0

Имеется страница, где комментарии и личные сообщения грузятся ajax-ом. Зная откуда-то о возможности оперы изменять код динамически, решил поэксперементировать. Данные для загрузки берутся непосредственно из тега (пример: func="12.4.567") у определённого элемента. И это значение атрибута (придуманного мною специально для этой цели) передаются на сервер для обработки. 567 в примере id юзера сообщения которого нужно загрузить. Дак вот, изменяю в опере это значение например на 45 и грузятся сообщения юзера с id = 45. Это что вообще такое? При этом я не достоин называться хакером даже в кавычках. Что делать?

5
  • 2
    А Вам не показалось небезопасным отдавать результаты аякс запросу без проверки прав доступа к этим данным? Проще говоря: передавайте токен авторизации на каждый аякс-запрос и проверяйте этот токен на сервере соответственно.
    – ReinRaus
    22 июл 2012 в 9:26
  • 6
    и опера здесь вообще не причем. Можно банальным сокетом эксплуатировать подобное отсутствие системы безопасности.
    – ReinRaus
    22 июл 2012 в 9:27
  • Как проверить на сервере права доступа к данным если пришла циферка? Авторизация есть. И это проверяется. А толку? Не авторизованный пользователь не зайдет на страницу с ЛС. А авторизованный зайдёт., и не только на свою.Вот как скрипту дать понять, что цифра была подмененна? А что такое токен? 22 июл 2012 в 11:19
  • 1
    Вот как скрипту дать понять, что цифра была подмененна?// Сравнить сессию. Если номер юзера сессии совпадает с номером запроса, отдать сообщения. Если нет - сообщить администратору ресурса, а пользователю послать сообщение, что он хитрый кулхацкер.
    – knes
    22 июл 2012 в 17:38
  • @Garik Pokrovskij, Если вам дан исчерпывающий ответ, отметьте его как верный (нажмите на галку рядом с выбранным ответом).
    – Чад
    23 апр 2013 в 17:13

2 ответа 2

6
  1. Реализуйте авторизацию на запросы (например технологией токенов - на каждый запрос, сервер отдаёт дополнительно в ответ токен(уникальный набор данных) который ждёт при следующем запросе)
  2. Организуйте модель данных так, чтобы у пользователя были права на просмотр тех или иных данных (например смотреть только свои сообщения, тогда даже если подменять айди, сервер не отдаст данные, т.к. он знает что этот пользователь может смотреть только свои сообщения)
  3. Вы не сможете отловить то что цифра была подменена - это не квантовая передача :-) Можете только осложнить возможность подмены - например кодировать ответ на уровне js, вариантов много.
  4. В любом случае, Вам надо строить серверную логику исходя из того что запрос может прийти с любым айди - и Вам надо узнать кто запрашивает данные, и может ли он это делать, действительно ли это возможный запрос(токен). Последнее - это скорее защита от ддос атак, сами данные всё равно надо проверять на сервере.

Пример реализации токена (не скажу что хороший, но для понятия идеи сойдёт, не делайте копи паста!!!):

Серверный код (php) например через сессию:

request.php:

<?php
  session_start();
  $last_token = $_SESSION["token"];
  $token = $_REQUEST["token"];
  if($last_token==$token)
  {
    DoSomeThing();
    $new_token = uniqid("token");
    $_SESSION["token"] = $new_token;
    $return_data = echo json_encode(array("data"=>array(),"token"=>$new_token));
  }
  else
  {
    //We are hacked! or bugged :-)
  }
?>

js код запросов:

  ...
  current_token = "";
  ...
  $.ajax({url:"request.php", data:{token:current_token}, dataType:"json"}).success(data){
current_token = data.token;
...
}
1
  • Покажите, пожалуйста пример с токеном. 24 июл 2012 в 8:43
3

Хотел было в очередной раз поговнить Оперу за то что с ней сделали за последние полгода, но она-то тут вообще не при чем. Все что отдается клиенту — может быть изуродовано и без нее: Chrome — F12, FF — Ctrl+Shift+S.

Не понимаю, зачем советуют токены, если одной только сессии предостаточно. Просто в request.php нужно проверять, есть ли у $_SESSION['current_user'] полномочия читать переписку с $_REQUEST['pm_user'].

В двух словах, у вас и не было никакой защиты. Браузер вообще никак не может повлиять на безопасность сайта. За этим нужно следить на серверной стороне, а не на клиентской: абсолютно любой клиентский скрипт можно перелопатить и получить то, что мне знать не положено. И токены тут тоже не помогут: в примере товарища @Чад новый токен отправляется клиенту (пусть это и ajax), а значит, нет никакой защиты, так как я все-равно могу его узнать.

8
  • Очень здравая мысль о том, что клиент имеет полный контроль над своим браузером.
    – VladD
    24 апр 2013 в 18:08
  • 1
    Ну, сессия это в принципе просто статический токен :-)
    – Чад
    24 апр 2013 в 19:12
  • @VladD, мало того- клиент вообще может быть не браузером, а ботом, который парсит ответы сервера. В этом случае вообще нет смысла говорить о безопасности данных. @Bars, а меня лично радует то, что сделали с Оперой. Вместе с вебкит в ней появился человеческий рендер. Теперь я например могу править код на таких сайтах как: jsfiddle, ideone прямо с мобильного телефона. Когда опера была на престо это не получалось.
    – ReinRaus
    24 апр 2013 в 19:40
  • @ReinRaus: угу, а может быть просто telnet'ом или netcat'ом.
    – VladD
    24 апр 2013 в 23:05
  • 1
    @Bars, Вы даже не представляете, какая уязвимость есть в Опера Мобайл на престо. Был бы я злодеем, то уже крал бы сохраненные формы /кукисы абсолютно с любого сайта, которые посещал пользователь и который просто зашел на сайт на котором размещен определенный код. Написал о баге в их багтрэк наверно год назад- так ничего и не изменилось.
    – ReinRaus
    25 апр 2013 в 18:27

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge you have read our privacy policy.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.