1

У меня есть два домена "http://basic" и "http://test". Я хочу отправить отправить запрос с домена "http://test" на домен "http://basic" с подмененным csrf токеном.

Как это выглядит Шаг 1. На домене "http://basic" в htaccess разрешаю отправку X-CSRF-Token - токенов, разрешаю отправку методом POST, и разрешаю запросы с любых доменов

Header always set Access-Control-Allow-Origin "*"
Header always set Access-Control-Allow-Methods "POST"
Header always set Access-Control-Allow-Headers "X-CSRF-Token"

Далее на домене "http://test" размещаю следующий скрипт:

Шаг 2. Беру токен с домена "http://basic"

<?php
preg_match_all('/name="csrf-token" content="(.*?)"/', file_get_contents("http://basic/web/index.php?r=new/show"), $t);
$token=$t[1][0];
?>

Шаг 3. Отправляю токен на тот же домен "http://basic/"

$.ajax({
    type: "POST",
    url: "http://basic/web/index.php?r=new/post",
    beforeSend: function(xhr){xhr.setRequestHeader('X-CSRF-Token', '<?=$token?>');},
    success: function(data){
        alert( data );
    }
});

Ожидаю ответа от контроллера. Ответ "400 Bad Request".

Что я делаю не так?

6
  • Во-первых, вы уверены, что сайт basic вообще учитывает существование X-CSRF-Token? Во-вторых, вы проверили, что в <?=$token?> действительно подставляется значение?
    – andreymal
    3 мая 2020 в 20:42
  • "вы уверены, что сайт basic вообще учитывает существование X-CSRF-Token" - да уверен. На basic - размещен Yii2 а там CSRF по умолчанию включен. А специально в контроллере я его не отключал. "действительно подставляется значение" - да значение токена точно подставляется это видно в Sources
    – Misha
    3 мая 2020 в 20:54
  • 1
    Код состояния ответа "HTTP 400 Bad Request" указывает, что сервер не смог понять запрос из-за недействительного синтаксиса. Если посмотреть на эту выдержку, то понятно что запрос сформирован некорректно и токен тут не причем. Подскажите, а зачем вам это ? 3 мая 2020 в 21:52
  • Просто сейчас разбираюсь безопасностью веб приложений, а конкретно изучаю csrf атаки. Прочел вот эту статью habr.com/ru/company/oleg-bunin/blog/412855. Там в качестве одного из способов защиты от csrf атак был описан csrf токен. И я не согласен со следующим выводом из этой статьи "Так как атакующий не знает токен, то классическая CSRF-атака не работает." - вот этот вывод на мой взгляд НЕ ВЕРНЫЙ. Так как "злоумышленник" может взять этот csrf токен обычной регуляркой(как я это сделал в моем примере). В этом случае запрос уйдет на сервер, и данный тип защиты не сработает.
    – Misha
    3 мая 2020 в 22:32
  • "HTTP 400 Bad Request" - также может указывать на некорректный csrf токен. А почему мой запрос некорректный, в чем там ошибка?
    – Misha
    3 мая 2020 в 22:43

1 ответ 1

2

вот этот вывод на мой взгляд НЕ ВЕРНЫЙ.

Какое забавное проявление эффекта Даннинга-Крюгера :)
Могу порекомендовать и другие выводы, с которыми тоже можно понесоглашаться. Например, что земля круглая.

А если сеньёзно, то с чего вы решили что для разных клиентов токен будет один и тот же?
Спойлер: он будет разный. В чём, собственно, и состоит простейший механизм работы CSRF токенов.

3
  • "Спойлер: он будет разный" - вот в этом то и беда. Я просто не могу понять почему там другой токен.
    – Misha
    4 мая 2020 в 22:19
  • А я не могу понять, почему он может быть одинаковый 4 мая 2020 в 23:25
  • Ну да все верно. Дело в том что при каждом запросе он генерирует новый csrf и записывает его в кукесы, и beforeAction сравнивает csrf из кукесов с csrf из формы, перед тем как вызвать контроллер. В случае когда запрос происходит с другого домена, кукесы пустые, и поэтому он генерирует новый csrf, которые уже конечно не совпадает с тем что отправил я.
    – Misha
    5 мая 2020 в 11:11

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge you have read our privacy policy.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.