Cross-site request forgery
ಕ್ರಾಸ್-ಸೈಟ್ ರಿಕ್ವೆಸ್ಟ್ ಫೋರ್ಜರಿ, ಇದನ್ನು ಒನ್-ಕ್ಲಿಕ್ ಅಟ್ಯಾಕ್ ಅಥವಾ ಸೆಷನ್ ರೈಡಿಂಗ್ ಎಂದೂ ಕರೆಯಲಾಗುತ್ತದೆ ಮತ್ತು ಸಿಎಸ್ಆರ್ಎಫ್ (ಕೆಲವೊಮ್ಮೆ ಸೀ-ಸರ್ಫ್ ಎಂದು ಉಚ್ಚರಿಸಲಾಗುತ್ತದೆ) ಅಥವಾ ಎಕ್ಸ್ಎಸ್ಆರ್ಎಫ್ ಎಂದೂ ಸಂಕ್ಷಿಪ್ತಗೊಳಿಸಲಾಗಿದೆ, ಇದು ವೆಬ್ಸೈಟ್ ಅಥವಾ ವೆಬ್ ಅಪ್ಲಿಕೇಶನ್ನ ದುರುದ್ದೇಶಪೂರಿತ ಶೋಷಣೆಯಾಗಿದ್ದು, ಅಲ್ಲಿ ವೆಬ್ ಅಪ್ಲಿಕೇಶನ್ ನಂಬುವ ಬಳಕೆದಾರರಿಂದ ಅನಧಿಕೃತ ಆಜ್ಞೆಗಳನ್ನು ಸಲ್ಲಿಸಲಾಗುತ್ತದೆ. ದುರುದ್ದೇಶಪೂರಿತ ಜಾಲತಾಣವು ಅಂತಹ ಆಜ್ಞೆಗಳನ್ನು ರವಾನಿಸಲು ಅನೇಕ ಮಾರ್ಗಗಳಿವೆ; ವಿಶೇಷವಾಗಿ ರಚಿಸಲಾದ ಇಮೇಜ್ ಟ್ಯಾಗ್ಗಳು, ಹಿಡನ್ ಫಾರ್ಮ್ಗಳು ಮತ್ತು ಜಾವಾಸ್ಕ್ರಿಪ್ಟ್ ಫೆಚ್ ಅಥವಾ ಎಕ್ಸ್ಎಂಎಲ್ಎಚ್ಟಿಪಿ ರಿಕ್ವೆಸ್ಟ್ಗಳು, ಉದಾಹರಣೆಗೆ, ಇವೆಲ್ಲವೂ ಬಳಕೆದಾರರ ಸಂವಹನ ಅಥವಾ ಜ್ಞಾನವಿಲ್ಲದೆ ಕಾರ್ಯನಿರ್ವಹಿಸಬಹುದು. ಕ್ರಾಸ್-ಸೈಟ್ ಸ್ಕ್ರಿಪ್ಟಿಂಗ್ (ಎಕ್ಸ್ಎಸ್ಎಸ್) ಗಿಂತ ಭಿನ್ನವಾಗಿ, ಇದು ಬಳಕೆದಾರರು ನಿರ್ದಿಷ್ಟ ಸೈಟ್ನಲ್ಲಿ ಹೊಂದಿರುವ ನಂಬಿಕೆಯನ್ನು ಬಳಸಿಕೊಳ್ಳುತ್ತದೆ, ಸಿಎಸ್ಆರ್ಎಫ್ ಬಳಕೆದಾರರ ಬ್ರೌಸರ್ನಲ್ಲಿ ಸೈಟ್ ಹೊಂದಿರುವ ನಂಬಿಕೆಯನ್ನು ಬಳಸಿಕೊಳ್ಳುತ್ತದೆ. ಸಿಎಸ್ಆರ್ಎಫ್ ದಾಳಿಯಲ್ಲಿ, ಮುಗ್ಧ ಅಂತಿಮ ಬಳಕೆದಾರನನ್ನು ಆಕ್ರಮಣಕಾರನು ಅವರು ಉದ್ದೇಶಿಸಿರದ ವೆಬ್ ವಿನಂತಿಯನ್ನು ಸಲ್ಲಿಸಲು ಮೋಸಗೊಳಿಸುತ್ತಾನೆ. ಇದು ಅಜಾಗರೂಕತೆಯಿಂದ ಕ್ಲೈಂಟ್ ಅಥವಾ ಸರ್ವರ್ ದತ್ತಾಂಶ ಸೋರಿಕೆ, ಅಧಿವೇಶನ ಸ್ಥಿತಿಯ ಬದಲಾವಣೆ ಅಥವಾ ಅಂತಿಮ ಬಳಕೆದಾರರ ಖಾತೆಯ ಕುಶಲತೆಯನ್ನು ಒಳಗೊಂಡಿರುವ ಕಾರ್ಯಗಳನ್ನು ವೆಬ್ಸೈಟ್ನಲ್ಲಿ ನಿರ್ವಹಿಸಲು ಕಾರಣವಾಗಬಹುದು. "ಸಿಎಸ್ಆರ್ಎಫ್" ಎಂಬ ಪದವನ್ನು ಸಿಎಸ್ಆರ್ಎಫ್ ದಾಳಿಯ ವಿರುದ್ಧದ ರಕ್ಷಣೆಯಲ್ಲಿ ಸಂಕ್ಷೇಪಣವಾಗಿಯೂ ಬಳಸಲಾಗುತ್ತದೆ, ಉದಾಹರಣೆಗೆ ಹೆಡರ್ ಡೇಟಾ, ಫಾರ್ಮ್ ಡೇಟಾ ಅಥವಾ ಕುಕೀಗಳನ್ನು ಬಳಸುವ ತಂತ್ರಗಳು, ಅಂತಹ ದಾಳಿಗಳನ್ನು ಪರೀಕ್ಷಿಸಲು ಮತ್ತು ತಡೆಯಲು. ಗುಣಲಕ್ಷಣಗಳು ಸಿ. ಎಸ್. ಆರ್. ಎಫ್ ದಾಳಿಯಲ್ಲಿ, ಆಕ್ರಮಣಕಾರರ ಗುರಿಯೆಂದರೆ, ಮುಗ್ಧ ಬಲಿಪಶುವು ದುರುದ್ದೇಶಪೂರಿತವಾಗಿ ರಚಿಸಲಾದ ವೆಬ್ ವಿನಂತಿಯನ್ನು ಬಲಿಪಶುವಿಗೆ ವಿಶೇಷ ಪ್ರವೇಶವನ್ನು ಹೊಂದಿರುವ ಜಾಲತಾಣಕ್ಕೆ ತಿಳಿಯದೆ ಸಲ್ಲಿಸುವಂತೆ ಮಾಡುವುದು. ಈ ವೆಬ್ ವಿನಂತಿಯನ್ನು ಯುಆರ್ಎಲ್ ನಿಯತಾಂಕಗಳು, ಕುಕೀಗಳು ಮತ್ತು ವಿನಂತಿಯನ್ನು ಪ್ರಕ್ರಿಯೆಗೊಳಿಸುವ ವೆಬ್ ಸರ್ವರ್ಗೆ ಸಾಮಾನ್ಯವೆಂದು ತೋರುವ ಇತರ ಡೇಟಾವನ್ನು ಸೇರಿಸಲು ರಚಿಸಬಹುದು. ವಿಶ್ವಾಸಾರ್ಹ ಮತ್ತು ದೃಢೀಕರಿಸಿದ ಬಳಕೆದಾರರಿಂದ ಇನ್ಪುಟ್ ಆಧಾರದ ಮೇಲೆ ಬಳಕೆದಾರರಿಗೆ ಅಧಿಕಾರ ನೀಡದೆಯೇ ಕ್ರಿಯೆಗಳನ್ನು ನಿರ್ವಹಿಸುವ ವೆಬ್ ಅಪ್ಲಿಕೇಶನ್ಗಳು ಅಪಾಯದಲ್ಲಿವೆ (ಉದಾಹರಣೆಗೆ. ಪಾಪ್ಅಪ್ ದೃಢೀಕರಣದ ಮೂಲಕ) ನಿರ್ದಿಷ್ಟ ಕ್ರಿಯೆ. ಬಳಕೆದಾರರ ವೆಬ್ ಬ್ರೌಸರ್ನಲ್ಲಿ ಉಳಿಸಲಾದ ಕುಕಿಯಿಂದ ದೃಢೀಕರಿಸಲ್ಪಟ್ಟ ಬಳಕೆದಾರರು ತಿಳಿಯದೆ ಬಳಕೆದಾರರನ್ನು ನಂಬುವ ಸೈಟ್ಗೆ HTTP ವಿನಂತಿಯನ್ನು ಕಳುಹಿಸಬಹುದು ಮತ್ತು ಆ ಮೂಲಕ ಅನಗತ್ಯ ಕ್ರಮಕ್ಕೆ ಕಾರಣವಾಗಬಹುದು. ವೆಬ್ ಬ್ರೌಸರ್ಗಳ ಸಾಮಾನ್ಯ ಆಸ್ತಿಯೆಂದರೆ, ಆ ಡೊಮೇನ್ಗೆ ಕಳುಹಿಸಲಾದ ಯಾವುದೇ ವೆಬ್ ವಿನಂತಿಯಲ್ಲಿ ನಿರ್ದಿಷ್ಟ ಡೊಮೇನ್ ಬಳಸುವ ಯಾವುದೇ ಕುಕೀಗಳನ್ನು (ಸೆಷನ್ ಕುಕೀಗಳು ಮತ್ತು ಇತರವುಗಳನ್ನು ಒಳಗೊಂಡಂತೆ) ಅವು ಸ್ವಯಂಚಾಲಿತವಾಗಿ ಮತ್ತು ಅದೃಶ್ಯವಾಗಿ ಒಳಗೊಂಡಿರುತ್ತವೆ. ಈ ಆಸ್ತಿಯನ್ನು ಸಿಎಸ್ಆರ್ಎಫ್ ದಾಳಿಗಳು ಬಳಸಿಕೊಂಡಿವೆ. ಬಳಕೆದಾರರು ತಮ್ಮ ಬ್ರೌಸರ್ ಮೂಲಕ ಅಜಾಗರೂಕತೆಯಿಂದ ವಿನಂತಿಯನ್ನು ಸಲ್ಲಿಸಲು ಮೋಸ ಮಾಡಿದರೆ, ಈ ಸ್ವಯಂಚಾಲಿತವಾಗಿ ಸೇರಿಸಲಾದ ಕುಕೀಗಳು ನಕಲಿ ವಿನಂತಿಯನ್ನು ವೆಬ್ ಸರ್ವರ್ಗೆ ನೈಜವಾಗಿ ಕಾಣುವಂತೆ ಮಾಡುತ್ತದೆ ಮತ್ತು ಡೇಟಾವನ್ನು ಹಿಂದಿರುಗಿಸುವುದು, ಸೆಷನ್ ಸ್ಥಿತಿಯನ್ನು ಕುಶಲತೆಯಿಂದ ನಿರ್ವಹಿಸುವುದು ಅಥವಾ ಬಲಿಪಶುವಿನ ಖಾತೆಯಲ್ಲಿ ಬದಲಾವಣೆಗಳನ್ನು ಮಾಡುವುದು ಸೇರಿದಂತೆ ಸೂಕ್ತವಾಗಿ ವಿನಂತಿಸಿದ ಯಾವುದೇ ಕ್ರಮಗಳನ್ನು ಮಾಡುತ್ತದೆ. ಸಿಎಸ್ಆರ್ಎಫ್ ದಾಳಿ ಯಶಸ್ವಿಯಾಗಲು, ದಾಳಿಕೋರನು ಗುರಿ ಪುಟದಲ್ಲಿ ಖಾತೆಯ ಗುಪ್ತಪದವನ್ನು ಬದಲಾಯಿಸುವಂತಹ ನಿರ್ದಿಷ್ಟ ಕ್ರಮವನ್ನು ಕಾರ್ಯಗತಗೊಳಿಸುವ ಪುನರುತ್ಪಾದಿಸಬಹುದಾದ ವೆಬ್ ವಿನಂತಿಯನ್ನು ಗುರುತಿಸಬೇಕು. ಅಂತಹ ವಿನಂತಿಯನ್ನು ಗುರುತಿಸಿದ ನಂತರ, ಈ ದುರುದ್ದೇಶಪೂರಿತ ವಿನಂತಿಯನ್ನು ಉತ್ಪಾದಿಸುವ ಲಿಂಕ್ ಅನ್ನು ರಚಿಸಬಹುದು ಮತ್ತು ಆ ಲಿಂಕ್ ಅನ್ನು ಆಕ್ರಮಣಕಾರರ ನಿಯಂತ್ರಣದಲ್ಲಿರುವ ಪುಟದಲ್ಲಿ ಹುದುಗಿಸಬಹುದು. ಬಲಿಪಶುವು ಲಿಂಕ್ ಅನ್ನು ಕ್ಲಿಕ್ ಮಾಡುವ ಅಗತ್ಯವಿಲ್ಲದ ರೀತಿಯಲ್ಲಿ ಈ ಲಿಂಕ್ ಅನ್ನು ಇರಿಸಬಹುದು. ಉದಾಹರಣೆಗೆ, ಇದು ಬಲಿಪಶುವಿಗೆ ಕಳುಹಿಸಲಾದ ಇಮೇಲ್ನಲ್ಲಿರುವ ಎಚ್. ಟಿ. ಎಂ. ಎಲ್ ಇಮೇಜ್ ಟ್ಯಾಗ್ನಲ್ಲಿ ಹುದುಗಿರಬಹುದು, ಅದು ಬಲಿಪಶುವು ತಮ್ಮ ಇಮೇಲ್ ಅನ್ನು ತೆರೆದಾಗ ಸ್ವಯಂಚಾಲಿತವಾಗಿ ಲೋಡ್ ಆಗುತ್ತದೆ. ಬಲಿಪಶುವು ಲಿಂಕ್ ಅನ್ನು ಕ್ಲಿಕ್ ಮಾಡಿದ ನಂತರ, ಅವರ ಬ್ರೌಸರ್ ಸ್ವಯಂಚಾಲಿತವಾಗಿ ಆ ವೆಬ್ಸೈಟ್ ಬಳಸುವ ಯಾವುದೇ ಕುಕೀಗಳನ್ನು ಒಳಗೊಂಡಿರುತ್ತದೆ ಮತ್ತು ವಿನಂತಿಯನ್ನು ವೆಬ್ ಸರ್ವರ್ಗೆ ಸಲ್ಲಿಸುತ್ತದೆ. ವೆಬ್ ಸರ್ವರ್ಗೆ ನಕಲಿಯನ್ನು ಗುರುತಿಸಲು ಸಾಧ್ಯವಾಗುವುದಿಲ್ಲ ಏಕೆಂದರೆ ಲಾಗಿನ್ ಆಗಿರುವ ಮತ್ತು ಅಗತ್ಯವಿರುವ ಎಲ್ಲಾ ಕುಕೀಗಳನ್ನು ಸಲ್ಲಿಸಿದ ಬಳಕೆದಾರರಿಂದ ವಿನಂತಿಯನ್ನು ಮಾಡಲಾಗಿದೆ. ಕ್ರಾಸ್-ಸೈಟ್ ರಿಕ್ವೆಸ್ಟ್ ಫೋರ್ಜರಿ ವೆಬ್ ಬ್ರೌಸರ್ ವಿರುದ್ಧ ಗೊಂದಲಕ್ಕೊಳಗಾದ ಉಪ ದಾಳಿಗೆ ಒಂದು ಉದಾಹರಣೆಯಾಗಿದೆ ಏಕೆಂದರೆ ವೆಬ್ ಬ್ರೌಸರ್ ಅನ್ನು ಕಡಿಮೆ ಸವಲತ್ತು ಪಡೆದ ಆಕ್ರಮಣಕಾರರಿಂದ ನಕಲಿ ವಿನಂತಿಯನ್ನು ಸಲ್ಲಿಸಲು ಮೋಸಗೊಳಿಸಲಾಗುತ್ತದೆ. ಸಿಎಸ್ಆರ್ಎಫ್ ಸಾಮಾನ್ಯವಾಗಿ ಈ ಕೆಳಗಿನ ಗುಣಲಕ್ಷಣಗಳನ್ನು ಹೊಂದಿದೆಃ ಇದು ಬಳಕೆದಾರರ ಗುರುತನ್ನು ಅವಲಂಬಿಸಿರುವ ತಾಣಗಳನ್ನು ಒಳಗೊಂಡಿರುತ್ತದೆ. ಇದು ಆ ಗುರುತಿನ ಮೇಲಿನ ಸೈಟ್ನ ನಂಬಿಕೆಯನ್ನು ಬಳಸಿಕೊಳ್ಳುತ್ತದೆ. ಬಳಕೆದಾರರು ಈಗಾಗಲೇ ದೃಢೀಕರಿಸಲ್ಪಟ್ಟಿರುವ ಉದ್ದೇಶಿತ ತಾಣಕ್ಕೆ HTTP ವಿನಂತಿಗಳನ್ನು ಕಳುಹಿಸಲು ಇದು ಬಳಕೆದಾರರ ಬ್ರೌಸರ್ ಅನ್ನು ಮೋಸಗೊಳಿಸುತ್ತದೆ. ಇದು ಅಡ್ಡಪರಿಣಾಮಗಳನ್ನು ಹೊಂದಿರುವ HTTP ವಿನಂತಿಗಳನ್ನು ಒಳಗೊಂಡಿರುತ್ತದೆ. ಸಿ. ಎಸ್. ಆರ್. ಎಫ್. ಟೋಕನ್ ದೋಷಗಳನ್ನು 2001ರಿಂದಲೂ ಗುರುತಿಸಲಾಗಿದೆ ಮತ್ತು ಕೆಲವು ಸಂದರ್ಭಗಳಲ್ಲಿ ಬಳಸಿಕೊಳ್ಳಲಾಗಿದೆ. ಇದನ್ನು ಬಳಕೆದಾರರ ಐಪಿ ವಿಳಾಸದಿಂದ ನಡೆಸಲಾಗುತ್ತದೆಯಾದ್ದರಿಂದ, ಕೆಲವು ಜಾಲತಾಣದ ದಾಖಲೆಗಳು ಸಿಎಸ್ಆರ್ಎಫ್ನ ಪುರಾವೆಗಳನ್ನು ಹೊಂದಿಲ್ಲದಿರಬಹುದು. ಶೋಷಣೆಗಳು ಕಡಿಮೆ ವರದಿಯಾಗಿವೆ, ಕನಿಷ್ಠ ಸಾರ್ವಜನಿಕವಾಗಿ, ಮತ್ತು 2007 ರ ಹೊತ್ತಿಗೆ ಕೆಲವು ಉತ್ತಮವಾಗಿ ದಾಖಲಿಸಲಾದ ಉದಾಹರಣೆಗಳಿವೆಃ 2006 ರಲ್ಲಿ ನೆಟ್ಫ್ಲಿಕ್ಸ್ ವೆಬ್ಸೈಟ್ ಸಿಎಸ್ಆರ್ಎಫ್ಗೆ ಹಲವಾರು ದೋಷಗಳನ್ನು ಹೊಂದಿತ್ತು, ಇದು ಆಕ್ರಮಣಕಾರರಿಗೆ ಬಲಿಪಶುವಿನ ಬಾಡಿಗೆ ಸಾಲಿಗೆ ಡಿವಿಡಿಯನ್ನು ಸೇರಿಸುವುದು, ಖಾತೆಯಲ್ಲಿನ ಶಿಪ್ಪಿಂಗ್ ವಿಳಾಸವನ್ನು ಬದಲಾಯಿಸುವುದು, ಅಥವಾ ಖಾತೆಯನ್ನು ಸಂಪೂರ್ಣವಾಗಿ ರಾಜಿ ಮಾಡಲು ಬಲಿಪಶುವಿನ ಲಾಗಿನ್ ರುಜುವಾತುಗಳನ್ನು ಬದಲಾಯಿಸುವುದು ಮುಂತಾದ ಕ್ರಿಯೆಗಳನ್ನು ನಿರ್ವಹಿಸಲು ಅವಕಾಶ ಮಾಡಿಕೊಡುತ್ತಿತ್ತು. ಐಎನ್ಜಿ ಡೈರೆಕ್ಟ್ನ ಆನ್ಲೈನ್ ಬ್ಯಾಂಕಿಂಗ್ ವೆಬ್ ಅಪ್ಲಿಕೇಶನ್ ಅಕ್ರಮ ಹಣ ವರ್ಗಾವಣೆಗೆ ಅವಕಾಶ ಮಾಡಿಕೊಟ್ಟ ಸಿಎಸ್ಆರ್ಎಫ್ ದಾಳಿಗೆ ಗುರಿಯಾಗುವ ಅಪಾಯವಿತ್ತು. ಜನಪ್ರಿಯ ವೀಡಿಯೊ ಜಾಲತಾಣವಾದ ಯೂಟ್ಯೂಬ್ ಸಹ 2008ರಲ್ಲಿ ಸಿ. ಎಸ್. ಆರ್. ಎಫ್. ಗೆ ಗುರಿಯಾಗುವ ಅಪಾಯವಿತ್ತು ಮತ್ತು ಇದು ಯಾವುದೇ ದಾಳಿಕೋರನಿಗೆ ಯಾವುದೇ ಬಳಕೆದಾರರ ಬಹುತೇಕ ಎಲ್ಲಾ ಕ್ರಿಯೆಗಳನ್ನು ನಿರ್ವಹಿಸಲು ಅವಕಾಶ ಮಾಡಿಕೊಟ್ಟಿತು. ಮ್ಯಾಕ್ಅಫೀ ಸೆಕ್ಯೂರ್ ಸಹ ಸಿ. ಎಸ್. ಆರ್. ಎಫ್. ಗೆ ದುರ್ಬಲವಾಗಿತ್ತು ಮತ್ತು ಇದು ದಾಳಿಕೋರರಿಗೆ ತಮ್ಮ ಕಂಪನಿ ವ್ಯವಸ್ಥೆಯನ್ನು ಬದಲಾಯಿಸಲು ಅವಕಾಶ ಮಾಡಿಕೊಟ್ಟಿತು. ಇದನ್ನು ಹೊಸ ಆವೃತ್ತಿಗಳಲ್ಲಿ ಸರಿಪಡಿಸಲಾಗಿದೆ. ಮಾರ್ಗನಿರ್ದೇಶಕಗಳ ಡಿಎನ್ಎಸ್ ಸೆಟ್ಟಿಂಗ್ಗಳನ್ನು ಬದಲಾಯಿಸುವ ಪ್ರಯತ್ನಗಳು ಸೇರಿದಂತೆ, 2018ರಲ್ಲಿ ವೆಬ್-ಶಕ್ತಗೊಂಡ ಸಾಧನಗಳ ವಿರುದ್ಧ ಹೊಸ ದಾಳಿಗಳನ್ನು ನಡೆಸಲಾಯಿತು. ಕೆಲವು ರೂಟರ್ ತಯಾರಕರು ರಕ್ಷಣೆಯನ್ನು ಸುಧಾರಿಸಲು ಫರ್ಮ್ವೇರ್ ನವೀಕರಣಗಳನ್ನು ತರಾತುರಿಯಲ್ಲಿ ಬಿಡುಗಡೆ ಮಾಡಿದರು ಮತ್ತು ಅಪಾಯವನ್ನು ಕಡಿಮೆ ಮಾಡಲು ರೂಟರ್ ಸೆಟ್ಟಿಂಗ್ಗಳನ್ನು ಬದಲಾಯಿಸುವಂತೆ ಬಳಕೆದಾರರಿಗೆ ಸಲಹೆ ನೀಡಿದರು. "ಸ್ಪಷ್ಟ ಭದ್ರತಾ ಕಾರಣಗಳನ್ನು" ಉಲ್ಲೇಖಿಸಿ ವಿವರಗಳನ್ನು ಬಿಡುಗಡೆ ಮಾಡಲಾಗಿಲ್ಲ. ಉದಾಹರಣೆಗೆ, ಬಲಿಪಶುವು ಲಾಗ್ ಇನ್ ಆಗಿರುವಾಗ ಗುರಿ ಪುಟದಲ್ಲಿ ನಿರ್ದಿಷ್ಟ ಕ್ರಮವನ್ನು ಕಾರ್ಯಗತಗೊಳಿಸುವ ಪುನರುತ್ಪಾದಕ ಲಿಂಕ್ ಅನ್ನು ಕಂಡುಕೊಳ್ಳುವ ದಾಳಿಕೋರರು ಅಂತಹ ಲಿಂಕ್ ಅನ್ನು ಅವರು ನಿಯಂತ್ರಿಸುವ ಪುಟದಲ್ಲಿ ಹುದುಗಿಸಬಹುದು ಮತ್ತು ಬಲಿಪಶುವನ್ನು ಅದನ್ನು ತೆರೆಯುವಂತೆ ಮೋಸಗೊಳಿಸಬಹುದು. ದಾಳಿಯ ವಾಹಕ ಲಿಂಕ್ ಅನ್ನು ಗುರಿ ಸೈಟ್ಗೆ ಲಾಗ್ ಇನ್ ಮಾಡುವಾಗ ಬಲಿಪಶುವು ಭೇಟಿ ನೀಡುವ ಸ್ಥಳದಲ್ಲಿ ಇರಿಸಬಹುದು (ಉದಾಹರಣೆಗೆ, ಚರ್ಚಾ ವೇದಿಕೆ), ಅಥವಾ ಎಚ್. ಟಿ. ಎಂ. ಎಲ್. ಇಮೇಲ್ ಬಾಡಿ ಅಥವಾ ಲಗತ್ತಿನಲ್ಲಿ ಕಳುಹಿಸಬಹುದು. ಯು ಟೊರೆಂಟ್ (CVE-2008-6586) ನಲ್ಲಿನ ನೈಜ ಸಿಎಸ್ಆರ್ಎಫ್ ದುರ್ಬಲತೆಯು ಸ್ಥಳೀಯ ಹೋಸ್ಟ್ನಲ್ಲಿ ಪ್ರವೇಶಿಸಬಹುದಾದ ಅದರ ವೆಬ್ ಕನ್ಸೋಲ್ ಎಂಬ ಅಂಶವನ್ನು ಬಳಸಿಕೊಂಡಿತುಃ 8080 ಸರಳವಾದ ಜಿಇಟಿ ವಿನಂತಿಯನ್ನು ಬಳಸಿಕೊಂಡು ನಿರ್ಣಾಯಕ ಕ್ರಿಯೆಗಳನ್ನು ಕಾರ್ಯಗತಗೊಳಿಸಲು ಅವಕಾಶ ಮಾಡಿಕೊಟ್ಟಿತುಃ ಒಂದು. ಟೊರೆಂಟ್ ಕಡತವನ್ನು ಡೌನ್ಲೋಡ್ ಮಾಡಲು ಒತ್ತಾಯಿಸಿ. ಈ ಪುಟಗಳನ್ನು ತೆರೆಯುವ ಸಮಯದಲ್ಲಿ ದುರ್ಬಲವಾದ ಯು ಟೊರೆಂಟ್ ಆವೃತ್ತಿಯನ್ನು ಚಲಾಯಿಸುವ ಜನರು ದಾಳಿಗೆ ಒಳಗಾಗುತ್ತಾರೆ. ಇಮೇಜ್ ಟ್ಯಾಗ್ಗಳನ್ನು ಬಳಸುವ ಸಿಎಸ್ಆರ್ಎಫ್ ದಾಳಿಗಳನ್ನು ಆಗಾಗ್ಗೆ ಅಂತರ್ಜಾಲ ವೇದಿಕೆಗಳಿಂದ ಮಾಡಲಾಗುತ್ತದೆ, ಅಲ್ಲಿ ಬಳಕೆದಾರರಿಗೆ ಚಿತ್ರಗಳನ್ನು ಪೋಸ್ಟ್ ಮಾಡಲು ಅನುಮತಿಸಲಾಗುತ್ತದೆ ಆದರೆ ಜಾವಾಸ್ಕ್ರಿಪ್ಟ್ ಅಲ್ಲ, ಉದಾಹರಣೆಗೆ ಬಿಬಿಸೊಡ್ ಅನ್ನು ಬಳಸುವುದುಃ [ಐಎಮ್ಜಿ] [ಐಎಮ್ಜಿ] [ಐಎಮ್ಜಿ] [ಐಎಮ್ಜಿ] [ಐಎಮ್ಜಿ] [ಐಎಮ್ಜಿ] [ಐಎಮ್ಜಿ] [ಐಎಮ್ಜಿ] ಸ್ಥಳೀಯ ಯುಟೊರೆಂಟ್ ಅಪ್ಲಿಕೇಶನ್ಗೆ ಅಟ್ಯಾಕ್ ಲಿಂಕ್ ಅನ್ನು ಪ್ರವೇಶಿಸುವಾಗ, ಬ್ರೌಸರ್ ಯಾವಾಗಲೂ ಆ ಡೊಮೇನ್ಗೆ ಅಸ್ತಿತ್ವದಲ್ಲಿರುವ ಯಾವುದೇ ಕುಕೀಗಳನ್ನು ಸ್ವಯಂಚಾಲಿತವಾಗಿ ಕಳುಹಿಸುತ್ತದೆ. ವೆಬ್ ಬ್ರೌಸರ್ಗಳ ಈ ಸಾಮಾನ್ಯ ಗುಣಲಕ್ಷಣವು ಸಿಎಸ್ಆರ್ಎಫ್ ದಾಳಿಗಳನ್ನು ಅವುಗಳ ಉದ್ದೇಶಿತ ದೋಷಗಳನ್ನು ಬಳಸಿಕೊಳ್ಳಲು ಮತ್ತು ದಾಳಿಯ ಸಮಯದಲ್ಲಿ ಬಳಕೆದಾರರು ಗುರಿ ವೆಬ್ಸೈಟ್ಗೆ (ಈ ಉದಾಹರಣೆಯಲ್ಲಿ, ಸ್ಥಳೀಯ ಯುಟೊರೆಂಟ್ ವೆಬ್ ಇಂಟರ್ಫೇಸ್) ಲಾಗ್ ಇನ್ ಆಗಿರುವವರೆಗೆ ಪ್ರತಿಕೂಲ ಕ್ರಮಗಳನ್ನು ಕಾರ್ಯಗತಗೊಳಿಸಲು ಅನುವು ಮಾಡಿಕೊಡುತ್ತದೆ. ಮೇಲೆ ವಿವರಿಸಿದ ಯು ಟೊರೆಂಟ್ ಉದಾಹರಣೆಯಲ್ಲಿ, ಯು ಟೊರೆಂಟ್ನ ವೆಬ್ ಇಂಟರ್ಫೇಸ್ ನಿರ್ಣಾಯಕ ಸ್ಥಿತಿ-ಬದಲಾಯಿಸುವ ಕಾರ್ಯಾಚರಣೆಗಳಿಗೆ (ರುಜುವಾತುಗಳನ್ನು ಬದಲಾಯಿಸುವುದು, ಕಡತವನ್ನು ಡೌನ್ಲೋಡ್ ಮಾಡುವುದು ಇತ್ಯಾದಿ) ಜಿಇಟಿ ವಿನಂತಿಯನ್ನು ಬಳಸಿದ್ದರಿಂದ ಈ ದಾಳಿಯನ್ನು ಸುಗಮಗೊಳಿಸಲಾಯಿತು. ), ಇದು ಸ್ಪಷ್ಟವಾಗಿ ನಿರುತ್ಸಾಹಗೊಳಿಸುತ್ತದೆಃ ಈ ಊಹೆಯ ಕಾರಣದಿಂದಾಗಿ, ವೆಬ್ ಚೌಕಟ್ಟುಗಳಲ್ಲಿ ಅಸ್ತಿತ್ವದಲ್ಲಿರುವ ಅನೇಕ ಸಿಎಸ್ಆರ್ಎಫ್ ತಡೆಗಟ್ಟುವ ಕಾರ್ಯವಿಧಾನಗಳು ಜಿಇಟಿ ವಿನಂತಿಗಳನ್ನು ಒಳಗೊಂಡಿರುವುದಿಲ್ಲ, ಆದರೆ ರಾಜ್ಯವನ್ನು ಬದಲಾಯಿಸುವ ಉದ್ದೇಶವನ್ನು ಹೊಂದಿರುವ ಎಚ್. ಟಿ. ಟಿ. ಪಿ ವಿಧಾನಗಳಿಗೆ ಮಾತ್ರ ರಕ್ಷಣೆಯನ್ನು ಅನ್ವಯಿಸುತ್ತವೆ. ನಕಲಿ ಲಾಗಿನ್ ವಿನಂತಿಗಳು ಆಕ್ರಮಣಕಾರರ ರುಜುವಾತುಗಳನ್ನು ಬಳಸಿಕೊಂಡು ಬಲಿಪಶುವನ್ನು ಉದ್ದೇಶಿತ ಜಾಲತಾಣಕ್ಕೆ ಲಾಗ್ ಮಾಡುವ ವಿನಂತಿಯನ್ನು ಆಕ್ರಮಣಕಾರನು ನಕಲಿ ಮಾಡಬಹುದು; ಇದನ್ನು ಲಾಗಿನ್ ಸಿಎಸ್ಆರ್ಎಫ್ ಎಂದು ಕರೆಯಲಾಗುತ್ತದೆ. ಲಾಗಿನ್ ಸಿಎಸ್ಆರ್ಎಫ್ ವಿವಿಧ ಹೊಸ ದಾಳಿಗಳನ್ನು ಸಾಧ್ಯವಾಗಿಸುತ್ತದೆ; ಉದಾಹರಣೆಗೆ, ದಾಳಿಕೋರರು ನಂತರ ತಮ್ಮ ಕಾನೂನುಬದ್ಧ ರುಜುವಾತುಗಳೊಂದಿಗೆ ಸೈಟ್ಗೆ ಲಾಗ್ ಇನ್ ಮಾಡಬಹುದು ಮತ್ತು ಖಾತೆಯಲ್ಲಿ ಉಳಿಸಲಾದ ಚಟುವಟಿಕೆಯ ಇತಿಹಾಸದಂತಹ ಖಾಸಗಿ ಮಾಹಿತಿಯನ್ನು ವೀಕ್ಷಿಸಬಹುದು. ಈ ದಾಳಿಯನ್ನು ಗೂಗಲ್ ಮತ್ತು ಯಾಹೂ ವಿರುದ್ಧ ಪ್ರದರ್ಶಿಸಲಾಗಿದೆ. ಎಚ್. ಟಿ. ಟಿ. ಪಿ. ಕ್ರಿಯಾಪದಗಳು ಮತ್ತು ಸಿ. ಎಸ್. ಆರ್. ಎಫ್. ಪ್ರಕಾರವನ್ನು ಅವಲಂಬಿಸಿ, ಎಚ್. ಟಿ. ಟಿ. ಪಿ. ವಿನಂತಿಯ ವಿಧಾನಗಳು ಸಿ. ಎಸ್. ಆರ್. ಎಫ್ ದಾಳಿಗೆ ಒಳಗಾಗುವ ಸಾಧ್ಯತೆಯಲ್ಲಿ ಬದಲಾಗುತ್ತವೆ (ವೆಬ್ ಬ್ರೌಸರ್ಗಳು ಅವುಗಳ ನಿರ್ವಹಣೆಯಲ್ಲಿನ ವ್ಯತ್ಯಾಸಗಳಿಂದಾಗಿ). ಆದ್ದರಿಂದ, ದಾಳಿಯ ವಿರುದ್ಧದ ರಕ್ಷಣಾತ್ಮಕ ಕ್ರಮಗಳು HTTP ವಿನಂತಿಯ ವಿಧಾನವನ್ನು ಅವಲಂಬಿಸಿರುತ್ತದೆ. ಎಚ್. ಟಿ. ಟಿ. ಪಿ. ಜಿ. ಇ. ಟಿ. ಯಲ್ಲಿ ಸಿ. ಎಸ್. ಆರ್. ಎಫ್. ಶೋಷಣೆಯು ಕ್ಷುಲ್ಲಕವಾಗಿದ್ದು, ಮೇಲೆ ವಿವರಿಸಿದ ವಿಧಾನಗಳನ್ನು ಬಳಸುತ್ತದೆ, ಉದಾಹರಣೆಗೆ ಮ್ಯಾನಿಪುಲೇಟೆಡ್ ನಿಯತಾಂಕಗಳನ್ನು ಹೊಂದಿರುವ ಸರಳ ಹೈಪರ್ಲಿಂಕ್ ಮತ್ತು ಐ. ಎಂ. ಜಿ ಟ್ಯಾಗ್ನಿಂದ ಸ್ವಯಂಚಾಲಿತವಾಗಿ ಲೋಡ್ ಆಗುತ್ತದೆ. ಆದಾಗ್ಯೂ, HTTP ನಿರ್ದಿಷ್ಟತೆಯ ಪ್ರಕಾರ, GET ಅನ್ನು ಸುರಕ್ಷಿತ ವಿಧಾನವಾಗಿ ಬಳಸಬೇಕು, ಅಂದರೆ, ಅಪ್ಲಿಕೇಶನ್ನಲ್ಲಿ ಬಳಕೆದಾರರ ಸ್ಥಿತಿಯನ್ನು ಗಮನಾರ್ಹವಾಗಿ ಬದಲಾಯಿಸುವುದಿಲ್ಲ. ಅಂತಹ ಕಾರ್ಯಾಚರಣೆಗಳಿಗೆ ಜಿಇಟಿ ಬಳಸುವ ಅಪ್ಲಿಕೇಶನ್ಗಳು ಎಚ್. ಟಿ. ಟಿ. ಪಿ. ಪೋಸ್ಟ್ಗೆ ಬದಲಾಗಬೇಕು ಅಥವಾ ಆಂಟಿ-ಸಿಎಸ್ಆರ್ಎಫ್ ರಕ್ಷಣೆಯನ್ನು ಬಳಸಬೇಕು. ಸಿ. ಎಸ್. ಆರ್. ಎಫ್. ಗೆ ಎಚ್. ಟಿ. ಟಿ. ಪಿ. ಪೋಸ್ಟ್ ದುರ್ಬಲತೆಯು ಬಳಕೆಯ ಸನ್ನಿವೇಶವನ್ನು ಅವಲಂಬಿಸಿರುತ್ತದೆಃ ಕ್ವೆರಿ ಸ್ಟ್ರಿಂಗ್ನಂತೆ ಎನ್ಕೋಡ್ ಮಾಡಲಾದ ಡೇಟಾದೊಂದಿಗೆ ಪಿ. ಓ. ಎಸ್. ಟಿ. ಯ ಸರಳ ರೂಪದಲ್ಲಿ (ಫೀಲ್ಡ್ 1 = ಮೌಲ್ಯ 1 & ಫೀಲ್ಡ್ 2 = ಮೌಲ್ಯ 2) ಸಿ. ಎಸ್. ಆರ್. ಎಫ್ ದಾಳಿಯನ್ನು ಸರಳವಾದ ಎಚ್. ಟಿ. ಎಂ. ಎಲ್ ಫಾರ್ಮ್ ಅನ್ನು ಬಳಸಿಕೊಂಡು ಸುಲಭವಾಗಿ ಕಾರ್ಯಗತಗೊಳಿಸಲಾಗುತ್ತದೆ ಮತ್ತು ಸಿ. ಎಸ್. ಆರ್. ಎಫ್. ವಿರೋಧಿ ಕ್ರಮಗಳನ್ನು ಅನ್ವಯಿಸಬೇಕು. ಡೇಟಾವನ್ನು ಬೇರೆ ಯಾವುದೇ ಸ್ವರೂಪದಲ್ಲಿ (ಜೆಎಸ್ಒಎನ್, ಎಕ್ಸ್ಎಂಎಲ್) ಕಳುಹಿಸಿದರೆ, ಅದೇ-ಮೂಲದ ನೀತಿ (ಎಸ್ಒಪಿ) ಮತ್ತು ಕ್ರಾಸ್-ಮೂಲ ಸಂಪನ್ಮೂಲ ಹಂಚಿಕೆ (ಸಿಒಆರ್ಎಸ್) ಯಿಂದ ತಡೆಗಟ್ಟಲ್ಪಟ್ಟ ಸಿಎಸ್ಆರ್ಎಫ್ ದಾಳಿಯೊಂದಿಗೆ ಎಕ್ಸ್ಎಂಎಲ್ಎಚ್ಟಿಪಿಆರ್ಕ್ವೆಸ್ಟ್ ಅನ್ನು ಬಳಸಿಕೊಂಡು ಪೋಸ್ಟ್ ವಿನಂತಿಯನ್ನು ನೀಡುವುದು ಪ್ರಮಾಣಿತ ವಿಧಾನವಾಗಿದೆ; ಎನ್ಸಿಟಿವೈಪಿಇ ಗುಣಲಕ್ಷಣವನ್ನು ಬಳಸಿಕೊಂಡು ಸರಳ ಎಚ್ಟಿಎಂಎಲ್ ಫಾರ್ಮ್ನಿಂದ ಅನಿಯಂತ್ರಿತ ವಿಷಯವನ್ನು ಕಳುಹಿಸುವ ತಂತ್ರವಿದೆ; ಅಂತಹ ನಕಲಿ ವಿನಂತಿಯನ್ನು ಪಠ್ಯ/ಸರಳ ವಿಷಯದ ಪ್ರಕಾರದಿಂದ ಕಾನೂನುಬದ್ಧವಾದವುಗಳಿಂದ ಪ್ರತ್ಯೇಕಿಸಬಹುದು, ಆದರೆ ಇದನ್ನು ಸರ್ವರ್ನಲ್ಲಿ ಜಾರಿಗೊಳಿಸದಿದ್ದರೆ, ಸಿಎಸ್ಆರ್ಎಫ್ ಅನ್ನು ಇತರ ಎಚ್ಟಿಟಿಪಿ ವಿಧಾನಗಳನ್ನು (ಪುಟ್, ಡಿಎಲ್ಇಟಿಇ ಇತ್ಯಾದಿ) ಕಾರ್ಯಗತಗೊಳಿಸಬಹುದು. ಸಿ. ಎಸ್. ಆರ್. ಎಫ್. ಅನ್ನು ತಡೆಗಟ್ಟುವ ಅದೇ-ಮೂಲದ ನೀತಿ (ಎಸ್. ಓ. ಪಿ.) ಮತ್ತು ಅಡ್ಡ-ಮೂಲದ ಸಂಪನ್ಮೂಲ ಹಂಚಿಕೆ (ಸಿ. ಓ. ಆರ್. ಎಸ್.) ಯೊಂದಿಗೆ ಮಾತ್ರ ಎಕ್ಸ್. ಎಂ. ಎಲ್. ಎಚ್. ಟಿ. ಟಿ. ಪಿ. ರಿಕ್ವೆಸ್ಟ್ ಬಳಸಿ ಇದನ್ನು ನೀಡಬಹುದು; ಆದಾಗ್ಯೂ, ಆಕ್ಸೆಸ್-ಕಂಟ್ರೋಲ್-ಅಲೋ-ಆರಿಜಿನ್ಃ * ಹೆಡರ್ ಅನ್ನು ಬಳಸಿಕೊಂಡು ಅವುಗಳನ್ನು ಸ್ಪಷ್ಟವಾಗಿ ನಿಷ್ಕ್ರಿಯಗೊಳಿಸುವ ಜಾಲತಾಣಗಳಲ್ಲಿ ಈ ಕ್ರಮಗಳು ಸಕ್ರಿಯವಾಗಿರುವುದಿಲ್ಲ. ಸಿಎಸ್ಆರ್ಎಫ್ ಟೋಕನ್ಗಳನ್ನು ಸೆಷನ್ ಸ್ಥಿರೀಕರಣ ಅಥವಾ ಇತರ ದೋಷಗಳಿಂದಾಗಿ ಆಕ್ರಮಣಕಾರರಿಂದ ಕ್ಲೈಂಟ್ಗೆ ಕಳುಹಿಸಬಹುದು, ಅಥವಾ ಸಾವಿರಾರು ವಿಫಲ ವಿನಂತಿಗಳನ್ನು ಉತ್ಪಾದಿಸುವ ದುರುದ್ದೇಶಪೂರಿತ ಪುಟದಲ್ಲಿ ಪ್ರದರ್ಶಿಸಲಾದ ಬ್ರೂಟ್-ಫೋರ್ಸ್ ದಾಳಿಯ ಮೂಲಕ ಊಹಿಸಬಹುದು. "ಡೈನಾಮಿಕ್ ಸಿಎಸ್ಆರ್ಎಫ್" ನ ಅಟ್ಯಾಕ್ ಕ್ಲಾಸ್, ಅಥವಾ ಸೆಷನ್-ನಿರ್ದಿಷ್ಟ ನಕಲಿಗಾಗಿ ಪ್ರತಿ ಕ್ಲೈಂಟ್ ಪೇಲೋಡ್ ಅನ್ನು ಬಳಸುವುದನ್ನು ನಾಥನ್ ಹ್ಯಾಮಿಯೆಲ್ ಮತ್ತು ಶಾನ್ ಮೋಯರ್ ಅವರು 2009 ರಲ್ಲಿ ಬ್ಲ್ಯಾಕ್ ಹ್ಯಾಟ್ ಬ್ರೀಫಿಂಗ್ಸ್ನಲ್ಲಿ ವಿವರಿಸಿದ್ದಾರೆ, ಆದರೂ ಟ್ಯಾಕ್ಸಾನಮಿ ಇನ್ನೂ ವ್ಯಾಪಕವಾದ ಅಳವಡಿಕೆಯನ್ನು ಗಳಿಸಿಲ್ಲ. ಡೈನಾಮಿಕ್ ಸಿಎಸ್ಆರ್ಎಫ್ ದಾಳಿಗಳನ್ನು ರಚಿಸಲು ಹೊಸ ವಾಹಕವನ್ನು ಒರೆನ್ ಓಫರ್ ಅವರು ಜನವರಿ 2012 ರಲ್ಲಿ ಸ್ಥಳೀಯ ಒಡಬ್ಲ್ಯೂಎಎಸ್ಪಿ ಅಧ್ಯಾಯದ ಸಭೆಯಲ್ಲಿ ಪ್ರಸ್ತುತಪಡಿಸಿದರು-"ಎಜೆಎಕ್ಸ್ ಹ್ಯಾಮರ್-ಡೈನಾಮಿಕ್ ಸಿಎಸ್ಆರ್ಎಫ್". ಸಿಎಸ್ಆರ್ಎಫ್ ಟೋಕನ್ ದುರ್ಬಲತೆಗಳಿಗೆ ಪರಿಣಾಮಗಳ ತೀವ್ರತೆಯ ಮಾಪನಗಳನ್ನು ನೀಡಲಾಗಿದೆ, ಇದು ಮೂಲ ಸವಲತ್ತುಗಳೊಂದಿಗೆ ರಿಮೋಟ್ ಕೋಡ್ ಕಾರ್ಯಗತಗೊಳಿಸುವಿಕೆಗೆ ಕಾರಣವಾಗುತ್ತದೆ ಮತ್ತು ಮೂಲ ಪ್ರಮಾಣಪತ್ರವನ್ನು ರಾಜಿ ಮಾಡಿಕೊಳ್ಳುವ ದುರ್ಬಲತೆಗೆ ಕಾರಣವಾಗುತ್ತದೆ, ಇದು ಸಾರ್ವಜನಿಕ ಪ್ರಮುಖ ಮೂಲಸೌಕರ್ಯವನ್ನು ಸಂಪೂರ್ಣವಾಗಿ ದುರ್ಬಲಗೊಳಿಸುತ್ತದೆ. ಮಿತಿಗಳು ಕ್ರಾಸ್-ಸೈಟ್ ವಿನಂತಿಯ ನಕಲಿ ಯಶಸ್ವಿಯಾಗಲು ಹಲವಾರು ವಿಷಯಗಳು ಸಂಭವಿಸಬೇಕಾಗುತ್ತದೆಃ ಆಕ್ರಮಣಕಾರನು ರೆಫರರ್ ಹೆಡರ್ ಅನ್ನು ಪರಿಶೀಲಿಸದ ಸೈಟ್ ಅನ್ನು ಅಥವಾ ರೆಫರರ್ ಸ್ಪೂಫಿಂಗ್ ಅನ್ನು ಅನುಮತಿಸುವ ಬ್ರೌಸರ್ ಅಥವಾ ಪ್ಲಗಿನ್ನೊಂದಿಗೆ ಬಲಿಪಶುವನ್ನು ಗುರಿಯಾಗಿಸಿಕೊಳ್ಳಬೇಕು. ಆಕ್ರಮಣಕಾರನು ಉದ್ದೇಶಿತ ತಾಣದಲ್ಲಿ ಅರ್ಜಿ ಸಲ್ಲಿಕೆಯನ್ನು ಅಥವಾ ಅಡ್ಡಪರಿಣಾಮಗಳನ್ನು ಹೊಂದಿರುವ, ಏನನ್ನಾದರೂ ಮಾಡುವ (ಉದಾಹರಣೆಗೆ, ಹಣವನ್ನು ವರ್ಗಾಯಿಸುವುದು, ಅಥವಾ ಬಲಿಪಶುವಿನ ಇ-ಮೇಲ್ ವಿಳಾಸ ಅಥವಾ ಗುಪ್ತಪದವನ್ನು ಬದಲಾಯಿಸುವುದು) ಯು. ಆರ್. ಎಲ್. ಅನ್ನು ಕಂಡುಹಿಡಿಯಬೇಕು. ಆಕ್ರಮಣಕಾರನು ಎಲ್ಲಾ ಫಾರ್ಮ್ಗಳು ಅಥವಾ ಯುಆರ್ಎಲ್ ಇನ್ಪುಟ್ಗಳಿಗೆ ಸರಿಯಾದ ಮೌಲ್ಯಗಳನ್ನು ನಿರ್ಧರಿಸಬೇಕು; ಅವುಗಳಲ್ಲಿ ಯಾವುದಾದರೂ ಆಕ್ರಮಣಕಾರರಿಗೆ ಊಹಿಸಲು ಸಾಧ್ಯವಾಗದ ರಹಸ್ಯ ದೃಢೀಕರಣ ಮೌಲ್ಯಗಳು ಅಥವಾ ಐಡಿಗಳ ಅಗತ್ಯವಿದ್ದರೆ, ದಾಳಿ ಹೆಚ್ಚಾಗಿ ವಿಫಲಗೊಳ್ಳುತ್ತದೆ (ಆಕ್ರಮಣಕಾರನು ಅವರ ಊಹೆಯಲ್ಲಿ ಅತ್ಯಂತ ಅದೃಷ್ಟಶಾಲಿಯಾಗಿಲ್ಲದಿದ್ದರೆ). ಬಲಿಪಶುವು ಗುರಿ ಸೈಟ್ಗೆ ಲಾಗ್ ಇನ್ ಆಗಿರುವಾಗ ಆಕ್ರಮಣಕಾರನು ಬಲಿಪಶುವನ್ನು ದುರುದ್ದೇಶಪೂರಿತ ಕೋಡ್ನೊಂದಿಗೆ ವೆಬ್ ಪುಟಕ್ಕೆ ಆಕರ್ಷಿಸಬೇಕು. ದಾಳಿಯು ಕುರುಡಾಗಿದೆಃ ದಾಳಿಕೋರರು ಉದ್ದೇಶಿತ ಜಾಲತಾಣದಲ್ಲಿ ಕ್ರಾಸ್-ಸೈಟ್ ಸ್ಕ್ರಿಪ್ಟಿಂಗ್ ಅಥವಾ ಇತರ ದೋಷವನ್ನು ಬಳಸಿಕೊಳ್ಳದ ಹೊರತು, ನಕಲಿ ವಿನಂತಿಗಳಿಗೆ ಪ್ರತಿಕ್ರಿಯೆಯಾಗಿ ಉದ್ದೇಶಿತ ಜಾಲತಾಣವು ಬಲಿಪಶುವಿಗೆ ಏನು ಕಳುಹಿಸುತ್ತದೆ ಎಂಬುದನ್ನು ನೋಡಲು ಸಾಧ್ಯವಾಗುವುದಿಲ್ಲ. ಅಂತೆಯೇ, ಆಕ್ರಮಣಕಾರನು ಯಾವುದೇ ಲಿಂಕ್ಗಳನ್ನು ಗುರಿಯಾಗಿಸಬಹುದು ಅಥವಾ ನಂತರದ ಲಿಂಕ್ಗಳು ಅಥವಾ ಫಾರ್ಮ್ಗಳನ್ನು ಇದೇ ರೀತಿ ಊಹಿಸಬಹುದಾದರೆ ಆರಂಭಿಕ ನಕಲಿ ವಿನಂತಿಯ ನಂತರ ಬರುವ ಯಾವುದೇ ಫಾರ್ಮ್ಗಳನ್ನು ಮಾತ್ರ ಸಲ್ಲಿಸಬಹುದು. (ಒಂದು ಪುಟದಲ್ಲಿ ಅನೇಕ ಚಿತ್ರಗಳನ್ನು ಸೇರಿಸುವ ಮೂಲಕ ಅಥವಾ ಕ್ಲಿಕ್ಗಳ ನಡುವೆ ವಿಳಂಬವನ್ನು ಪರಿಚಯಿಸಲು ಜಾವಾಸ್ಕ್ರಿಪ್ಟ್ ಅನ್ನು ಬಳಸುವ ಮೂಲಕ ಅನೇಕ ಗುರಿಗಳನ್ನು ಅನುಕರಿಸಬಹುದು.) ಹೆಚ್ಚಿನ ಸಿಎಸ್ಆರ್ಎಫ್ ತಡೆಗಟ್ಟುವ ತಂತ್ರಗಳು ಹೆಚ್ಚುವರಿ ದೃಢೀಕರಣ ದತ್ತಾಂಶವನ್ನು ವಿನಂತಿಗಳಲ್ಲಿ ಅಳವಡಿಸುವ ಮೂಲಕ ಕಾರ್ಯನಿರ್ವಹಿಸುತ್ತವೆ, ಇದು ವೆಬ್ ಅಪ್ಲಿಕೇಶನ್ಗೆ ಅನಧಿಕೃತ ಸ್ಥಳಗಳಿಂದ ವಿನಂತಿಗಳನ್ನು ಪತ್ತೆಹಚ್ಚಲು ಅನುವು ಮಾಡಿಕೊಡುತ್ತದೆ. ಸಿಂಕ್ರೊನೈಸರ್ ಟೋಕನ್ ಪ್ಯಾಟರ್ನ್ ಸಿಂಕ್ರೊನೈಸರ್ ಟೋಕನ್ ಪ್ಯಾಟರ್ನ್ (ಎಸ್ಟಿಪಿ) ಒಂದು ತಂತ್ರವಾಗಿದ್ದು, ಅಲ್ಲಿ ಪ್ರತಿ ವಿನಂತಿಯ ರಹಸ್ಯ ಮತ್ತು ವಿಶಿಷ್ಟ ಮೌಲ್ಯವಾದ ಟೋಕನ್ ಅನ್ನು ವೆಬ್ ಅಪ್ಲಿಕೇಶನ್ ಎಲ್ಲಾ ಎಚ್ಟಿಎಮ್ಎಲ್ ಫಾರ್ಮ್ಗಳಲ್ಲಿ ಹುದುಗಿಸುತ್ತದೆ ಮತ್ತು ಸರ್ವರ್ ಬದಿಯಲ್ಲಿ ಪರಿಶೀಲಿಸುತ್ತದೆ. ಅನಿರೀಕ್ಷಿತತೆ ಮತ್ತು ಅನನ್ಯತೆಯನ್ನು ಖಾತ್ರಿಪಡಿಸುವ ಯಾವುದೇ ವಿಧಾನದಿಂದ ಟೋಕನ್ ಅನ್ನು ಉತ್ಪಾದಿಸಬಹುದು (ಉದಾ. ಯಾದೃಚ್ಛಿಕ ಬೀಜದ ಹ್ಯಾಶ್ ಸರಪಳಿಯನ್ನು ಬಳಸುವುದು). ಹೀಗಾಗಿ ಆಕ್ರಮಣಕಾರನು ಅವುಗಳನ್ನು ದೃಢೀಕರಿಸಲು ತಮ್ಮ ವಿನಂತಿಗಳಲ್ಲಿ ಸರಿಯಾದ ಟೋಕನ್ ಅನ್ನು ಇರಿಸಲು ಸಾಧ್ಯವಾಗುವುದಿಲ್ಲ. ಎಚ್ಟಿಎಮ್ಎಲ್ ರೂಪದಲ್ಲಿ ಜಾಂಗೊ ಸೆಟ್ ಮಾಡಿದ ಎಸ್ಟಿಪಿಯ ಉದಾಹರಣೆಃ <ಇನ್ಪುಟ್ ಪ್ರಕಾರ = "ಹಿಡನ್" ಹೆಸರು = "csrfmidlewaretoken" ಮೌಲ್ಯ = "KbyUmhTLMpYj7CD2di7JKP1P3qmLlkPt"/> ಎಸ್ಟಿಪಿ ಅತ್ಯಂತ ಹೊಂದಿಕೊಳ್ಳುತ್ತದೆ ಏಕೆಂದರೆ ಇದು ಕೇವಲ ಎಚ್ಟಿಎಮ್ಎಲ್ ಅನ್ನು ಅವಲಂಬಿಸಿದೆ, ಆದರೆ ಪ್ರತಿ ವಿನಂತಿಯ ಮೇಲೆ ಟೋಕನ್ನ ಸಿಂಧುತ್ವವನ್ನು ಪರಿಶೀಲಿಸುವ ಹೊರೆಯಿಂದಾಗಿ ಸರ್ವರ್ ಬದಿಯಲ್ಲಿ ಸ್ವಲ್ಪ ಸಂಕೀರ್ಣತೆಯನ್ನು ಪರಿಚಯಿಸುತ್ತದೆ. ಟೋಕನ್ ಅನನ್ಯ ಮತ್ತು ಅನಿರೀಕ್ಷಿತವಾಗಿರುವುದರಿಂದ, ಇದು ಘಟನೆಗಳ ಸರಿಯಾದ ಅನುಕ್ರಮವನ್ನು ಸಹ ಜಾರಿಗೊಳಿಸುತ್ತದೆ (ಉದಾಹರಣೆಗೆ. ಪರದೆ 1, ನಂತರ 2, ನಂತರ 3) ಇದು ಉಪಯುಕ್ತತೆಯ ಸಮಸ್ಯೆಯನ್ನು ಹುಟ್ಟುಹಾಕುತ್ತದೆ (ಉದಾಹರಣೆಗೆ. ಬಳಕೆದಾರರು ಅನೇಕ ಟ್ಯಾಬ್ಗಳನ್ನು ತೆರೆಯುತ್ತಾರೆ). ಪ್ರತಿ ವಿನಂತಿಯ ಸಿಎಸ್ಆರ್ಎಫ್ ಟೋಕನ್ ಬದಲಿಗೆ ಪ್ರತಿ ಸೆಷನ್ ಸಿಎಸ್ಆರ್ಎಫ್ ಟೋಕನ್ ಅನ್ನು ಬಳಸುವ ಮೂಲಕ ಇದನ್ನು ಸಡಿಲಗೊಳಿಸಬಹುದು. ತಮ್ಮ ಬಹುಪಾಲು ಕಾರ್ಯಾಚರಣೆಗಳಲ್ಲಿ ಜಾವಾಸ್ಕ್ರಿಪ್ಟ್ ಅನ್ನು ಬಳಸುವ ಕುಕೀ-ಟು-ಹೆಡರ್ ಟೋಕನ್ ವೆಬ್ ಅಪ್ಲಿಕೇಶನ್ಗಳು ಈ ಕೆಳಗಿನ ಆಂಟಿ-ಸಿಎಸ್ಆರ್ಎಫ್ ತಂತ್ರವನ್ನು ಬಳಸಬಹುದುಃ ಸಂಬಂಧಿತ ಸರ್ವರ್ ಸೆಷನ್ ಇಲ್ಲದ ಆರಂಭಿಕ ಭೇಟಿಯಲ್ಲಿ, ವೆಬ್ ಅಪ್ಲಿಕೇಶನ್ ಕುಕಿಯನ್ನು ಹೊಂದಿಸುತ್ತದೆ. ಕುಕೀ ಸಾಮಾನ್ಯವಾಗಿ ಯಾದೃಚ್ಛಿಕ ಟೋಕನ್ ಅನ್ನು ಹೊಂದಿರುತ್ತದೆ, ಇದು ವೆಬ್ ಸೆಷನ್ ಸೆಟ್-ಕುಕಿಯ ಜೀವಿತಾವಧಿಯವರೆಗೆ ಒಂದೇ ಆಗಿರಬಹುದುಃ _ _ ಹೋಸ್ಟ್-csrf _ ಟೋಕನ್ = i8XNjC4b8KVok4uw5RftR38Wgp2Bfwql; ಅವಧಿ = ಥು, 23-ಜುಲೈ 2015 10:25:33 GMT; ಮ್ಯಾಕ್ಸ್-ಏಜ್ = 31449600; ಪಾತ್ =/; ಸೇಮಿಸೈಟ್ = ಲಾಕ್ಸ್; ಕ್ಲೈಂಟ್ ಬದಿಯಲ್ಲಿ ಕಾರ್ಯನಿರ್ವಹಿಸುವ ಸುರಕ್ಷಿತ ಜಾವಾಸ್ಕ್ರಿಪ್ಟ್ ಅದರ ಮೌಲ್ಯವನ್ನು ಓದುತ್ತದೆ ಮತ್ತು ಪ್ರತಿ ವಹಿವಾಟಿನ ವಿನಂತಿಯೊಂದಿಗೆ ಕಳುಹಿಸಲಾದ ಕಸ್ಟಮ್ HTTP ಹೆಡರ್ಗೆ ನಕಲಿಸುತ್ತದೆ X-Csrf-ಟೋಕನ್ಃ i8XNjC4b8KVok4uw ರಾಕ್ಷಸ ಕಡತ ಅಥವಾ ಇಮೇಲ್ನಿಂದ ಚಾಲನೆಯಲ್ಲಿರುವ ಜಾವಾಸ್ಕ್ರಿಪ್ಟ್ ಕಸ್ಟಮ್ ಹೆಡರ್ಗೆ ನಕಲಿಸಲು ಕುಕೀ ಮೌಲ್ಯವನ್ನು ಯಶಸ್ವಿಯಾಗಿ ಓದಲು ಸಾಧ್ಯವಾಗಬಾರದು. ಕುಕೀಗಳನ್ನು ಸ್ವಯಂಚಾಲಿತವಾಗಿ ರಾಕ್ಷಸ ವಿನಂತಿಯೊಂದಿಗೆ ಕಳುಹಿಸಬಹುದಾದರೂ, ಕುಕೀಗಳ ಸೇಮ್ಸೈಟ್ ನೀತಿಗೆ ಒಳಪಟ್ಟು, ಸರ್ವರ್ ಇನ್ನೂ ಮಾನ್ಯ ಹೆಡರ್ ಅನ್ನು ನಿರೀಕ್ಷಿಸುತ್ತದೆ. ಸಿಎಸ್ಆರ್ಎಫ್ ಟೋಕನ್ ಅನನ್ಯವಾಗಿರಬೇಕು ಮತ್ತು ಅನಿರೀಕ್ಷಿತವಾಗಿರಬೇಕು. ಇದನ್ನು ಯಾದೃಚ್ಛಿಕವಾಗಿ ಉತ್ಪಾದಿಸಬಹುದು, ಅಥವಾ ಇದನ್ನು ಎಚ್ಎಂಎಸಿ ಬಳಸಿ ಸೆಷನ್ ಟೋಕನ್ನಿಂದ ಪಡೆಯಬಹುದುಃ ಸಿಎಸ್ಆರ್ಎಫ್ ಟೋಕನ್ = ಎಚ್ಎಂಎಸಿ (ಸೆಷನ್ _ ಟೋಕನ್, ಅಪ್ಲಿಕೇಶನ್ _ ಸೀಕ್ರೆಟ್) ಸಿಎಸ್ಆರ್ಎಫ್ ಟೋಕನ್ ಕುಕಿಯು HTTPOnly ಫ್ಲ್ಯಾಗ್ ಅನ್ನು ಹೊಂದಿರಬಾರದು, ಏಕೆಂದರೆ ಇದನ್ನು ಜಾವಾಸ್ಕ್ರಿಪ್ಟ್ ವಿನ್ಯಾಸದಿಂದ ಓದಲು ಉದ್ದೇಶಿಸಲಾಗಿದೆ. ಈ ತಂತ್ರವನ್ನು ಜಾಂಗೊ ಮತ್ತು ಆಂಗ್ಯುಲರ್ ಜೆಎಸ್ನಂತಹ ಅನೇಕ ಆಧುನಿಕ ಚೌಕಟ್ಟುಗಳು ಅಳವಡಿಸಿಕೊಂಡಿವೆ. ಇಡೀ ಬಳಕೆದಾರರ ಅಧಿವೇಶನದಲ್ಲಿ ಟೋಕನ್ ಸ್ಥಿರವಾಗಿರುವುದರಿಂದ, ಇದು ಅಜಾಕ್ಸ್ ಅಪ್ಲಿಕೇಶನ್ಗಳೊಂದಿಗೆ ಉತ್ತಮವಾಗಿ ಕಾರ್ಯನಿರ್ವಹಿಸುತ್ತದೆ, ಆದರೆ ವೆಬ್ ಅಪ್ಲಿಕೇಶನ್ನಲ್ಲಿ ಘಟನೆಗಳ ಅನುಕ್ರಮವನ್ನು ಜಾರಿಗೊಳಿಸುವುದಿಲ್ಲ. ಉದ್ದೇಶಿತ ಜಾಲತಾಣವು ಈ ಕೆಳಗಿನ ತಂತ್ರಗಳಲ್ಲಿ ಒಂದನ್ನು ಬಳಸಿಕೊಂಡು ತನ್ನ ಒಂದೇ ಮೂಲದ ನೀತಿಯನ್ನು ನಿಷ್ಕ್ರಿಯಗೊಳಿಸಿದರೆ ಈ ತಂತ್ರದಿಂದ ಒದಗಿಸಲಾದ ರಕ್ಷಣೆಯನ್ನು ತಡೆಯಬಹುದುಃ ಸಿಲ್ವರ್ಲೈಟ್ ನಿಯಂತ್ರಣಗಳ ಕಡತಕ್ಕೆ ಅನಪೇಕ್ಷಿತ ಪ್ರವೇಶವನ್ನು ನೀಡುವ ಕಡತವು ಫ್ಲ್ಯಾಶ್ ಚಲನಚಿತ್ರಗಳಿಗೆ ಅನಪೇಕ್ಷಿತ ಪ್ರವೇಶವನ್ನು ನೀಡುತ್ತದೆ ಡಬಲ್ ಸಬ್ಮಿಟ್ ಕುಕೀ ಅದೇ ರೀತಿ ಕುಕೀ-ಟು-ಹೆಡರ್ ವಿಧಾನಕ್ಕೆ, ಆದರೆ ಜಾವಾಸ್ಕ್ರಿಪ್ಟ್ ಅನ್ನು ಒಳಗೊಳ್ಳದೆ, ಒಂದು ತಾಣವು ಸಿಎಸ್ಆರ್ಎಫ್ ಟೋಕನ್ ಅನ್ನು ಕುಕಿಯಾಗಿ ಹೊಂದಿಸಬಹುದು ಮತ್ತು ಅದನ್ನು ಪ್ರತಿ ಎಚ್ಟಿಎಮ್ಎಲ್ ರೂಪದಲ್ಲಿ ಗುಪ್ತ ಕ್ಷೇತ್ರವಾಗಿ ಸೇರಿಸಬಹುದು. ಫಾರ್ಮ್ ಅನ್ನು ಸಲ್ಲಿಸಿದಾಗ, ಕುಕೀ ಟೋಕನ್ ಫಾರ್ಮ್ ಟೋಕನ್ಗೆ ಹೊಂದಿಕೆಯಾಗುತ್ತದೆಯೇ ಎಂದು ಸೈಟ್ ಪರಿಶೀಲಿಸಬಹುದು. ಒಂದೇ ಮೂಲದ ನೀತಿಯು ಆಕ್ರಮಣಕಾರರನ್ನು ಗುರಿ ಡೊಮೇನ್ನಲ್ಲಿ ಕುಕೀಗಳನ್ನು ಓದುವುದನ್ನು ಅಥವಾ ಹೊಂದಿಸುವುದನ್ನು ತಡೆಯುತ್ತದೆ, ಆದ್ದರಿಂದ ಅವರು ತಮ್ಮ ರಚಿಸಿದ ರೂಪದಲ್ಲಿ ಮಾನ್ಯ ಟೋಕನ್ ಅನ್ನು ಹಾಕಲು ಸಾಧ್ಯವಿಲ್ಲ. ಸಿಂಕ್ರೊನೈಸರ್ ಮಾದರಿಯ ಮೇಲೆ ಈ ತಂತ್ರದ ಪ್ರಯೋಜನವೆಂದರೆ ಟೋಕನ್ ಅನ್ನು ಸರ್ವರ್ನಲ್ಲಿ ಸಂಗ್ರಹಿಸುವ ಅಗತ್ಯವಿಲ್ಲ. ಸರ್ವರ್ ಕುಕಿಯನ್ನು ಹೊಂದಿಸಿದಾಗ ಹೆಚ್ಚುವರಿ "ಸೇಮಿಸೈಟ್" ಗುಣಲಕ್ಷಣವನ್ನು ಸೇರಿಸಬಹುದು, ಇದು ಕ್ರಾಸ್-ಸೈಟ್ ವಿನಂತಿಗಳಿಗೆ ಕುಕಿಯನ್ನು ಲಗತ್ತಿಸಬೇಕೆ ಎಂದು ಬ್ರೌಸರ್ಗೆ ಸೂಚಿಸುತ್ತದೆ. ಈ ಗುಣಲಕ್ಷಣವನ್ನು "ಕಟ್ಟುನಿಟ್ಟಾದ" ಎಂದು ಹೊಂದಿಸಿದರೆ, ಅದೇ-ಸೈಟ್ ವಿನಂತಿಗಳ ಮೇಲೆ ಮಾತ್ರ ಕುಕಿಯನ್ನು ಕಳುಹಿಸಲಾಗುತ್ತದೆ, ಇದು ಸಿಎಸ್ಆರ್ಎಫ್ ಅನ್ನು ಪರಿಣಾಮಕಾರಿಯಾಗಿಸುವುದಿಲ್ಲ. ಆದಾಗ್ಯೂ, ಇದಕ್ಕೆ ಬ್ರೌಸರ್ ಗುಣಲಕ್ಷಣವನ್ನು ಗುರುತಿಸುವುದು ಮತ್ತು ಸರಿಯಾಗಿ ಕಾರ್ಯಗತಗೊಳಿಸುವುದು ಅಗತ್ಯವಾಗಿರುತ್ತದೆ. ಕ್ಲೈಂಟ್-ಸೈಡ್ ಸುರಕ್ಷತೆಗಳು ಬ್ರೌಸರ್ ವಿಸ್ತರಣೆಗಳಾದ ರಿಕ್ವೆಸ್ಟ್ ಪಾಲಿಸಿ (ಮೊಜಿಲ್ಲಾ ಫೈರ್ಫಾಕ್ಸ್ಗಾಗಿ) ಅಥವಾ (ಫೈರ್ಫಾಕ್ಸ್ ಮತ್ತು ಗೂಗಲ್ ಕ್ರೋಮ್/ಕ್ರೋಮಿಯಂ ಎರಡಕ್ಕೂ) ಕ್ರಾಸ್-ಸೈಟ್ ವಿನಂತಿಗಳಿಗೆ ಡೀಫಾಲ್ಟ್-ನಿರಾಕರಣೆ ನೀತಿಯನ್ನು ಒದಗಿಸುವ ಮೂಲಕ ಸಿಎಸ್ಆರ್ಎಫ್ ಅನ್ನು ತಡೆಯಬಹುದು. ಆದಾಗ್ಯೂ, ಇದು ಅನೇಕ ಜಾಲತಾಣಗಳ ಸಾಮಾನ್ಯ ಕಾರ್ಯಾಚರಣೆಯಲ್ಲಿ ಗಮನಾರ್ಹವಾಗಿ ಹಸ್ತಕ್ಷೇಪ ಮಾಡಬಹುದು. ಕ್ರಾಸ್-ಸೈಟ್ ವಿನಂತಿಗಳಿಂದ ದೃಢೀಕರಣ ಮಾಹಿತಿಯನ್ನು ತೆಗೆದುಹಾಕುವ ಮೂಲಕ ಸಿಎಸ್ಫೈರ್ ವಿಸ್ತರಣೆಯು (ಫೈರ್ಫಾಕ್ಸ್ಗಾಗಿಯೂ ಸಹ) ಸಾಮಾನ್ಯ ಬ್ರೌಸಿಂಗ್ನ ಮೇಲೆ ಕಡಿಮೆ ಪರಿಣಾಮ ಬೀರುವ ಮೂಲಕ ಸಿಎಸ್ಆರ್ಎಫ್ನ ಪರಿಣಾಮವನ್ನು ತಗ್ಗಿಸಬಹುದು. ಫೈರ್ಫಾಕ್ಸ್ನ ನೊಸ್ಕ್ರಿಪ್ಟ್ ವಿಸ್ತರಣೆಯು ವಿಶ್ವಾಸಾರ್ಹವಲ್ಲದ ತಾಣಗಳಿಂದ ಪ್ರತ್ಯೇಕಿಸುವ ಮೂಲಕ ಮತ್ತು ವಿಶ್ವಾಸಾರ್ಹವಲ್ಲದ ತಾಣಗಳು ವಿಶ್ವಾಸಾರ್ಹ ತಾಣಗಳಿಗೆ ಕಳುಹಿಸಿದ ಪೋಸ್ಟ್ ವಿನಂತಿಗಳಿಂದ ದೃಢೀಕರಣ ಮತ್ತು ಪೇಲೋಡ್ಗಳನ್ನು ತೆಗೆದುಹಾಕುವ ಮೂಲಕ ಸಿಎಸ್ಆರ್ಎಫ್ ಬೆದರಿಕೆಗಳನ್ನು ತಗ್ಗಿಸುತ್ತದೆ. ನೋಸ್ಕ್ರಿಪ್ಟ್ನಲ್ಲಿನ ಅಪ್ಲಿಕೇಶನ್ ಬೌಂಡರಿ ಎನ್ಫೋರ್ಸರ್ ಮಾಡ್ಯೂಲ್ ಅಂತರ್ಜಾಲ ಪುಟಗಳಿಂದ ಸ್ಥಳೀಯ ತಾಣಗಳಿಗೆ ಕಳುಹಿಸಲಾದ ವಿನಂತಿಗಳನ್ನು ಸಹ ನಿರ್ಬಂಧಿಸುತ್ತದೆ (ಉದಾಹರಣೆಗೆ. ಲೋಕಲ್ ಹೋಸ್ಟ್), ಸ್ಥಳೀಯ ಸೇವೆಗಳು (ಯು ಟೊರೆಂಟ್ನಂತಹ) ಅಥವಾ ಮಾರ್ಗನಿರ್ದೇಶಕಗಳ ಮೇಲೆ ಸಿಎಸ್ಆರ್ಎಫ್ ದಾಳಿಗಳನ್ನು ತಡೆಯುತ್ತದೆ. ಫೈರ್ಫಾಕ್ಸ್ನ ಸೆಲ್ಫ್ ಡಿಸ್ಟ್ರಕ್ಟಿಂಗ್ ಕುಕೀಸ್ ವಿಸ್ತರಣೆಯು ಸಿಎಸ್ಆರ್ಎಫ್ನಿಂದ ನೇರವಾಗಿ ರಕ್ಷಿಸುವುದಿಲ್ಲ, ಆದರೆ ತೆರೆದ ಟ್ಯಾಬ್ನೊಂದಿಗೆ ಕುಕೀಗಳನ್ನು ಇನ್ನು ಮುಂದೆ ಸಂಯೋಜಿಸದ ತಕ್ಷಣ ಅವುಗಳನ್ನು ಅಳಿಸುವ ಮೂಲಕ ದಾಳಿ ವಿಂಡೋವನ್ನು ಕಡಿಮೆ ಮಾಡಬಹುದು. ಇತರ ತಂತ್ರಗಳು ಐತಿಹಾಸಿಕವಾಗಿ ಸಿಎಸ್ಆರ್ಎಫ್ ತಡೆಗಟ್ಟುವಿಕೆಗೆ ವಿವಿಧ ಇತರ ತಂತ್ರಗಳನ್ನು ಬಳಸಲಾಗಿದೆ ಅಥವಾ ಪ್ರಸ್ತಾಪಿಸಲಾಗಿದೆಃ ವಿನಂತಿಯ ಶೀರ್ಷಿಕೆಗಳು ಎಕ್ಸ್-ರಿಕ್ವೆಸ್ಟೆಡ್-ವಿಥ್ ಅನ್ನು ಹೊಂದಿವೆಯೇ ಎಂದು ಪರಿಶೀಲಿಸುವುದು (ರೂಬಿ ಆನ್ ರೈಲ್ಸ್ನಿಂದ v2.0 ಮೊದಲು ಮತ್ತು ಜಾಂಗೊನಿಂದ v1.2.5 ಮೊದಲು ಬಳಸಲ್ಪಡುತ್ತದೆ), ಅಥವಾ ಎಚ್. ಟಿ. ಟಿ. ಪಿ. ರೆಫರರ್ ಹೆಡರ್ ಮತ್ತು/ಅಥವಾ ಎಚ್. ಟಿ. ಟಿ. ಪಿ. ಒರಿಜಿನ್ ಹೆಡರ್ ಅನ್ನು ಪರಿಶೀಲಿಸುವುದು. ಅಧಿಕೃತ ಪುಟದಿಂದ ವಿನಂತಿಯು ಬರುತ್ತಿದೆಯೇ ಎಂದು ನೋಡಲು HTTP ರೆಫರರ್ ಹೆಡರ್ ಅನ್ನು ಪರಿಶೀಲಿಸುವುದು ಸಾಮಾನ್ಯವಾಗಿ ಎಂಬೆಡೆಡ್ ನೆಟ್ವರ್ಕ್ ಸಾಧನಗಳಿಗೆ ಬಳಸಲಾಗುತ್ತದೆ ಏಕೆಂದರೆ ಇದು ಮೆಮೊರಿ ಅವಶ್ಯಕತೆಗಳನ್ನು ಹೆಚ್ಚಿಸುವುದಿಲ್ಲ. ಆದಾಗ್ಯೂ, ರೆಫರರ್ ಹೆಡರ್ ಅನ್ನು ಬಿಟ್ಟುಬಿಡುವ ವಿನಂತಿಯನ್ನು ಅನಧಿಕೃತವೆಂದು ಪರಿಗಣಿಸಬೇಕು ಏಕೆಂದರೆ ಆಕ್ರಮಣಕಾರನು ಎಫ್ಟಿಪಿ ಅಥವಾ ಎಚ್ಟಿಟಿಪಿಎಸ್ ಯುಆರ್ಎಲ್ಗಳಿಂದ ವಿನಂತಿಗಳನ್ನು ನೀಡುವ ಮೂಲಕ ರೆಫರರ್ ಹೆಡರ್ ಅನ್ನು ನಿಗ್ರಹಿಸಬಹುದು. ಈ ಕಟ್ಟುನಿಟ್ಟಾದ ರೆಫರರ್ ಊರ್ಜಿತಗೊಳಿಸುವಿಕೆಯು ಗೌಪ್ಯತೆ ಕಾರಣಗಳಿಗಾಗಿ ರೆಫರರ್ ಹೆಡರ್ ಅನ್ನು ಬಿಟ್ಟುಬಿಡುವ ಬ್ರೌಸರ್ಗಳು ಅಥವಾ ಪ್ರಾಕ್ಸಿಗಳಲ್ಲಿ ಸಮಸ್ಯೆಗಳನ್ನು ಉಂಟುಮಾಡಬಹುದು. ಅಲ್ಲದೆ, ಫ್ಲ್ಯಾಶ್ನ ಹಳೆಯ ಆವೃತ್ತಿಗಳು (9.0.18 ಗಿಂತ ಮೊದಲು) ಸಿಆರ್ಎಲ್ಎಫ್ ಇಂಜೆಕ್ಷನ್ ಅನ್ನು ಬಳಸಿಕೊಂಡು ಅನಿಯಂತ್ರಿತ HTTP ವಿನಂತಿಯ ಶೀರ್ಷಿಕೆಗಳೊಂದಿಗೆ GET ಅಥವಾ POST ವಿನಂತಿಗಳನ್ನು ರಚಿಸಲು ದುರುದ್ದೇಶಪೂರಿತ ಫ್ಲ್ಯಾಶ್ಗೆ ಅವಕಾಶ ನೀಡುತ್ತವೆ. ಕ್ಲೈಂಟ್ನಲ್ಲಿನ ಇದೇ ರೀತಿಯ ಸಿಆರ್ಎಲ್ಎಫ್ ಇಂಜೆಕ್ಷನ್ ದೋಷಗಳನ್ನು ಎಚ್. ಟಿ. ಟಿ. ಪಿ ವಿನಂತಿಯ ಉಲ್ಲೇಖಕನನ್ನು ಮೋಸಗೊಳಿಸಲು ಬಳಸಬಹುದು. ಪೋಸ್ಟ್ ವಿನಂತಿ ವಿಧಾನವು ಯುಆರ್ಎಲ್ನಲ್ಲಿನ ನಿಯತಾಂಕಗಳನ್ನು ಬಳಸಿಕೊಂಡು (ಜಿಇಟಿ ವಿಧಾನವನ್ನು ಬಳಸಿಕೊಂಡು) ಕ್ಷುಲ್ಲಕ ಸಿಎಸ್ಆರ್ಎಫ್ ದಾಳಿಗಳಿಗೆ ನಿರೋಧಕವಾಗಿದೆ ಎಂದು ಸ್ವಲ್ಪ ಸಮಯದವರೆಗೆ ಗ್ರಹಿಸಲಾಗಿತ್ತು. ಆದಾಗ್ಯೂ, ಪಿಒಎಸ್ಟಿ ಮತ್ತು ಇತರ ಯಾವುದೇ ಎಚ್. ಟಿ. ಟಿ. ಪಿ ವಿಧಾನಗಳೆರಡನ್ನೂ ಈಗ ಎಕ್ಸ್. ಎಂ. ಎಲ್. ಎಚ್. ಟಿ. ಟಿ. ಪಿ. ರಿಕ್ವೆಸ್ಟ್ ಬಳಸಿ ಸುಲಭವಾಗಿ ಕಾರ್ಯಗತಗೊಳಿಸಬಹುದು. ಅನಿರೀಕ್ಷಿತ ಜಿಇಟಿ ವಿನಂತಿಗಳನ್ನು ಫಿಲ್ಟರ್ ಮಾಡುವುದರಿಂದ ದುರುದ್ದೇಶಪೂರಿತ ಚಿತ್ರ ಯುಆರ್ಎಲ್ಗಳು ಅಥವಾ ಲಿಂಕ್ ವಿಳಾಸಗಳನ್ನು ಬಳಸಿಕೊಂಡು ಅಡ್ಡ-ಸೈಟ್ ದಾಳಿಗಳು ಮತ್ತು <ಸ್ಕ್ರಿಪ್ಟ್> ಅಂಶಗಳ ಮೂಲಕ ಅಡ್ಡ-ಸೈಟ್ ಮಾಹಿತಿಯ ಸೋರಿಕೆ (ಜಾವಾಸ್ಕ್ರಿಪ್ಟ್ ಹೈಜಾಕಿಂಗ್) ಮುಂತಾದ ಕೆಲವು ನಿರ್ದಿಷ್ಟ ದಾಳಿಗಳನ್ನು ತಡೆಯುತ್ತದೆ; ಇದು ಆಕ್ರಮಣಕಾರಿ ವೆಬ್ ಕ್ರಾಲರ್ಗಳು ಮತ್ತು ಲಿಂಕ್ ಪ್ರೀಫೆಚಿಂಗ್ನೊಂದಿಗೆ (ಸುರಕ್ಷತೆ-ಸಂಬಂಧಿತವಲ್ಲದ) ಸಮಸ್ಯೆಗಳನ್ನು ಸಹ ತಡೆಯುತ್ತದೆ. ಕ್ರಾಸ್-ಸೈಟ್ ಸ್ಕ್ರಿಪ್ಟಿಂಗ್ (ಎಕ್ಸ್ಎಸ್ಎಸ್) ದೋಷಗಳು (ಅದೇ ಡೊಮೇನ್ನಲ್ಲಿ ಚಾಲನೆಯಲ್ಲಿರುವ ಇತರ ಅಪ್ಲಿಕೇಶನ್ಗಳಲ್ಲಿಯೂ ಸಹ) ಆಕ್ರಮಣಕಾರರಿಗೆ ಎಲ್ಲಾ ಸಿಎಸ್ಆರ್ಎಫ್ ತಡೆಗಟ್ಟುವಿಕೆಗಳನ್ನು ಮೂಲಭೂತವಾಗಿ ತಪ್ಪಿಸಲು ಅನುವು ಮಾಡಿಕೊಡುತ್ತದೆ. BREACH ಕನ್ಫ್ಯೂಸ್ಡ್ ಡೆಪ್ಯುಟಿ ಪ್ರಾಬ್ಲೆಮ್ CRIME ವೆಬ್ ಮೆಸೇಜಿಂಗ್ ಹೀಪ್ ಸ್ಪ್ರೇಯಿಂಗ್ ರೀಪ್ಲೇ ಅಟ್ಯಾಕ್ ಸೆಷನ್ ಫಿಕ್ಸೇಷನ್ ಅಪ್ಲಿಕೇಶನ್ ಸೆಕ್ಯುರಿಟಿ ರೆಫರೆನ್ಸ್ಗಳು ಬಾಹ್ಯ ಕೊಂಡಿಗಳು ಕ್ರಾಸ್ ಸೈಟ್ ವಿನಂತಿಯ ನಕಲಿ ಬಗ್ಗೆ ಅತ್ಯಂತ ಅಸ್ಪಷ್ಟವಾದ ಸಂಗತಿ ಕ್ರಾಸ್-ಸೈಟ್ ವಿನಂತಿಯ ನಕಲಿ FAQ ಕ್ರಾಸ್-ಸೈಟ್ ವಿನಂತಿಯ ನಕಲಿ ದಿ ವೆಬ್ ಅಪ್ಲಿಕೇಶನ್ ಸೆಕ್ಯುರಿಟಿ ಕನ್ಸೋರ್ಟಿಯಂ ಥ್ರೆಟ್ ಕ್ಲಾಸಿಫಿಕೇಷನ್ ಪ್ರಾಜೆಕ್ಟ್ ವೆಬ್ ಸೆಕ್ಯುರಿಟಿ ಶೋಷಣೆಗಳಿಂದ