0

Стандартная ситуация - обработка HTML-формы в Django. В шаблоне в форме прописан {% csrf_token %}, как и полагается. Стоит задача реализовать простенький функционал в ajax-функции методами чистого JS, т.е. через объект XMLHttpRequest. Чтобы эта функциональность работала с Django, необходимо в заголовок объекта XMLHttpRequest передать сам csrf_token. Значение токена берётся JS-скриптом из куки сайта командой:

var csrfCookie = document.cookie.match(/csrftoken=([\w-]+)/); 

и вставляется в заголовок HTTP-запроса:

Request = new XMLHttpRequest();
Request.setRequestHeader("X-CSRFToken", csrfCookie);

Значение токена корректно, однако всегда одно и тоже, в то время, как значение токена в шаблоне всегда разное, как и должно быть. В связи с этим возникает ошибка несоответствия токенов при отправке запроса на сервер. Вопрос несоответствия токенов на данный момент, конечно, решен, но обходным путём с помощью взятия значения текущего токена через hidden input в HTML-форме, который использует Django для этих целей:

<input type="hidden" name="csrfmiddlewaretoken" value="CSRF-токен">

Значения текущего токена скрытого поля формы:

var csrfCookie = document.getElementsByName("csrfmiddlewaretoken")[0].value;

Теме не менее, принципиально вопрос остается открытым, поскольку непонятно, почему в куках стоит одно и то же значение CSRF-токена. Кстати, документация django предлагает JS-скрипт функцию для взятия этого значения и опять же через обработку куков.

По этому поводу два вопроса: 1. Почему в данном случае не меняется значение CSRF-токена в куках при каждом обновлении страницы с HTML-формой, в то время, как токен внутри самой формы всегда разный. 2. И где тут, собственно, безопасность, когда значение токена возможно взять из куков либо из hidden input'а самой формы??

2 ответа 2

1

Пример CSRF атаки (из википедии) Атака осуществляется путём размещения на веб-странице ссылки или скрипта, пытающегося получить доступ к сайту, на котором атакуемый пользователь заведомо (или предположительно) уже аутентифицирован. Например, пользователь Алиса может просматривать форум, где другой пользователь, Боб, разместил сообщение. Пусть Боб создал тег , в котором в качестве источника картинки указал URL, при переходе по которому выполняется действие на сайте банка Алисы, например: Боб: Привет, Алиса! Посмотри, какой милый котик: <img src="http://bank.example.com/withdraw?account=Alice&amount=1000000&for=Bob"> Если банк Алисы хранит информацию об аутентификации Алисы в куки, и если куки ещё не истекли, при попытке загрузить картинку браузер Алисы отправит куки в запросе на перевод денег на счёт Боба, чем подтвердит аутентификацию Алисы. Таким образом, транзакция будет успешно завершена, хотя её подтверждение произойдет без ведома Алисы. Иначе говоря, куки не гарантируют, что форму создал именно Алиса. Они только удостоверяют личность, но не данные.

Типичный способ защиты сайтов – это «секретный ключ» (secret), специальное значение, которое генерируется случайным образом и сохраняется в сессии посетителя. Его знает только сервер, посетителю мы его даже не будем показывать.

1 значение CSRF-токена в куках не меняется потому что по умолчанию значение CSRF_COOKIE_AGE 31449600 (1 год, в секундах). токен внутри самой формы разный потому что он генерируется с помощью django.middleware.csrf.CsrfViewMiddleware и секретного ключа на сервере(на основе кук).Не зная секретный ключ невозможно сгенерировать token, который сервер воспримет как правильный.

2 Значение токена возможно будет взять только в случае если у кого-то есть доступ к компьютеру пользователя. Но тогда ему вообще CSRF не нужен, т.к. есть куда более простые способы отправить запрос самому.

0

Из документации Django (перевод)

Как это работает:

Защита CSRF основана на следующих вещах:

Файл cookie CSRF, основанный на случайном секретном значении, к которому другие сайты не будут иметь доступа.

Этот файл cookie устанавливается CsrfViewMiddleware. Он отправляется с каждым ответом, который вызвал django.middleware.csrf.get_token() (функция, используемая внутри для получения токена CSRF), если он еще не был установлен в запросе.

Для защиты от атак BREACH токен не просто секрет; случайная соль добавляется к секрету и используется для его шифрования.

По соображениям безопасности значение секрета изменяется каждый раз, когда пользователь входит в систему.

Скрытое поле формы с именем «csrfmiddlewaretoken» присутствует во всех исходящих формах POST. Значение этого поля, опять же, значение секрета с солью, которая добавляется к нему и используется для его шифрования. Соль регенерируется при каждом вызове get_token(), так что значение поля формы изменяется в каждом таком ответе.

Эта часть выполняется тегом шаблона.

Для всех входящих запросов, которые не используют HTTP GET, HEAD, OPTIONS или TRACE, должен присутствовать файл cookie CSRF, и поле «csrfmiddlewaretoken» должно присутствовать и быть правильным. Если это не так, пользователь получит ошибку 403.

При проверке значения поля «csrfmiddlewaretoken», только секрет, а не полный токен, сравнивается с секретом в значении cookie. Это позволяет использовать постоянно меняющиеся токены. Хотя каждый запрос может использовать свой собственный токен, секрет остается общим для всех.

Эта проверка выполняется CsrfViewMiddleware.

Кроме того, для запросов HTTPS CsrfViewMiddleware выполняет строгую проверку ссылок. Это означает, что даже если поддомен может устанавливать или изменять файлы cookie в вашем домене, он не может заставить пользователя публиковать в вашем приложении, поскольку этот запрос не будет поступать из вашего собственного точного домена.

Это также относится к атаке «человек посередине», которая возможна под HTTPS при использовании секрета, независимого от сеанса, из-за того, что заголовки HTTP Set-Cookie принимаются (к сожалению) клиентами, даже когда они общаются с сайтом по HTTPS , (Проверка Referer не выполняется для HTTP-запросов, поскольку наличие заголовка Referer недостаточно надежно при HTTP.)

Если установлен параметр CSRF_COOKIE_DOMAIN, реферер сравнивается с ним. Этот параметр поддерживает субдомены. Например, CSRF_COOKIE_DOMAIN = '.example.com' разрешит запросы POST от www.example.com и api.example.com. Если настройка не установлена, то реферер должен соответствовать заголовку HTTP Host.

Расширение допустимых рефереров за пределы текущего хоста или домена cookie можно выполнить с помощью параметра CSRF_TRUSTED_ORIGINS.

Это гарантирует, что только формы, полученные из доверенных доменов, могут быть использованы для возврата данных POST.

Он намеренно игнорирует запросы GET (и другие запросы, которые определены как «безопасные» в RFC 7231 # section-4.2.1). Эти запросы никогда не должны иметь потенциально опасных побочных эффектов, поэтому атака CSRF с помощью запроса GET должна быть безвредной. RFC 7231 # section-4.2.1 определяет POST, PUT и DELETE как «небезопасные», и все другие методы также считаются небезопасными для максимальной защиты.

Защита CSRF не может защитить от атак «человек посередине», поэтому используйте HTTPS с HTTP Strict Transport Security. Это также предполагает проверку заголовка HOST и отсутствие каких-либо уязвимостей межсайтового скриптинга на вашем сайте (поскольку уязвимости XSS уже позволяют злоумышленнику сделать все, что позволяет уязвимость CSRF, и намного хуже).

Ваш ответ

Нажимая на кнопку «Отправить ответ», вы соглашаетесь с нашими условиями использования и подтверждаете, что прочитали и поняли наши политику конфиденциальности и нормы поведения.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.