patrickhalasik/cve-2020-23127-pocДоказательство концепции и анализ для CVE-2020-23127 (CSRF) с лабораторной средой на базе Docker. Демонстрирует эксплуатацию и понимание уязвимостей межсайтовой подделки запросов.
CVE-2020-23127: https://www.cvedetails.com/cve/CVE-2020-23127/
Это моя первая PoC-эксплуатация и анализ CVE. Работа была выполнена в рамках моего курса по кибербезопасности на втором году обучения в магистратуре по информатике в Université de Franche-Comté.
Я специально искал CVE, связанный с CSRF, чтобы лучше понять этот тип уязвимости и защиты от CSRF-атак.
Вы найдете анализ CVE, подготовленный мной, в формате .docx. Сейчас он доступен только на французском языке.
Установите Docker, если он ещё не установлен на вашем компьютере.
Вам нужно скачать следующие файлы:
Эти 3 файла должны находиться в одном каталоге, чтобы команда docker compose работала.
docker compose up -d
Вы заметите, что есть пользователь "Juan Hernandez" с ролью Student (Apprenant)
При переходе на этот сайт выполняется CSRF-атака с помощью специально сформированного POST-запроса: http://localhost:8081/main/admin/user_edit.php?user_id=3
Теперь вы увидите, что у пользователя "Juan Hernandez" роль Teacher (Enseignant)
