WEB31 / LATIHAN MEMAHAMI RANCANGAN
CSRF: perubahan tanpa niat pengguna
Masih dalam pengembangan. Belajar pelan-pelan. Gunakan komputer sendiri dan data contoh.
Isi pelajaran ini
Kita belajar apa?
CSRF dapat membuat browser mengirim permintaan yang tidak dimaksudkan pengguna. Hal ini berkaitan dengan kredensial yang ikut terkirim otomatis. Kita belajar lewat gambar dan tabel, tanpa membuat permintaan ke akun nyata.
Bayangkan seperti ini
Seperti formulir titipan yang disalahgunakan seolah-olah kamu sendiri yang memintanya.
Arti kata yang mungkin baru
- server
- program yang menerima permintaan lalu memberi jawaban
- browser
- aplikasi untuk membuka website
Penjelasan tambahan jika kamu ingin tahu lebih jauh
CSRF memanfaatkan browser yang mengirim kredensial secara otomatis untuk request yang tidak diinginkan pengguna. Kontrol membutuhkan desain aplikasi seperti token CSRF dan verifikasi origin sesuai konteks; SameSite membantu tetapi tidak selalu cukup. Latihan ini review desain, bukan server CSRF tambahan.
Persiapan
Siapkan catatan dan baca panduan perangkat. Pakai data buatan, bukan data pribadi. Baca satu langkah, kerjakan, lalu periksa hasilnya sebelum melanjutkan.
Pelajaran ini tidak meminta kamu menjalankan server lab. Siapkan aplikasi atau file yang disebut pada langkah latihan di bawah.
Langkah latihan
- Gambar pengguna yang sudah masuk ke aplikasi.
- Gambar situs lain yang mencoba memicu perubahan data.
- Tambahkan kode pemeriksaan khusus pada formulir sebagai rancangan perlindungan.
- Buat kasus kode benar, hilang, salah, dan milik sesi lain.
- Tulis bahwa hanya permintaan yang sah boleh diterima server.
Hasil yang diharapkan
Kamu dapat menjelaskan risiko dan empat kasus uji rancangan CSRF.
Bandingkan dengan hasilmu sendiri. Jika berbeda, tulis apa yang terlihat lalu baca bagian bantuan di bawah. Jangan mengaku berhasil jika langkahnya belum kamu coba.
Jika terhambat
Berhenti sebentar dan baca pesan yang muncul. Periksa nama file, folder, alamat, dan apakah program latihan masih berjalan. Ulangi satu langkah saja. Jika tetap bingung, minta bantuan guru atau pendamping; jangan mematikan keamanan perangkat.
Petunjuk khusus untuk pelajaran ini
Jangan membuat halaman untuk mengirim request ke akun nyata. GET pada lab hanya simulasi dan bukan desain perubahan state produksi.
Apa yang perlu kamu catat?
Tulis langkah yang kamu lakukan dan hasil yang benar-benar terlihat. Tambahkan satu kalimat: “Saya belajar bahwa …”. Untuk latihan menggambar, simpan gambar dan jawabanmu.
Cek pemahamanmu
Apa yang harus diuji ketika token CSRF tidak ada atau dari session berbeda?
Buka pembahasan
Server harus menolak operasi yang membutuhkan proteksi itu. Token benar dan session sah tetap perlu uji positif.
Tantangan mandiri
Mengapa konfirmasi UI saja tidak melindungi endpoint?
Pedoman penilaian tantangan
Jawaban harus sesuai hasil aktual, menyebut batas kesimpulan, dan tidak keluar scope. Gunakan langkah serta hasil harapan pelajaran sebagai pembanding; nilai 0 bila belum ada, 1 bila sebagian, 2 bila jelas dan dapat ditinjau.
Perbaikan & retest
Gunakan mekanisme anti-CSRF framework, method sesuai, dan kebijakan cookie yang tepat.