparte de sql inyection y este
@don_codigo
@don_codigo 3 года назад
Muy Crack Antonio, saludos y los mejores deseos.
@Neotokio1979
@Neotokio1979 2 года назад
Ya me suscribi al nuevo canal 💪
@moshi_wein
@moshi_wein 3 года назад
Amigo esto esta idisimo, segui adelante q tenes alto futuro pa
@francobregoli8920
@francobregoli8920 Год назад
sos un capo chabon
@adrianmt7357
@adrianmt7357 3 года назад
Ya estaba suscrito al otro canal y no sabia que era tuyo jajaja
@okinmartinez6379
@okinmartinez6379 3 года назад
Eres un crack , explicas muy bien saludos desde colombia
@cientifico66
@cientifico66 2 года назад
Excelente video informativo
@TyGerGranada
@TyGerGranada 3 года назад
Me ha gustado mucho este vídeo.
@fernandofradegrada
@fernandofradegrada 3 года назад
Gran explicación! Muy bueno!
@Pablo-ux9oq
@Pablo-ux9oq 3 года назад
Espero el video de 3er año de informática! Saludos crack!
@joposepeph
@joposepeph 3 года назад
Al final te quedaste con el Arch linux. Buen video
@carlosf.2927
@carlosf.2927 2 года назад
Muy bien explicado
@georgelobo4048
@georgelobo4048 2 года назад
Vídeo excelente!
@riquer18
@riquer18 3 года назад
Excelente canal, ¡Felicitaciones!
@mkllabarca6969
@mkllabarca6969 3 года назад
Felicidades por los 100k ídolo
@dinasupivi5361
@dinasupivi5361 3 года назад
Felicidades por los 100k!
@pacoortola1
@pacoortola1 2 года назад
Chapeau colega!
@moodboost927
@moodboost927 3 года назад
siempre leo antonio sasori
@krassrasta
@krassrasta 3 года назад
Excelente bro !! Un saludo, sigue así!!!!
Далее
Your App Is NOT Secure If You Don’t Use CSRF Tokens
9:57
Cross-Site Scripting (XSS) Explained
11:27
Просмотров 438 тыс.
Tutorial de Ataque CSRF y CSRF Tokens en Node.js
1:19:25
7 Tips Para Ser un Programador Más PRO
27:22
Просмотров 98 тыс.
Programando un "Google Drive" Casero
16:23
Просмотров 280 тыс.
Cross-Site Request Forgery (CSRF) Explained
14:11
Просмотров 442 тыс.
Pasando de Noob a Pro de Linux en 20 Minutos
21:07
Просмотров 924 тыс.