Form Post Gampang di Hack

Рет қаралды 34,781

Күн бұрын

Пікірлер: 234

@hooyah 2 ай бұрын

misal web lain itu scraping csrf tokenya gimana mas? misal pake jwt biar gampang bacanya, apa perlu di setiap form itu di jagain pake identifier misal crsf-transfer di data tokenya? jd misal di scraping juga tokenya ga valid karna beda url nya. apa saya yg gagal paham ya? apa dengan ngasih 1 token csrf untuk semua form post itu sudah aman harusnya? edited: oh apa csrf tokenya tuh dikasih kalo udah login aja kali ya.

@ProgrammerZamanNow 2 ай бұрын

token nya bisa di set owner nya, misal ada informasi itu token user siapa, jadi kalo dia scraping walaupun dia dapat tokennya, pas di submit ke user orang, gak bisa karena token nya bukan milik user itu

@hooyah 2 ай бұрын

@@ProgrammerZamanNow mantab seperti nya saya hampir pinter. paham dkrg. makasih mas

@MrNuganteng 2 ай бұрын

berarti tetep harus ada user login dulu di backend nya ya bang? Lalu di assign ke tokennya sbg issuer nya begitu ya?@ProgrammerZamanNow

@mrh30 2 ай бұрын

@@ProgrammerZamanNow Nahh gimana dengan beberapa framework yg terkenal kang eko? Seperti Laravel, CI, Next, Nuxt, dll. Apakah mereka sudah punya fitur builtin buat set setiap token csrf supaya punya owner? Oh iya, terkadang kan beberapa website menyediakan form kontak yg sifatnya open untuk pengunjung. Itu bisa jadi celah juga gak? Semisal dikasih csrf token juga, kan itu form public untuk semua pengunjung.

@imamulikhlas704 2 ай бұрын

tapi bukannya tetap bisa dimanipulasi bahwa seorang dibelakang pengirimnya memang url aplikasinya padahal aplikasi pihak ke 3nya ya

@ricoalfandi8185 2 ай бұрын

makasih banyak pak eko. saya melihat materi race condition dan juga materi ini bener2 sangat berguna buat fitur yang lagi saya bangun pak. semoga berkah selalu ilmunya pak dan dilancarkan rezekinya

@ProgrammerZamanNow 2 ай бұрын

amin

@vincentjonathan 2 ай бұрын

Bagus banget bang pengajarannyaa 🤩 Tolong bikinin lagi dong video-video mengenai security begini. Video-video pembelajaran di Indonesia mengenai edukasi security begini masi kurang deh 😢

@IsmailMKgs 29 күн бұрын

Trmksh mas Eko, infonya sangat sangat mencerahkan 👍

@RecehProMax Ай бұрын

Alhamdulillah pake framework laravel utk basic sudah membantu sekali adanya csrf token.

@dewantoro_gaming 2 ай бұрын

Ga kebayang kalau seorang web developer expert seperti pak Eko kalau switch karir jadi ethical hacker atau bug bounty Hunter.. pasti akan jadi aset berharga di dunia cyber security karena bisa punya 2 perspektif.. dari perspektif developer dan attacker nya... Tentu dengan pengalaman yang di punya selama ini akan sangat berharga dalam menemukan suatu bug...

@andriancimen 2 ай бұрын

Keren pak, next bahas lagi CORS juga,

@ProgrammerZamanNow 2 ай бұрын

menarik

@akbaraditamasupriyonoputra5921 19 күн бұрын

Sudah lama sekali ga memikirkan CSRF, sebab sejak 2019 selalu terlibat/ngerjain project yang stateless (token-based authentication) yang secara alami kebal dari CSRF. Takutnya lupa hal-hal yang beginian.

@hendrimardani8392 Ай бұрын

Pas banget waktu ada tugas kuliah analisis kerentanan, makasih bang

@otorustandi Ай бұрын

Faktor keamanan bisa ditingkatkan dgn secure cookie, yg bisa diisi dengan token dan divalidasi oleh server. Secure cookie tdk bisa dibaca oleh Javacript di browser, dan bisa ditentukan hanya pada suatu domain.

@gamercupu8513 Ай бұрын

Ralat bukan 'secure' tapi atribut 'HttpOnly'

@didi_abdillah 2 ай бұрын

ini materi sebenernya sederhana tapi jarang banget ada di materi kuliah, biasanya abis materi CRUD udah kelar

@ProgrammerZamanNow 2 ай бұрын

mudah2an nanti kedepannya materi2 seperti ini masuk ke kuliah

@izasfynsh6360 2 ай бұрын

aminnn kanh@@ProgrammerZamanNow

@itaamelia6715 2 ай бұрын

Inimah materi 101, harusnya wajib, dosennya males2an kali

@prinafsika 2 ай бұрын

@@itaamelia6715biasanya beda matkul, crud biasanya fokus ke mekanismenya sama bahasanya aja. urusan security ngga terlalu di perhatiin

@GabrielFermy 2 ай бұрын

@@itaamelia6715 ini ga bisa masuk form 101. ini sebenernya advance form material. karena sudah berhubungan dengan keamanan. dan memang ga sempat dimasukkan kedalam kurikulum. di kelas pasti butuh waktu lebih daripada di youtube. ilmu kaya gini mah cuma bisa di dapat dari self learning. ga cukup pake bangku kuliahan

@MuhammadNurdinnewspecies Ай бұрын

Sangat membantu mas.. kalau di API kita batasi di Cross-Origin Resource Sharing (CORS)?

@buwubanov Ай бұрын

Pake CSRF token udah aman kok buat form POST sederhana. Fun fact, buat sistem pembayaran digital ada sertifikasi keamanannya, dan CSRF cuma segelintir proteksi yg diperlukan.

@akbarhday 2 ай бұрын

Nice ty, lebih banyak lagi pak bahas yg modelan praktik kaya gini ❤

@fajar_ti Ай бұрын

saya pernah lakuin uji coba untuk ngirim post ke website temen kuliah saya yang dimana terdapat input hidden untuk token csrfnya, saya coba untuk melakukan web scraping buat dapetin token dan field formnya, ketika data saya coba kirim ternyata itu berhasil dan masuk ke dalam data base.. apakah dengan menambahkan one time token masih menjamin keamanan jika seseorang melakukan hal seperti ini?? mohon pencerahannya pak...

@sirhanhaikal87 2 ай бұрын

mumppung ngebahas ini, sekalian bahas APKTool sama Frida mas, hehehe

@ronifrds Ай бұрын

Nambahin mas, ngasih durasi 5 menit auto destroy di redisnya itu smart move sih, tapi mending sekalian nambah logic setiap refresh halamannya sekalian delete token sebelumnya, toh ga kepake juga kan biar safety aja. Takutnya kalo dikasih waktu 5 menit gitu masih bisa dimanfaatin oleh attacker dengan cara ambil token dari web kita terus tokennya dipake di web phisingnya karna tokennya kan masih berlaku selama 5 menit. CMIIW temen2

@b3pm Ай бұрын

Bermanfaat banget...

@herpansafari9740 2 ай бұрын

Saya bisa input post secara masal dari buku tamu atau form lain melalui javascript console, walaupun sudah ada checking tokennya, karena dengan javascript kita tetap bisa ambil content csrfnya. Yang paling aman tetep captcha image kayanya, walaupun sudah ada ai buat baca image😂

@aldi_nh 2 ай бұрын

kalo lewat javascript biasanya kehalang duluan sama cors

@aldi_nh 2 ай бұрын

tujuan captcha juga bukan buat verifikasi user, tapi mitigasi serangan bot

@IndNatureid Ай бұрын

Auto subscribe pak

@vartz9469 Ай бұрын

Permisi pak Eko dan teman teman, saya cenderung baru dalam kolaborasi. Baru saja harus ngelead project teman. Kira kira development itu harus dilakukan di level local ya? Ngak bisa pakai Dev server bareng bareng terus otomatis kalo ada change langsung ke reflect seperti local (ga harus langsung sih, yang penting nyaman). Terimakasih🙏

@GatlingFun 2 ай бұрын

Bang, makasih infonya. Btw mau tanya kenapa csrf di laravel saya ketika saya refresh halaman form, tokennya tidak regenerate? apa yang harus diperbaiki/setting? terima kasih

@hanswyt 2 ай бұрын

aku punya ide gini: liat aja web aslinya terus inspect ambil token nya jangan di refresh, terus buru-buru kita simpan token nya di web scraping itu dan di submit, itu harus nya bisa juga sih ya, kecuali kalo emang harus auth dulu..

@ProgrammerZamanNow 2 ай бұрын

gak ada kerjaan donk, buka akun sendiri, submit token sendiri ke website heker nya, hahahah

@hanswyt 2 ай бұрын

@@ProgrammerZamanNow 😭🤣

@novianindy887 2 ай бұрын

@@ProgrammerZamanNow soalnya di video abang, tdk dijelaskan bahwa form Post itu kondisinya sdh dlm kondisi login. Jd seolah2 form post itu user tdk kondisi login, pdhal yg harmful itu utk user yg sdh login

@hanswyt 2 ай бұрын

@@novianindy887 nah iya ka, aku Mandang nya ga ada auth/login nya, sedangkan kang eko Mandang nya di realiti nya (dalam ke adaan login)

@hanswyt 2 ай бұрын

@@novianindy887 iya sih ka, aku mandang nya ga ada auth nya, nah sedangkan kang eko mandang nya ada auth (di kenyataan nya emang harus ada auth nya)

@Rizkiaqa Ай бұрын

terimakasih

@mulkizaki5196 2 ай бұрын

mahaaal kang🔥

@liynnz Ай бұрын

Itu Editor make apa pak?

@ReiZaLNKRI 20 күн бұрын

Kalau semisal dari robots.txt bagaimana ya . Sempet kena hack tampilan saya liat lognya masuknya dari robots.txt itu gmna ya bang ?

@muhammadabdillahasyhar6596 2 ай бұрын

Kalo di laravel itu ada yang namanya @csrf, di tulis di dalem form nya sebelum ngirim atau nge request data, apa itu sudah cukup kang ? Atau kita perlu konfigurasi lagi supaya lebih aman ?

@ProgrammerZamanNow 2 ай бұрын

sudah cukup

@firmanal-mudarisianipar7832 2 ай бұрын

Saya sering melakukan web scrapping dengan python dan library requests dan sampai saat ini csrf masih bisa di akali walaupun kadang harus nge reverse engineering dulu dan ada yang sulit dan ada yang mudah, Intinya menurut ku csrf tidak bisa di anggap aman perlu , proteksi lain lagi

@ProgrammerZamanNow 2 ай бұрын

Scraping gak ada hubungannya sama csrf

@Aufafkri 2 ай бұрын

Lanjut pak broken access control

@cheeze1235 2 ай бұрын

msu tanya pak, untuk tokennya, bisa di taro di cookies gak? atau cuman di input aja?

@my_online_logs 2 ай бұрын

csrf token ga boleh ditaruh di cookie karena fungsinya biar kalau penyerang dapat cookienya, dia ga dapat csrf tokennya

@insideofcode 2 ай бұрын

saya biasanya masih kurang yakin dengan csrf + auth token, masih kurang yakin saya biasanya encrypt pake AES dengan key setiap user berbeda dan keynya di simpan di javascript dengan obfuscate, saran key nya di encrypt dlu pake base46 supaya obfuscate lebih perfect ngacak2 sourcenya, kemungkinannya masiha ada, tapi butuh waktu lama buat nge-reverse nya, selain harus tembus csrf + auth token

@ProgrammerZamanNow 2 ай бұрын

tiap orang punya level paranoid masing2, jadi gak masalah mau dibikin lebih sulit lagi

@insideofcode 2 ай бұрын

@@ProgrammerZamanNow betull pak, karena saya pernah menjadi pelaku scraping, jadi punya paranoid yg berlebih, apalagi klo ada transaksi dg keuangan, bahkan klo itu di web di lapisi lagi dengan cloudflare 😅

@ramamimu 2 ай бұрын

ini juga bsa ditackle pakai header same origin bukan?

@heyahmadz Ай бұрын

saya cuma nyimpennya di sesion terus kalau selesai di unset terus generate token baru

@c.l8389 Ай бұрын

kalau ada ini aman g bang strict-origin-when-cross-origin..

@my_online_logs 2 ай бұрын

si penyerang bisa aja request pakai form action method get dulu buat dapat tokennya kan tokennya dikirim tiap buka url get yang ada formnya, nah penyerang tinggal bikin form action auto submit yang methodnya get ke url tersebut, dapat deh csrf tokennya, lalu lanjut ke form action method post, gitu apa bakal bisa bang >

@TrelaDark 2 ай бұрын

setahu saya gk bisa bang. kemungkinan dia get website kita pakai metode apa gimana ya? kalau udh beda website, gk akan bisa ngambil value csrfnya setahu saya. jikalau pun bisa sepertinya ketika submit juga bakal muncul token miss match (CMIIW)

@allone258 2 ай бұрын

kalau get dulu harus pakai js atau ajax, udah pasti kena cors.

@ProgrammerZamanNow 2 ай бұрын

Gak bisa, kena CORS

@my_online_logs 2 ай бұрын

@@TrelaDark bukan pakai ajax bang tapi pakai form action method get, jadi

@my_online_logs 2 ай бұрын

@@allone258 ga pakai ajax bang, itu di atas aku ketik bukan pakai ajax tapi pakai form action method get, jadi

@anxi80 Ай бұрын

pak eko, tolong bikin course swift dong. hehe

@bd.30824 2 ай бұрын

Mantap pak 🔥

@danyrahmansyah7066 2 ай бұрын

Pak apakah penyimpanan token di input hidden itu penanganan yang terbaik? Kalau misal si havkernya masuk dulu ke web kita terus ngmbil tokennya dan tokennya di pake di web jahat apakah itu memungkinkan untuk terjadi ?

@ProgrammerZamanNow 2 ай бұрын

token nya bisa direlasiin ke user nya

@DevITProject 2 ай бұрын

kak khanedy itu aplikasi yang digunakan buat ngejelasin, buat notepad yang di layar apa kak? yang buat coret coret😅

@pak_bambang Ай бұрын

excalidraw

@anxi80 2 ай бұрын

pak. bikin course swift kapan?

@ProgrammerZamanNow 2 ай бұрын

mudah2an bisa dibuatkan

@tarabbabak3471 2 ай бұрын

Misal kalau aplikasinya terpisah antara fe dan be, apakah cukup pakai cors aja? Atau harus implementasi csrf token juga?

@ProgrammerZamanNow 2 ай бұрын

kalo semua AJAX JSON, gak butuh, udah terlindungain dengan CORS

@danuras9962 2 ай бұрын

klo api yang digunakan aplikasi mobile perlu csrf juga gk bang? atau cukup pake otentikasi (oauth) sama otorisasi doang

@ProgrammerZamanNow 2 ай бұрын

kalo buat mobile, gak butuh csrf

@danuras9962 2 ай бұрын

@@ProgrammerZamanNow ok makasih ilmunya bang

@ibadnurhamim9115 2 ай бұрын

Wah mantul kang, sekalian izin tanya kalo misal kita pake private network trus yang di allow di BE nya hanya dari FE nya apakah bisa juga kang?

@ProgrammerZamanNow 2 ай бұрын

selama BE bisa diakses via internet oleh user, tetep bisa

@ibadnurhamim9115 2 ай бұрын

@@ProgrammerZamanNow oh oke, makasih kang

@FullStack_OverFlow 2 ай бұрын

Terimakasih Atas Tutorial nya, boleh minta solusinya kang cara mengatasi Laravel CSRF token di reject karena race condition (ada 2 form submit secara bersamaan)

@dwinurhadiansyah7594 2 ай бұрын

mantap sekali pak materinya, terima kasih aku cuma penasaran mau tanya pakai editor code apa ya pak?

@ProgrammerZamanNow 2 ай бұрын

JetBrains

@muhammaddwilaksono Ай бұрын

info text editor yang digunakan apa?

@nailachan9626 Ай бұрын

Intellij Idea nga tau versi yang comunity ato ultimate

@muhammaddwilaksono Ай бұрын

@@nailachan9626 makasih bang

@sadidairfan3270 2 ай бұрын

pak csrf itu diterapkan di BE ya gmn kalau BE ama FE dipisah brt di fe setiap ada tampilan form harus ambil token juga ya dengan funtion generate csrf yang disediakan oleh BE ya (kasusnya web tidak pakai authentikasi)

@ProgrammerZamanNow 2 ай бұрын

kalo JSON API, gak perlu csrf lagi, udah aman

@kiruakinagi7117 2 ай бұрын

@@ProgrammerZamanNow amannya gimana? bukannya bisa dari website apa saja akses? kalo check origin bukannya bisa set header juga ya?

@skidipap6673 2 ай бұрын

@@kiruakinagi7117 karena tinggal kasih token_required di endpointnya

@manfromeridani 2 ай бұрын

@@kiruakinagi7117Karena pake API token nya. Kecuali api nya ga dibuat secure dgn token

@sadidairfan3270 2 ай бұрын

@@ProgrammerZamanNow kalau json api di backend ndak ada muddleware untuk cek token atau pakai cors, dll send request dari web luar tetap dijalankan ya pak

@fluxcaruso345 2 ай бұрын

Kalo untuk aplikasi mobile apa butuh csrf token juga kang?

@ProgrammerZamanNow 2 ай бұрын

gak butuh

@nolep5555 2 ай бұрын

Masih bingung. Apa jwt di header dan di validasi di be aja kurang?

@candrasaputra8827 Ай бұрын

beda case bang, ini case nya UI dan Backend jadi satu.

@kurniaadi5684 2 ай бұрын

Kalau valuenya diinject ditengah2 saat mengirim data bagaimana cara mengatasinya? Misalnya ketika post data dibutuhkan waktu 10 detik, kemudian di detik ke 5 ada inject data

@ProgrammerZamanNow 2 ай бұрын

gimana cara inject datanya? kecuali kamu pake jaringan internet gratisan dan ternyata yang kasih jaringan gratisannya itu orang jahat

@anjarwilujeng Ай бұрын

Joss bang

@nailachan9626 Ай бұрын

tapi kalo si hengkel nge buka web asli nya di background dan abis itu ngambil token dari web asli tsb? bisa jebol ato ga?

@ProgrammerZamanNow Ай бұрын

gak bisa

@fajarnh 2 ай бұрын

Keren pak, tapi ketika web jahat tersebut membuka terlebih dahulu web transfer untuk mendapatkan tokennya, apakah masih bisa melakukan transfer pak ? atau tidak bisa karena csrf token ini hanya bisa digunakan oleh client-side yang sudah ditentukan sebelumnya ?

@ProgrammerZamanNow 2 ай бұрын

kalo web jahat ngelakuin ajax get ke form, gak bisa karena pasti error CORS kalo web jahat call via server, token nya bisa di set per user, jadi token si orang jahat pasti beda dengan token punya user

@jmz0411 2 ай бұрын

untuk form yang open kaya contact us gimana pak eko? apakah pakai captcha aja cukup?

@ProgrammerZamanNow 2 ай бұрын

pake captca lebih sulit lagi di hack, tapi dari sisi user kurang bagus experience nya

@charismaaji 2 ай бұрын

Kalau misalkan si hacker bener bener niat sampe pasang endpoint buat dapetin one time token nya gimana itu pak?

@b0ysb3 2 ай бұрын

Kalau dengan aplikasi web SPA seperti reactJS bagaimana cara secure nya bang Eko?

@ProgrammerZamanNow 2 ай бұрын

jangan pake form post, pake json api aja

@b0ysb3 2 ай бұрын

@@ProgrammerZamanNow kalau itu pakai ajax call ya berarti? apakah pakai jwt saja cukup bang?

@andibachtiar8788 2 ай бұрын

@@b0ysb3SPA bisa pake JWT

@deadsmile2011 15 күн бұрын

token tu apa? login ke mas?

@kucluxyxy 2 ай бұрын

bang coba bahas serangan yang lainnya selain CSRF 😁

@sahaAing.p 2 ай бұрын

pak, kalau bahas tentang data encryption, mungkin ada aplikaei finance dan gman caranya gk biss di decryot ps do inspect

@ProgrammerZamanNow 2 ай бұрын

kalo di enkripsi, selama orang gak punya key untuk decryppt, dia gak akan di decrypt

@kalbzaffina 2 ай бұрын

kalau gapake form post, tapi pake fetch atau axios gitu untuk ngirim datanya, apakah ga bakal kena CSRF?

@ProgrammerZamanNow 2 ай бұрын

selama pake nya JSON API , gak perlu

@kalbzaffina 2 ай бұрын

@@ProgrammerZamanNow makasih om

@my_online_logs 2 ай бұрын

@@ProgrammerZamanNow tergantung authnya pakai apa ga sih bang? kalau pakai cookie karena browser secara otomatis mengirimkan cookie bahkan ke domain yang berbeda kalau ga disetting dengan benar, cookie harus disetting same site agar kemudian dilapisi csrf token tapi tokennya jangan dikirim ke dalam cookie, dikirim lewat json kayak biasanya dan setting cors origin hanya ke url frontend jangan disetting * (bintang) yang mengizinkan semua url apapun, kalau pakai token lebih aman terhadap csrf tapi bisa dicuri juga tokennya :v

@wanndev-code 2 ай бұрын

pak, pliss bahas django framework🙏🙏

@dinarwijaksono9493 2 ай бұрын

kalo udah nerapin csrf token, gk bisa lagi ngetesting misal pake insomnia / jmeter ya? atau gimnaa ya?

@ProgrammerZamanNow 2 ай бұрын

iya, gak bisa, harus manual ambil dulu token nya

@muhammadiqrom3236 2 ай бұрын

Kalau udah make auth token buat tiap request API apakah masih harus nerapin csrf token ? (Auth token kan biasanya durasinya lama, min sehari)

@ProgrammerZamanNow 2 ай бұрын

kalo masih ada form post, wajib pake csrf

@muhammadiqrom3236 2 ай бұрын

@@ProgrammerZamanNow ok pak siap

@GabrielFermy 2 ай бұрын

tujuannya kan beda mas. Auth token kaya jwt itu buat authentikasi user. sementara csrf kan buat validasi kalo asal request memang dari form resmi dari kita. csrf ini kaya watermark di slip isian di bank. semua juga bisa bikin bentuk lembar isian yang serupa tapi ada kaya watermark nya di balik tinta yang tak terlihat yang menunjukkan kalo itu memang lembar isian resmi yang dicetak si bank. kalo petugas bank ga menemukan watermark yang benar di lembar yang kamu kembalikan, walau pun data yang di isi benar, tetap di tolak. nah auth token setelah validasi watermark tadi lewat maka auth token nya di validasi lagi dengan method validasi yang khusus sendiri buat auth token tadi. seharusnya sih best practice nya seperti itu.

@egipebriyawan1455 2 ай бұрын

kalau saya buka browser tab baru, kemudian login ke website saya. terus di close tab nya. dan kemudian saya klik link hackernya. apakah bisa kena csrf juga ? 🤔

@ProgrammerZamanNow 2 ай бұрын

bisa

@yogisatya6961 2 ай бұрын

Untuk case api yang akan diakses mobile apps gimana pak?

@ProgrammerZamanNow 2 ай бұрын

gak perlu csrf

@maulanairfan4371 2 ай бұрын

buat diagram nya pake software apa pak?

@ProgrammerZamanNow 2 ай бұрын

excalidraw

@levihookofficial 2 ай бұрын

bang kalo nyimpen jwt token dmna?

@AdnanErlansyah-nx7xp 2 ай бұрын

Kang, bahas soal race condition dong buat di laravel dan juga php. terus gmana cara nanganin kasusnya.

@nichola.7187 2 ай бұрын

sudah pernah membahas kalau gak salah

@khalidabdullah3972 2 ай бұрын

klo ga salah udah pernah di jelasin kang cuma studi kasusnya di database

@prasw428 2 ай бұрын

perlu nggak kang kita encrypt token, supaya user juga nggak nakal sama tokennya ?

@ProgrammerZamanNow 2 ай бұрын

gak terlalu berguna

@madhasan5747 Ай бұрын

Bang bukan nya bisa pake library cors buat menghindari hal hal seperti ini

@trisna_cb 2 ай бұрын

Next XSS Filter input di form kang

@marioanjeliko5010 2 ай бұрын

kalau udh make laravel,atau fe react js vue dll sih xss udh kerender , kalau laravel udh ditolak sih harus pakai {!! !!}

@david.arl14 2 ай бұрын

itu case untuk server side rendering pak bs insert ketika di server, kalau client side rendering seperti mobile / reactjs apakah masih bisa?

@ProgrammerZamanNow 2 ай бұрын

Kalo form post tetep bisa

@mustofa_id 2 ай бұрын

kalau maksudnya untuk proteksi tambahan di client side, mungkin bisa pake captcha.

@david.arl14 2 ай бұрын

@@ProgrammerZamanNow eh lebih ke cara dapetin token csrf nya pak, apakah lewat api get token nya?, problemnya kalau lewat api kan mudah juga di request oleh web lain juga

@pakheri1554 2 ай бұрын

pake oauth mungkin maksudnya

@david.arl14 2 ай бұрын

maksudnya kalau app PWA, apa bisa CSRF tokennya diambil lewat api

@bayuprasetya7481 2 ай бұрын

apakah ini juga bakal terjadi di laravel?

@ProgrammerZamanNow 2 ай бұрын

laravel sudah punya csrf protection

@danidan-d6q 2 ай бұрын

csrf dan captcha adalah jalan ninjaku

@hesty7618 2 ай бұрын

Dan pemain CARDING SERTA WEB DEVELOPMENT SUKA NEBAR PHISING CC FULL SENYUM DGN VIDEO INI

@andibachtiar8788 2 ай бұрын

Senyum kenapa?

@KickyMaulana_ID 2 ай бұрын

mas eko. buatin tutorial udemy laravel livewire

@ProgrammerZamanNow 2 ай бұрын

iya, udah ada rencana

@yusup-dev 2 ай бұрын

kang ada source codenya gak?

@wahyuwijaya3176 2 ай бұрын

bukannya bisa juga ya kalo kita pakai CORS? jadi cuma ip tertentu yang bisa hit API kita

@ProgrammerZamanNow 2 ай бұрын

CORS itu kalo di web berbeda domain, ngakses ajax call ke domain lain form post itu bukan ajax call

@melffy 2 ай бұрын

CORS tuh browser things ga sih? Kalau dari server ga guna ada CORS tetep bisa

@novianindy887 2 ай бұрын

@@ProgrammerZamanNow kalau pakai request pakai ajax, bisa jalan gak?

@ProgrammerZamanNow 2 ай бұрын

@@novianindy887 ditolak browser, karena CORS

@mynamekenny 2 ай бұрын

@@ProgrammerZamanNow By default setiap browser akan aktif untuk CORSnya. Cuman itu bisa didisable. Nahh makanya teman-teman jangan didisable yaa web securitynya.

@MrNuganteng 2 ай бұрын

apa yg menghalangi hacker buat scraping bot yg secara otomatis ngambil csrf token `dari form kita terus tempel di form hacker ya bang? edit: ternyata udh ada yg tanya di pinned comment

@itaamelia6715 2 ай бұрын

Emang web bot bisa scrapping halaman web yg harus login dulu, kecuali komputer clientnya terinfeksi virus mungkin

@hazgan12 2 ай бұрын

Kalau token nya taruh di local storage gmna itu ko? Biasanya kan di fe suka pkai localstorage & persist biar gampang ambil2 data token nya & ngirim token nya pakai header ex: token-transfer.

@ProgrammerZamanNow 2 ай бұрын

kalo dari FE ke BE pake ajax JSON API, aman2 aja, gak butuh CSRF lagi

@hazgan12 2 ай бұрын

@@ProgrammerZamanNow makasih info nya.

@my_online_logs 2 ай бұрын

@GabrielFermy 2 ай бұрын

kok fe sih yang harus generate token? yakin workflownya udah bener kalo gitu mah.

@my_online_logs 2 ай бұрын

@@GabrielFermy lu salah memahami bang >< maksudnya dia itu tokennya aman ga disimpan di localstorage, karena biasanya token di frontend disimpan di localstorage, lalu token itu dikirim ke backend ditempatin di header tiap request api form tersebut dengan nama headernya token-transfer

@dimasandrianoh3811 2 ай бұрын

Ini kalau fe be dipisah dan pakek rest api bisa kena gituan bang?

@ProgrammerZamanNow 2 ай бұрын

kalo pake JSON API, aman

@my_online_logs 2 ай бұрын

@AdnanErlansyah-nx7xp 2 ай бұрын

tp keknya kalo udh ada validasi authroization msh bisa diamanin deh, walaupun msh ada peluang sih.

@ProgrammerZamanNow 2 ай бұрын

justru ngincer yang udah login

@muadz8646 2 ай бұрын

biasaa pake laravel tinggal tambahin @csrf didalem formnya. pas pindah pake nextjs jadi bingung gimana implementasinya, masih ngulik" lagi 😂😂

@ProgrammerZamanNow 2 ай бұрын

biasanya udah ada sih di framework2

@PutuYasaChannel 2 ай бұрын

Lalu untuk kasus yang dimana FE sama BE dipisahkan dan menggunakan access token seperti jwt, apakah perlu juga pakai CSRF?

@ProgrammerZamanNow 2 ай бұрын

kalo via JSON API, gak butuh

@my_online_logs 2 ай бұрын

@leksetengah 2 ай бұрын

berarti pelaku serangan CRSF harus tau nama table database dan passwornya dong? kalo ga tau ga bisa kan?

@ProgrammerZamanNow 2 ай бұрын

gak perlu, cukup tahu form nya aja

@itaamelia6715 2 ай бұрын

Serau gue kl ada auth nya harus dapat auth token atau cookiesny jg

@W3id 2 ай бұрын

Pak maaf saya request playlist framework Angular dari 0 sampai bisa pak 🙏🏼

@ProgrammerZamanNow 2 ай бұрын

mending vue atau reactjs aja

@W3id 2 ай бұрын

@@ProgrammerZamanNow baik pak terima kasih sarannya. Saya masih 0 banget soalnya pak 😅

@ekasatriabahari2264 2 ай бұрын

kalo di form post pake CRSF gmn mas?

@ProgrammerZamanNow 2 ай бұрын

sudah dibahas di video nya

@ekasatriabahari2264 2 ай бұрын

@@ProgrammerZamanNow iya kelewatan td kebanyakan fast forward wkwkw Kalo routes diprotect pke login session gmn??

@ProgrammerZamanNow 2 ай бұрын

@@ekasatriabahari2264 justru hacker itu ngincer yang udah login

@matriks_yang_bikin_bingung 2 ай бұрын

Belum bisa komen apa2, belum nyampe situ pak.

@ProgrammerZamanNow 2 ай бұрын

Semangat

@matriks_yang_bikin_bingung 2 ай бұрын

@@ProgrammerZamanNow request course pyhon web programming bang, pengen yg tenik, kalo di yutub kebanyakan tutor ny yg langsung bikin bussines logic terus, malah langsung bikin web UI nya.