3

Добрый вечер! Почитал про защиту данных при ajax запросе и стал интересно вот что. Есть 3 кита безопасности ajax запросов:

  1. HTTP_REFERER
  2. token
  3. Защита от роботов

С первым понятно. С третьим нужна капча для форм (но не для скрипта?). Осталось разбросаться с токеном. Если можно небольшой пример как реализовать защиту по токену. Ну и по защите от роботов посоветуйте чего я не упомянул.

11
  • Ничего из этого не спасет. Лишь немного задержит сам процесс программирования бота. Минут на 5-7. В остальном же, ajax-атаки ничем не отличаются от обычных, скорее наоборот, облегчают жизнь хостингу - меньше данных возвращается в никуда. Если сайт не атакуют - не стоит сейчас об этом переживать. Вот когда начнут, тогда и будете изобретать по "подножке" в час. Ну а что касается уязвимости CSRF, то а) ajax тут в общем-то не при делах; б) пример реализации защиты можно увидеть в самом хэшкоде, если знаете, как посмотреть. 3 мая 2014 в 23:14
  • @Rincver, * лучше основной скрипт не вставлять в разметку. Делайте отдельным файлом. * сравнивать так - сравнивайте со значением из сессии в вашем примере md5($_SESSION['csrf_seed'].$_SERVER['USER_AGENT'].$_SERVER['REMOTE_ADDR']); (вообще кука лучше, т.к. вы сможете менять токен при каждом обращении ajax)
    – zb'
    4 мая 2014 в 9:18
  • @eicto в $_SESSION['csrf_seed'] тоже каждый раз генерится новое значение. Я так понимаю $_SESSION уже никак не подменить. А как быть если значение которое нужно переслать получаем из скрипта? допустим: $.get( "api.vk.com/method/users.get", { user_ids: "1" }, onAjaxSuccess, "jsonp" ); function onAjaxSuccess(data) { alert(data.response[0].uid+" "+data.response[0].first_name+" "+data.response[0].last_name ); }
    – Rincver
    4 мая 2014 в 9:48
  • Теперь нужно передать серверу id, имя и фамилию $.ajax({ type: 'POST', url: '/save.php, response:'text', data:{'uid': uid,'first_name':first_name,'last_name':last_name}, success:function (data) { alert("ok"); } Как защитить id, first_name, last_name. Чтобы пользователь никак не мог подменить их. Важно: выполнение vk api должно быть на клиенте а результаты отправляться на сервер.
    – Rincver
    4 мая 2014 в 9:48
  • 1
    @Rincver, сами поняли, что спросили? Ip-адрес, конечно, будет передан от последнего сервера. Информацию об ОС и браузере file_get_contents передавать не будет - ее задача получить содержимое файла в переменную. 4 мая 2014 в 17:56

1 ответ 1

2

Токен подразумевает хранение одних и тех же данных на стороне сервера и пользователя, при каждом запросе проводится сверка этих данных с последующей регенерацией (подразумевается, что эти данные никому больше неизвестны). Другими словами, сервер выводит в форме скрытое поле

<input type="hidden" name="csrf_token" value="md5nonsense"/>

И записывает его значение, например, в сессию:

$_SESSION['csrf_token'] = "md5nonsense";

После этого при последующем запросе эти две величины сравниваются и сервер генерирует новый csrf_token. При таком подходе:

а) Значения должны совпасть б) На один запрос уходит один токен. Это не обеспечивает большой защиты (потому что если у злоумышленник захватил куки сессии, то он может полноценно мимикрировать под пользователя)

Таким образом обеспечивается защита от простого dos'a формы. Следующим этапом будет хитрость при генерации токена: токен может зависеть от пользовательских атрибутов, и в сессию пишется только некое исходное значение, на основе которого строится токен. Например, можно сделать так:

$seed = $_SESSION['csrf_seed'] = mt_rand(0, PHP_INT_MAX);
$token = md5($seed.$_SERVER['USER_AGENT'].$_SERVER['REMOTE_ADDR']);

В результате токен начинает зависеть как от случайного значения, так и от того, кто проводит запрос.

Long story short: вместе с формой уходят некоторые данные, которые известны только пользователю и серверу и не могут быть подделаны (зависят от отправителя запроса), при несовпадении этих данных сервер инвалидирует запрос.

14
  • CSRF это защита от XSS, смысл ее вот в чем - чтобы GET/POST с evil site не сработал от авторизованного юзера (source origin понимает только браузер, и запрос он пошлет в любом случае) типичный пример XSS атаки: $.post('goodsite.example.com/profile/edit',{email: '[email protected]'});
    – zb'
    3 мая 2014 в 22:08
  • @eicto > типичный пример XSS атаки: тогда уж <img src="http://a.zone/form.php?a=b&c=d">. Я тут csrf писал просто от скуки, смысл остается тем же. Можно еще про хранимый независимый nonce написать разве что.
    – etki
    3 мая 2014 в 22:50
  • CSRF - это не XSS, а отдельный класс уязвимостей. Просто CSRF можно реализовать за счет XSS, вот многие и путают. 3 мая 2014 в 23:47
  • @Равнодушный ну в таком случае не путают, просто CSRF включена в класс XSS. Я как раз привел пример эксплуатации CSRF с помощью скрипта, данные тут так-же как и с image не получаются, но управляющая команда(что как раз и является признаком CSRF) высылается. Хотя согласен, когда через image - это не XSS
    – zb'
    4 мая 2014 в 0:11
  • @eicto, это РАЗНЫЕ классы уязвимостей. XSS - это ошибки браузера и внедрение исполняемого в браузере кода, а CSRF - это выполнение действий от авторизованного пользователя. Ключевое и принципиальное отличие: для XSS обязательно использование исполняемых браузером сценариев, для CSRF - нет. 4 мая 2014 в 2:05

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.