XSS, CSRF, SSRF — সার্ভার যখন ভুল জিনিস বিশ্বাস করে

লক্ষ্য: CSRF token আর SameSite cookie আলাদা আলাদা কী আটকায় আর একসাথে কেন বেশি শক্তিশালী — এই দুইটা প্রশ্নের উত্তর কোডে চালিয়ে দেখা, শুধু prose-এ পড়া নয়।

# csrf_defense.py — CSRF token + SameSite cookie, একসাথে defense-in-depth
import hashlib, hmac

SERVER_SECRET = b"server-only-secret-signing-key!!"

def issue_csrf_token(session_id):
    # session-bound token — HMAC(secret, session_id), attacker session_id জানলেও secret ছাড়া token বানাতে পারবে না
    return hmac.new(SERVER_SECRET, session_id.encode(), hashlib.sha256).hexdigest()

class Cookie:
    def __init__(self, session_id, samesite):
        self.session_id = session_id
        self.samesite = samesite   # 'None' | 'Lax' | 'Strict'

    def sent_on_request(self, request_is_cross_site, method):
        if self.samesite == "None":
            return True
        if self.samesite == "Strict":
            return not request_is_cross_site
        # Lax: cross-site-তেও পাঠায় শুধু top-level GET navigation-এ (form auto-submit POST-এ না)
        if self.samesite == "Lax":
            if not request_is_cross_site:
                return True
            return method == "GET"
        return False

def handle_transfer(cookie, form_csrf_token, request_is_cross_site, method="POST"):
    if not cookie.sent_on_request(request_is_cross_site, method):
        return "REJECTED: কোনো session cookie-ই পৌঁছালো না ব্রাউজার (SameSite) — request unauthenticated"
    expected = issue_csrf_token(cookie.session_id)
    if form_csrf_token != expected:
        return "REJECTED: CSRF token ভুল/অনুপস্থিত — request authenticated কিন্তু untrusted origin থেকে"
    return "ACCEPTED: session valid + token valid -> transfer executed"

session_id = "victim-session-abc123"
victim_token = issue_csrf_token(session_id)

print("-- সিনারিও ১: কোনো ডিফেন্স নেই (SameSite=None, কোনো CSRF token check নেই) --")
cookie_none = Cookie(session_id, samesite="None")
print("cross-site forged form, attacker token জানে না, token check বন্ধ:",
      "ACCEPTED (attack succeeds!)" if cookie_none.sent_on_request(True, "POST") else "REJECTED")

print()
print("-- সিনারিও ২: শুধু CSRF token চালু, SameSite=None --")
print("attacker cross-site form (token নেই):",
      handle_transfer(cookie_none, form_csrf_token="", request_is_cross_site=True))
print("legit same-site form (token আছে):     ",
      handle_transfer(cookie_none, form_csrf_token=victim_token, request_is_cross_site=False))

print()
print("-- সিনারিও ৩: শুধু SameSite=Lax, কোনো CSRF token check নেই --")
cookie_lax = Cookie(session_id, samesite="Lax")
print("attacker cross-site POST form:",
      "cookie sent? " + str(cookie_lax.sent_on_request(True, "POST")))
print("attacker cross-site GET (top-level link click):",
      "cookie sent? " + str(cookie_lax.sent_on_request(True, "GET")))

print()
print("-- সিনারিও ৪: দুইটাই একসাথে — SameSite=Lax + CSRF token (production recommendation) --")
print("attacker cross-site POST form (token নেই, cookie-ই পৌঁছাবে না):",
      handle_transfer(cookie_lax, form_csrf_token="", request_is_cross_site=True))
print("legit same-site form (cookie + token দুই-ই ঠিক):              ",
      handle_transfer(cookie_lax, form_csrf_token=victim_token, request_is_cross_site=False))

প্রত্যাশিত output (deterministic — হুবহু এটাই আসবে):

-- সিনারিও ১: কোনো ডিফেন্স নেই (SameSite=None, কোনো CSRF token check নেই) --
cross-site forged form, attacker token জানে না, token check বন্ধ: ACCEPTED (attack succeeds!)

-- সিনারিও ২: শুধু CSRF token চালু, SameSite=None --
attacker cross-site form (token নেই): REJECTED: CSRF token ভুল/অনুপস্থিত — request authenticated কিন্তু untrusted origin থেকে
legit same-site form (token আছে):      ACCEPTED: session valid + token valid -> transfer executed

-- সিনারিও ৩: শুধু SameSite=Lax, কোনো CSRF token check নেই --
attacker cross-site POST form: cookie sent? False
attacker cross-site GET (top-level link click): cookie sent? True

-- সিনারিও ৪: দুইটাই একসাথে — SameSite=Lax + CSRF token (production recommendation) --
attacker cross-site POST form (token নেই, cookie-ই পৌঁছাবে না): REJECTED: কোনো session cookie-ই পৌঁছালো না ব্রাউজার (SameSite) — request unauthenticated
legit same-site form (cookie + token দুই-ই ঠিক):               ACCEPTED: session valid + token valid -> transfer executed

চারটা সিনারিওর গল্প: সিনারিও ১-এ কিছুই আটকায়নি — ACCEPTED (attack succeeds!)। সিনারিও ২-এ token-ই একমাত্র রক্ষক, আর সেটা কাজ করেছে — কিন্তু লক্ষ্য করুন cookie তখনও cross-site request-এ পৌঁছে গিয়েছিল (SameSite=None), শুধু token-mismatch আটকাল। সিনারিও ৩ সবচেয়ে interesting — cross-site POST-এ cookie-ই পৌঁছায়নি (False), অথচ cross-site GET-এ পৌঁছেছে (True) — এটাই Lax-এর সংজ্ঞা: top-level navigation link-এ cookie পাঠানো (যাতে normal cross-site link-click কাজ করে) কিন্তু hidden auto-submit form-এর মতো POST-এ না। সিনারিও ৪-এ attacker-এর request token-check পর্যন্ত পৌঁছানোরই সুযোগ পায়নি — cookie নিজেই আসেনি — অথচ legit same-site user-এর জন্য কিছুই বদলায়নি।

নিজে বাড়ান:

1. Cookie.sent_on_request-এ SameSite=Strict দিয়ে চারটা সিনারিও আবার চালান — কোন বাস্তব use-case-এ Strict ব্যবহারকারীর নিজের জন্যই অসুবিধাজনক হতে পারে (ইঙ্গিত: bank.com-এর লিংক অন্য সাইট থেকে click করলে)?
2. issue_csrf_token-এ session_id-এর বদলে যদি constant string ব্যবহার করা হতো (সব user-এর জন্য একই token), attacker-এর জন্য কী সহজ হয়ে যেত?
3. handle_transfer-এ GET-based transfer endpoint (/transfer?to=X&amount=Y) ব্যবহার করলে SameSite=Lax-এর “top-level GET” ব্যতিক্রমটাই কি একটা নতুন ফাঁক খুলে দেয়? যুক্তি দিন কেন state-changing অপারেশন কখনো GET-এ হওয়া উচিত না।