1

Я параноик и для обеспечения дополнительной безопасности ajax запросов делаю следующее:

  • При заходе на страницу у пользователя генерируется сессия sshID в которую добавляется случайный sha1 хэш, хэш также сохраняется в переменную
  • Вместе с любым ajax запросом отправляется эта переменная
  • На сервере в каждом ajax скрипте проверяется соответствие полученной переменной _POST['sID'] с тем, что записано в сессию - sshID

Если значения совпадают - всё отлично, выполняем скрипт. Если нет - то сразу выкидываем пользователя. Я понимаю, что это весьма посредственная защита, но всё же, мне приятно, что любой кто просто попытается вызвать скрипт по адресу /ajax/название_скрипта.php будет отправлен куда подальше.

Проблема возникает в связи с тем, что сессии время от времени очищаются. Да, я могу поставить время жизни сессий около 24 часов и вероятность того, что кто-то просидит на сайте 24 часа, не обновит страницу, а потом решит отправить ajax запрос - "крайне мала" (Immolate Improved!), но, она есть.

Какие есть варианты выхода из этой проблемы? И может есть альтернативные пути как можно обезопасить свои скрипты от прямого доступа?

5
  • Хорошая защита является хорошей, если зная ее механизм взломать ее все равно нельзя. По вашему примеру - прочитал вопрос, и за 5 минут пишу бота, который обращается сначала на главную страницу, получает этот sshID, а затем передает его вместе с ajax-запросом. В итоге ваша защита всего лишь на пару минут оттягивает прямое обращение к вашему скрипту. Поэтому может быть не стоит так уж панически ко всему относиться?
    – BOPOH
    10 апр 2015 в 4:57
  • @BOPOH, Я был бы признателен, если бы дали почитать что-то про более разумную защиту. Потому что везде до этого, что я прочитал и в обсуждениях было что-то вроде "забей вообще на это, защищать скрипты от прямого доступа не нужно". :(
    – Floyat
    10 апр 2015 в 5:13
  • "Аутентификация" - "ты кто такой?", "авторизация" - "а тебе разрешено это делать?" Т.е. вам необходимо авторизовать пользователя. Просто "зашел на страницу" - плохая идея, т.к. это может сделать и злоумышленник. Nonce - а что мешает злоумышленнику использовать в боте то же поведение, что и браузер при открытии страницы? Правда, получение nonce можно усложнить через использование js (читай про невидимую капчу), но есть боты почти как браузер. Captcha - уже лучше, хотя и это вроде обходится. Самый простой способ - использование аутентификации, но что тогда делать с гостями?
    – BOPOH
    10 апр 2015 в 5:57
  • Ну и сохранить можно что мы авторизованны. Хотя раз про XSS/CSRF заговорили, то простой аутентификации будет недостаточно - мы авторизованы и злоумышленник через нас получает доступ. Тогда дополнительно и ваш метод (или аналогичный) можно использовать. Главное - чтобы был комплекс мер, а не одна полузащита.
    – BOPOH
    10 апр 2015 в 6:26
  • Я понимаю, что недостаточно, вот и занимаюсь постепенным улучшением безопасности. Могу ли я проверять HTTP_X_REQUESTED_WITH и REQUEST_METHOD и быть уверенным, что я не посчитаю обычные запросы от пользователей - атакой? Просто читал противоречивое, что они могут не задаваться браузерами или прокси может влиять на их значения.
    – Floyat
    10 апр 2015 в 6:38

4 ответа 4

1

Чтобы осложнить XSS и CSRF атаки, в качестве секретного токена вы можете использовать nonce и хранить его не в сессии, а в базе. Такая техника, например, заложена в WordPress. На серверной стороне вам понадобятся функции генерации и проверки токена. Каждый токен относится только к какому-то одному действию, например, к сохранению сообщения или к аутентификации и к конкретному пользователю. А также имеет метку времени чтобы проверить на устаревание.
Интересно, что в теории nonce должен срабатывать только раз, но WP ослабили требования, в нем можно использовать сколько угодно раз но не дольше 24 часов.
Это упрощает работу с AJAX, где страница с пре-генеренным токеном может не обновляться после обращения к серверу. Иначе придется придумывать как получить новый токен вместо использованного.

Пусть у нас есть таблица токенов:

CREATE TABLE nonces(
  user_action VARCHAR(40) NOT NULL,
  token VARCHAR(40) NOT NULL,
  gen_time INT NOT NULL,
  PRIMARY KEY(user_action, token)
)

Мой псевдокод (простите за global, это только для краткости):

define('TIME12H', (12*60*60));

function new_nonce($action)
{
    global $db, $secret, $user_id;
    $time = intval(time() / TIME12H) * TIME12H; // округляем время до 12ч
    $token = sha1($secret.$action.$time);
    $db->query("REPLACE INTO nonces(user_action, token, gen_time) VALUES(?,?,?)", $action.'-'.$user_id, $token, $time);
    return $token;
}

function check_nonce($action, $nonce)
{
    global $db, $secret, $user_id;
    $time = $db->query("SELECT time FROM nonces WHERE user_action=? AND token=?", $action.'-'.$user_id, $nonce)->result();
    if (empty($time) || $time < time() - 2*TIME12H) {
        return false;
    }
    // здесь в теории должно быть удаление токена из базы
    return true;
}

Материалы для чтения:
http://en.wikipedia.org/wiki/Cross-site_request_forgery#Prevention https://codex.wordpress.org/WordPress_Nonces

7
  • Не совсем понимаю, чем мой вариант с одной переменной в сессии отличается от варианта с токенами под каждый запрос? Ведь атака CSRF всё равно невозможна, т.к. у каждого пользователя своя переменная в сессии и узнать её можно только если жертва сама сообщит её.
    – Floyat
    10 апр 2015 в 6:09
  • @Floyat, во-первых, в моем примере сессия вообще не упоминается. Можно и без нее. Во-вторых, важный момент что токен зависит от действия. Если мы каким-то образом засветили токен для logout, например, это еще не позволит злоумышленнику выполнить delete_post.
    – artoodetoo
    10 апр 2015 в 6:23
  • В-третьих, время жизни у каждого токена своё. Это может иметь значение. Забытая надолго форма протухнет, даже если пользователь до сих пор активен в других вкладках. Не должно быть вечных пропусков.
    – artoodetoo
    10 апр 2015 в 6:29
  • так понятно. Тогда спрошу ещё по поводу генерации токенов. Я правильно понимаю, что я должен сгенерировать все возможные токены для каждого пользователя при загрузке страницы? То есть, если у нас со страницы может выполняться два десятка различных функций, то я сразу должен сгенерировать два десятка токенов?
    – Floyat
    10 апр 2015 в 6:32
  • Вы сами решаете что будет являться меткой "действия" и, соответственно, сколько разновидностей будет на странице. Так-то не трудно вместо двух одинаковых <?= new_token() ?> написать <?= new_token('post') ?> и <?= new_token('edit') ?>.
    – artoodetoo
    10 апр 2015 в 6:37
1

Единственный выход - как-то эту сессию обновлять. Самый простой и незатратный в плане разработки способ: невидимый iframe на страничку у которой установлено автообновление раз в 20-30 мин. Самый красивый и быстрый - то же самое, только через Ajax, приятным бонусом вы получите то, что сможете загружать какие-нибудь события с сервера для пользователя, например: "новые сообщения".

И немного добавлю по вашей защите. Лучше не писать пользователю, что доступ закрыт, лучше выводить заглушку, что все ок, все выполнилось. Так злоумышленник будет считать что он на правильном пути и скорее всего не станет проверять необходимость загрузки странички. Но это применимо только к скриптам, которые работают только через Ajax и не выводятся напрямую для пользователя.

1

Как вариант для вашего решения можно добавить счетчик, например, каждые 10-15 минут отправлять запрос для обновления сессии, но это решение изначально не очень хорошее.

Как защитить файлы от прямого запуска:

Все запросы в вашем приложении должны перекидываться на главный index, который в свою очередь будет подключать модули для get, post, ajax запросов в зависимости от поступающего запроса. Подобное перенаправление реализуется средствами htaccess. В этом индексе должна быть объявлена переменная или константа, не важно, которая должна проверяться в каждом модуле в самом начале.

Index:

define('included', true);

if(!empty($_SERVER['HTTP_X_REQUESTED_WITH']) && strtolower($_SERVER['HTTP_X_REQUESTED_WITH']) == 'xmlhttprequest') 
{
    $method = 'ajax';
}
elseif($_SERVER['REQUEST_METHOD'] == 'POST')
{
    $method = 'post';
}
else
{
    $method = 'get';
}

include_once("нужный модуль");

Модуль аякса:

if(!defined('included'))
{
    die('Direct access not permitted');
}

Таким образом ваши модули-обработчики будут защищены от прямого запуска.

3
  • А теперь объясните мне разницу между вызовом ajax-запроса "нормальным" клиентом и злоумышленником. В обоих случаях запрос будет проходить полностью одинаково, разве не?
    – BOPOH
    10 апр 2015 в 4:52
  • Я слышал, что при использовании прокси в HTTP_X_REQUESTED_WITH ничего не записывается. Не получится ли так, что все пользователи, что сидят под прокси не смогут использовать ajax запросы?
    – Floyat
    10 апр 2015 в 4:53
  • @BOPOH, да, проходить будет одинаково, вопрос был в том, как защитить файлы от прямого доступа, я ответил чисто на него. Конечно тут можно навесить еще защиту.
    – user31906
    10 апр 2015 в 4:58
1

Только комплекс мер может помочь в защите.

  1. Проверяйте Referer
  2. Записывайте данные в сессию
  3. Проверяйте каким методом приходит запрос
  4. Сверяйте user_agent
  5. Ограничивайте по времени следующий запрос ajax
  6. Посмотрите в сторону mod_unique.

Ваш ответ

Нажимая на кнопку «Отправить ответ», вы соглашаетесь с нашими пользовательским соглашением, политикой конфиденциальности и политикой о куки

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.