Hoe om CSRF-aanvalle te voorkom (kruis-site-vervalsing) met PHP

`N aanval van die vervalsing van kruis-site versoek (CSRF vir kort) is `n tipe van kwesbaarheid van web programme waarin die slagoffer per ongeluk `n script op jou browser wat jou toelaat om voordeel te trek uit die sessie te neem hardloop begin in `n bepaalde plek. CSRF aanvalle kan met GET of POST bestellings gedoen word. Hierdie artikel wys hoe om CSRF aanvalle in jou webprogram te vermy.

conținut

Stappe
Stappe
Metode 1skep die csrf.class.php lêer
Metode 2beskerm u bladsye met csrf.class.php

stappe

Ons sal twee metodes gebruik om CSRF aanvalle op u AOO en POST bestellings te vermy.

Die eerste ding om te doen is `n ewekansige identifiseerder vir elke bestelling, `n unieke string wat vir elke sessie gegenereer word. Ons genereer die identifiseerder en sluit dit in elke vorm as `n verborge inskrywing in. Die stelsel sal seker maak of die vorm geldig is, en vergelyk die identifiseerder met die een wat in die sessie veranderlike van die gebruiker gestoor is. Met ander woorde, as `n aanvaller `n bestelling genereer, moet hy die waarde van die identifiseerder ken.

Die tweede metode is om `n ewekansige naam vir elke veld in die vorm te gebruik. Die waarde van die ewekansige naam van elke veld word gestoor in `n sessieveranderlike en die stelsel sal `n nuwe ewekansige waarde genereer nadat die vorm gestuur is. Dus vir `n aanval op die werk, sal die aanvaller hierdie ewekansige name in die vorms moet raai.

Byvoorbeeld, `n bestelling wat voorheen só gelyk het:

Passwordscsrf.jpg" klas ="beeld ligkas"> Prent getiteld Passwordscsrf.jpg

Nou sal dit so lyk:

Protectedrequestcsrf.jpg" klas ="beeld ligkas"> Prent getiteld Protectedrequestcsrf.jpg

stappe

Metode 1
Skep die csrf.class.php lêer

Dit is die hooflêer wat al die funksies bevat wat ons sal gebruik om CSRF aanvalle te vermy.

Skep csrf.class.php. Begin deur die lêer te skep en dit te stoor met die volgende inhoud:

Al die kode in hierdie afdeling van die gids moet aan die einde van hierdie lêer bygevoeg word.

Skep die get_token_id () funksie.
Hierdie funksie kry die identifiseerder van die gebruiker se sessie. As dit nog nie gegenereer is nie, word `n nuwe ewekansige identifikasie gegenereer.

openbare funksie get_token_id () {if (isset ($ _ SESSION [`token_id`])) {retour $ _SESSION [`token_id`] -} anders {$ token_id = $ this->random (10) - $ _ SESSION [`token_id`] = $ token_id-return $ token_id-}}

Skep die funksie get_token () Funksie.
Hierdie funksie verkry die waarde van die identifiseerder. As een nie voorheen gegenereer is nie, sal dit nou gegenereer word.

get_token openbare funksie () {if (isset ($ _ SESSIE [ `token_value`])) {terugkeer $ _SESSION [ `token_value`] -} anders {$ teken = hash ( `sha256`, $ this->willekeurig (500)) - $ _ SESSIE [`token_value`] = $ token-return $ token-}}

Skep die check_valid () funksie.
Hierdie funksie word gebruik om te kontroleer of die identifiseerder en die waarde van die identifiseerder geldig is. Dit doen dit deur die waardes van die AOO- of POST-volgorde te vergelyk met die waardes wat in die gebruiker se sinsveranderlike gestoor is.

publieke funksie check_valid ($ metode) {if ($ metode == `post` || $ method == `kry`) {$ post = $ _POST- $ get = $ _GET-if (isset ($ {$ method} $ this->get_token_id ()]) && ($ {$ method} [$ this->get_token_id ()] == $ this->get_token ())) {return true-} anders {return false-}} anders {return false-}}

Skep die form_names () funksie.
Dit is die tweede verdediging van die artikel teen die CSRF. Hierdie funksie genereer ewekansige name vir die vormvelde.

openbare funksie form_names ($ name, $ wedergeborenes) {$ waardes = array () - foreach ($ name as $ n) {if ($ wedergeborenes == ware) {ontstel ($ _ SESSIE [$ n]) -} $ s = isset ($ _ SESSION [$ n])? $ _SESSION [$ n]: $ this->ewekansige (10) - $ _ SESSION [$ n] = $ s- $ waardes [$ n] = $ s-} retoureer $ waardes-}

Skep die ewekansige () funksie.
Hierdie funksie genereer `n ewekansige string met die lukrake linux-lêer, vir `n groter entropie.

privaat funksie ewekansige ($ len) {if (@is_readable (`/ dev / urandom`)) {$ f = fopen (`/ dev / urandom`, `r`) - $ urandom = fread ($ f, $ len) -Vou ($ f) -} $ terug = `` - vir ($ i = 0- $ i<$ Len - $ i ++) {if (isset ($ urandom!)) {As ($ i% 2 == 0) mt_srand (tyd ()% 2147 * 1000000 + (dubbel) microtime () * 1000000) - $ rand = 48 + mt_rand ()% 64-} anders $ rand = 48 + ord ($ urandom [$ i])% 64-if ($ rand>57) $ rand + = 7-if ($ rand>$ Rand = = 6-if ($ rand == 123) $ rand = 52-if ($ rand == 124) $ rand = 53- $ terug. = Chr ($ rand) -} retour $ terugkeer-}