Olay:

(*) Birebir deneyimlenmiştir.

Hydra Tool'u ve Kullanımı konulu includekarabuk’te yazmaya hazırlandığın blog makalesinde Uygulama başlığı altında bahsetmek üzere brute force yapılacak login paneli ararken DVWA'nın ana login sayfasına brute force yapmayı denediğinde bir şey fark ettin. POST edilen değişkenler içerisinde kullanıcı adı ve şifre olduğu gibi user_token adlı ekstradan bir parametre ve 03u43289432894 gibi bir değer göndermekteydin. DVWA ana login sayfasını her refresh’lediğinde ve login panele sağ tık öğeyi denetle yapıp user_token değerine geldiğinde user_token'ın aldığı değerin değiştiğini gözlemledin. Aynı zamanda DVWA ana login sayfasını her refresh'lediğinde bu parametre değeri burpsuite proxy'de gözlemlediğin üzere değişmekteydi. Dolayısıyla hydra'ya mevcut user_token parametre ve değerini koyduğunda bir sonraki yaptığı denemede sunucunun istediği user_token’ı değil de eskisini, sürekli eskisini vereceği için boşa çabalamış olmaktaydı. Yani bu token ile görüldüğü üzere hydra gibi temel araçların brute force yapması önlenebiliyor. Daha dinamik çalışan brute force araçları (örneğin gelen http yanıtını alıp o yanıt paketini okuyup token'ı dinamik olarak ekleyip yeni denemesini onla yapması gibi) ise bu önlemi aşabilir. Ama CSRF token ile belli ölçüde güvenlik kademesi arttırılabildiğinden script kiddies'lerden (bir nevi ergenlerden) sistemler korunabilir.