1

Как обезопасить сервер, на который приходят данные, то есть, чтобы на сервер приходили только данные с моего сайта. Можно ли положить сервер, зная его адрес? Пытаюсь сделать для сокет сервера проверку на HTTP_REFERER, но там пустое значение

8
  • Я бы в таком случае сначала отправлял POST-запрос на сервер, сервер проверит этот запрос на referer (можно кстати и какой-то токен прикрутить сессийный), сервер отдаст клиенту ключ для соединения по сокету. Кстати, этот ключ можно привязать к IP и юзерагенту. А потом передавать этот ключ при соединении с сокетом. 8 июл 2020 в 17:15
  • А злоумышленник способен как-то подменять referer? Идея с ключом хорошая, наверно ее и придется реализовать
    – k1s3l
    8 июл 2020 в 17:21
  • referer нельзя подменить со стороны браузера, то есть если я со своего сайта хочу втайне от пользователя послать к вам вебсокет - он не пройдет. Но если злоумышленник будет посылать запрос со своего пк с помощью сторонего софта - то он может подменить всё что ему захочется. 8 июл 2020 в 17:26
  • В таком случае поможет добавление секретного ключа, который может генерироватся на стороне клиента по секретному алгоритму. К примеру, таймстамп + солёний хеш от строки таймстампа. Но код обфусцировать, чтоб это было сложно разобрать. Таким образом будет намного сложнее отправить запрос, хотя и не невозможно. Главное чтоб сложность была такой, чтоб потенциальному злоумышленику было невыгодно проводить атаку. 8 июл 2020 в 17:30
  • Спасибо, попробую попробовать что-то с ajax (на клиенте за сокет отвечает js)
    – k1s3l
    8 июл 2020 в 17:31

1 ответ 1

1

Итак, допустим у вас сейчас такой код:

const socketEndpoint = "wss://example.com/socket";
const socketConnection = new WebSocket(socketEndpoint);

Для начала, я бы отправлял POST-запрос на сервер, чтоб он проверил этот запрос на referer и сессийные куки и отдал клиенту токен для соединения по сокету.
Кстати, этот ключ можно привязать к IP и юзерагенту.
Так же, как вариант, для затруднения обхода защиты, сервер в случае проблем может возвращать случайный неработающий токен вместо сообщения об ошибке.

Но referer можно подменить, если отправлять запрос не из браузера, а из стороннего софта. Поэтому нужно затруднить отправление запросов не из своего хоста, например, добавить секретную подпись на стороне клиента, которая генерируется по непонятному алгоритму, а потом обфусцировать этот код. Для обфускатора могу посоветовать obfuscator.io и выкрутить все параметры на максимум =)

// 1. Отправляем запрос на токен к серверу. Он проверяет куки и `referer` и возвращает токен.
const securityEndpoint = "/getSocketToken.php";
const response = await fetch(securityEndpoint).then(response => response.json());
const socketToken = response.socketToken;

// 2. Создаем "подпись" - таймстамп + соленый хеш
// ! Сервер должен проверять и таймстамп, и его подпись, и сам токен
const signatureSecret = "someSecretString" + window.location.hostname;
const timestamp = Date.now();
const signature = timestamp + ":" + md5(timestamp + socketToken + signatureSecret).substr(0, 8);

// 3. Передаем эти данные серверу
const params = "?token=" + socketToken + "&signature=" + signature;
const socketEndpoint = "wss://example.com/socket" + params;
const socketConnection = new WebSocket(socketEndpoint);

Так же советую разбросать генерацию этих кодов на пару функций для усложнения анализа.

3
  • Обфусцированный код всегда можно деобфусцировать
    – andreymal
    8 июл 2020 в 18:15
  • @andreymal, верно, это лишь вопрос времени. Так же есть два вида обфускаторов. Первые просто берут код как строку, шифрую ее, а потом расшифровывают и исполняют через eval. В таком случае достаточно заменить eval на console.log и получить код. obfuscator.io работает иначе. Он парсит код как синтаксическую конструкцию и вносит разные манипуляции. Поэтому, если выкрутить настройки на максимум - деобфусцировать такой код ооочень сложно и за него возьмутся только если оно того стоит. Но никто не мешает переобфусцировать код раз в неделю и изменять ключ - и начинай сначала=) 8 июл 2020 в 18:28
  • В крайнем случае из кода можно просто вытащить функцию, генерирующую что нужно, и просто использовать её как есть, даже не пытаясь деобфусцировать. Специфика javascript такова, что даже с выкруткой на максимум это не запредельно сложно
    – andreymal
    8 июл 2020 в 18:34

Ваш ответ

Нажимая на кнопку «Отправить ответ», вы соглашаетесь с нашими пользовательским соглашением, политикой конфиденциальности и политикой о куки

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.