Estou vendo algumas pessoas mencionando os tais ataques CSRF aqui no Stack Overflow.
O que eu gostaria de saber é:
O que é um ataque CSRF?
Como ele é feito?
Quais danos ele pode causar?
Como eu posso evitar ataques CSRF?
É um tipo de ataque para danificar ou roubar dados de um usuário em um serviço web. Geralmente um site, widget ou aplicativo mal intencionado aproveita-se do usuário estar logado em algum serviço web e executa ações nesse serviço.
XSS: Digamos que você tem um facebook e, como quase todo mundo, seu navegador está sempre logado no facebook. Você entra num site malicioso que contém um iframe apontando para o facebook. Quando você terminar de carregar a página, esse site executa um javascript que preenche o status do facebook para "sou n00b" e aperta enviar. (Esse cenário atualmente é "bloqueado" pelos navegadores web)
CSRF: Digamos que você tem uma conta no banco do Panama, e loga no seu web banking. Esse web banking é feito em web 1.0, onde cada link ou formulário preenchido precisa recarregar a página inteira. Ainda logado, você entra num site malicioso que redireciona você, via POST, para a página "processa_transferencia.php", enviado no POST um número de conta e um valor. O n00b que fez o site verifica se você está logado. Se sim, processa a transferência. TCHAU GRANA!
Entendendo o que é CORS é um bom começo, principalmente para se defender de XSS.
No caso do CSRF, o mais fácil é utilizar tokens de segurança para requisições do tipo POST. Basicamente, a página que contém o formulário para ser enviado cria um TOKEN. Quando o usuário enviar o POST deste formulário, basta verificar se o TOKEN veio junto e se ele é o que foi gerado anteriormente.
O OWASP possui um conjunto de dicas de prevenção para esse tipo de ataque.
A CSRF (do inglês Cross-Site Request Forgery) é um tipo de ataque que, ao executar um script malicioso no browser da vitima, acede a outro website, sem que esta se aperceba. O atacante consegue, assim, sequestrar a sessão da vitima podendo, por exemplo, fazer comentários no site, transferir valores monetários, fazer uma encomenda, etc.
A técnica mais comum para prevenir este tipo de ataque consiste em colocar um token através de um campo escondido no formulário. Quando o formulário é submetido é garantido que o token está presente e que coincide com o token guardado em sessão (MacIntyre, Danchilla, & Gogala, 2011).