Frage zu CSRF

[Dieter (Gast)]

Hi zusammen,

ich habe im Internet gelesen, dass man per CSRF im Kontext eines 
irgendwo angemeldeten Users schabernack treiben kann:

https://poe-php.de/sicherheit/was-ist-cross-site-request-forgery-csrf

Als Beispiel wird Facebook genannt, wo ohne CSRF-Gegenmaßnahmen ein 
ungewollter Formular-POST ausgelöst werden könnte. Ein Formular-Token 
soll wohl Abhilfe schaffen.
Hier frage ich mich, warum der Angreifer nicht zuerst ein GET sendet, 
dadurch ein frisches Token erhält und dann den POST mit eben diesem 
gültigen Token zurück an Facebook sendet?
Mache ich einen Denkfehler oder wie genau funktioniert jetzt der Schutz 
gegen CSRF durch Tokens?

Grüße...Dieter

[TestX (Gast)]

Der Trick ist ja, dass man per Weiterleitung irgendeinen scheiß mit 
"seiner" Session auslöst. Den Token kann sich die andere Webseite 
allerdings nicht klauen, da diese keinen Zugriff auf die Session hat..

[Daniel A. (daniel-a)]

Dieter schrieb:
> Hier frage ich mich, warum der Angreifer nicht zuerst ein GET sendet,
> dadurch ein frisches Token erhält und dann den POST mit eben diesem
> gültigen Token zurück an Facebook sendet?

Das geht nicht wegen der same-origin policy, ausser man hat CORS 
ungünstig eingerichtet: 
https://en.m.wikipedia.org/wiki/Same-origin_policy