Forum Pasja Informatyki - Najnowsze z tagiem csrf

Token CSRF a POST requesty

Mon, 19 Jul 2021 06:40:18 +0000

Witam, czy w przypadku używania POST requestów, token csrf jest wgl. potrzebny?

Metoda "double submitted cookie". Bezpieczeństwo dla CORS.

Tue, 16 Mar 2021 18:57:24 +0000

Witam, dużo czytałem na temat wspomnianej w tytule metody przeciwdziałania atakom CSRF. Wiem, że po wejściu na stronę, ustawiany jest plik cookie z atrybutem httpOnly zawierający token, dodatkowo ten sam token przesyłany jest na klienta w jakiejś formie (np. jako ukryte pole formularza). Po wysłaniu requesta, oba tokeny muszą się zgadzać. No i niby jesteśmy bezpieczni, bo atakujący tworząc linka z requestem, nie wie jaki token utworzy serwer w pliku cookie u klienta.

Co jednak, jeśli skrypt atakującego najpierw wykona żądanie GET na "atakowaną stronę", sparsuje odpowiednio odpowiedź i wyciągnie z niej CSRF token? Jak wiadomo, pliki cookie ustawiane są zawsze automatycznie. Mamy więc wszystkie informacje, by wykonać krytyczny request.

Wiem, że pogrubiony fragment jest zastrzeżony przez SOP (Single Origin Policy). Zastanawia mnie jednak to, jak sprawa wygląda dla serwera zezwalającego na CORS. Czy w takiej sytuacji całe omawiane zabezpieczenie jest bezskuteczne?

Z góry dziękuje za informację zwrotną czy dobrze myślę

Symony 5 The CSRF token is invalid - na hostingu

Tue, 12 Jan 2021 14:13:18 +0000

Witam,

Mam dziwny problem. mam aplikacje u siebie na PC na localhost która działa prawidłowo, po skopiowaniu na hosting wywala mi błąd

The CSRF token is invalid. Please try to resubmit the form.

Nie mam pojęcia jak rozwiązać ten problem, kasowałem cache, próbowałem na wersji prod i dev, wszystkie formularze na aplikacji plują tym błędem, mam druga aplikacje zrobiona 2 miesiące na której wszystkie formularze działają prawidłowo.

Jak wysyłać tokeny CSRF za pomocą Ajax'a oraz PHP.

Fri, 05 Jul 2019 10:12:45 +0000

Cześć,

Ostatnio stworzyłem alert (info o cookies), działał on normalnie.. tzn. gdy nowy użytkownik wchodzi na stronę, wyskakuję mu alert zamyka go 'iksem', i odrazu wysyłam wiadomość do PHP za pomocą ajax'a i PHP tworzy odpowiedni cookie.

Problem w tym że zaimplementowałem do strony CSRF protection i teraz gdy dane się wysyłają po kliknięciu X, wywala response 404 valid csrf.. co jest logiczne. Ale mam problem z wysłaniem owego csrf za pomocą ajaxa.

Próbowałem zrobić takie coś (znalazłem jakiś randomowy poradnik na necie)

<!-- CSRF Tokens -->
<div class="js-csrf-token" style="display:none;" data-csrf-token-name="X-{{ csrf_name() }}" data-csrf-token-value="{{ csrf_token() }}"></div>

<!-- Accept cookies by user -->
<script type="text/javascript">
    function getCsrfToken() {
        const csrfTokenNode = document.getElementsByClassName('js-csrf-token')[0];

        return {
            name: csrfTokenNode.getAttribute('data-csrf-token-name'),
            value: csrfTokenNode.getAttribute('data-csrf-token-value')
        }
    }
    console.log(getCsrfToken());
    const csrfToken = getCsrfToken();

    $(function () {
        $(".uk-alert-close").on("click", function(e) {
            $.ajax({
                url: '{{ base_url() }}/cookies/info',
                method : "POST",
                cache: false,
                dataType : "xml",
                beforeSend: function(request) {
                    request.setRequestHeader(csrfToken.name, csrfToken.value);
                },
                data : {
                    accept:  true
                }
            })
                .done(function() {
                })
                .always(function() {
                });
        });
    });
</script>

I pomysł był taki żeby wysłać to jako Header requestu ajaxa (?), no i to nie działa.. w sensie gdy sprawdzam header i jego zawartość się wysyła, działa, ale nadal wywala response z valid csrf.

Ogólnie bym potrafił do zrobić, ale nie do końca wiem na czym polega wysyłanie tych tokenów i jak one działają. Ma ktoś jakiś pomysł jak to mogę zaimplementować żeby przez Ajax'a (i jQuery) mogę to wysłać?

A i dodam że csrf zaimportowałem od slim'a bo stronę właśnie robię w slim'ie (php).

Z góry dziękuję!

Jak działa generowanie tokenu CSRF

Fri, 23 Nov 2018 20:57:33 +0000

Cześć, mam do was pytanie. Otóż realizuje aktualnie projekt, i staram się podejść do niego skrupulatnie. Nie siedziałem w życiu dużo nad różnego rodzaju zabezpieczeniami przed atakami hakerskimi, i chciałbym się was zapytać czy dobrze pojąłem idee tokenu CSRF. Pisane jest to w czystym php

1. Na początku w formularzu z logowaniem włączam sesje
2. Generuje randomowy token przy użyciu jakiejś funkcji do tego przeznaczonej np: md5(uniqid(rand(), true))
3. Token umieszczam w formularzu jako niewidoczny, i zapisuje do sesji
4. W pliku w którym odbierany jest token odczytuje sesje, i jeżeli różni się on od tego który został w formularzu wyświetlam błąd.

Dobrze to zrozumiałem? Dzięki z góry

CSRF error błąd przy przesyłaniu pliku

Mon, 05 Mar 2018 18:04:45 +0000

Witam

Spotkałam się dziś z dziwnym błędem, którego nigdy dotąd nie widziałam. Ale od początku :

- jak zawsze byłam zalogowana na deviantART *taka strona dla artystów* i przeglądałam komentarze. W jednym z nich pewna osoba pytała mnie o narzędzia jakich używam i dosłała link z amazona, by upewnić się, że to te same przybory. Oczywiście w niego kliknęłam.

- chcąc odpowiedzieć na pytanie tej osoby, wysyłam zdjęcie z przyborami na *deviantartowy schowek na obrazki* stash. Widzę jednak, że zdjęcie jest nieobrócone, usuwam i chcę wrzucić je jeszcze raz.

I tu się pojawia komunikat : Error uploading file: CSRF error

Za każdym kolejnym razem, gdy chciałam przesłać jakikolwiek plik na stash, wyskakuje ten sam błąd *próbowałam na Mozilli i Chrome, mam wrażenie, że to nie wina przeglądarki*

Nie wiem czy to zadziałało w jakikolwiek sposób na inne strony, niczego innego dziwnego nie zauważyłam

Czyściłam komputer dwoma programami : Malwarebytes i CCleaner

Usunęło mi to pół historii przeglądania, cały kosz i kilka innych śmieci, ale problem nadal jest i nie mam pojęcia o co może chodzić

Pozdrawiam i liczę na jakąkolwiek pomoc!

mvc - csrf a post

Mon, 27 Nov 2017 19:11:46 +0000

Witam.

Uwaga:

 login/new ( {controller}/{method} )

Mam następującą sytuację:

Formularz wyświetlam w login/new. Następnie po wypełnieniu żądanie POST zostaje wysłane do login/create gdzie przechodzi walidacje. W przypadku niepowodzenia ponownie zostaje wyświetlony formularz z poprzednimi danymi POST ("efekt zapamiętywania").

Czy wyświetlanie formularza z poziomu innej metody niż pierwotna jest dobrym pomysłem? Niby dzięki temu mogę przesłać dane POST do widoku, no ale..np.

Jeżeli użytkownik zostanie przekierowany na login/create, a następnie odświeży stronę to do serwera trafią poprzednie dane, co zaowocuje wyrzuceniem błędu o niepoprawności tokenu. Aby tego uniknąć można użyć sesji i za każdym niepowodzeniem przekierowywać do login/new. No ale znowu nie jest to tak wygodne jak renderowanie widoku.

Co o tym myślicie? Czy taka sytuacja jest dopuszczalna? Jakieś inne alternatywy?

Kod można podejrzeć tutaj

Zabezpiecznie CSRF w PHP

Fri, 19 May 2017 17:05:24 +0000

Mam pytanie czy jak umieszczę csrf_token w ciasteczku będzie to bezpiecznie ?

<?php
setcookie('csrf_token',bin2hex(random_bytes(32)));
//Finalnie dorzuce do setcookie httponly i security na true
?>

Czytałem że zazwyczaj umieszcza się to w sesjach.

Proszę o odpowiedż