PHP.SU

Программирование на PHP, MySQL и другие веб-технологии

PHP.SU Портал

Главная

Помощь

Поиск

Поиск Яндекс Вакансии

Пользователи

Здравствуйте, Гость

( Вход · Регистрация · Правила форума )

Забыли пароль?

CSRF Cross-site Request Forging

Форумы портала PHP.SU » PHP » Программирование на PHP (Модераторы: valenok, OrmaJever, Саныч)

Страниц (1): [1]

Описание: Эт чо за мужик вообще?

Поиск в теме | Версия для печати

CodeWarrior	Отправлено: 26 Марта, 2009 - 22:21:36
Частый гость Покинул форум Сообщений всего: 157 Дата рег-ции: Янв. 2009 Откуда: Албания Помог: 0 раз(а)	Прочитал сегодня следующее (статья "Безопасность PHP скриптов" ): Цитата: CSRF, Cross-site Request Forging. Формирование на сайте хакера запроса, который будет выполнен браузером пользователя (и, как следствие - со всеми правами пользователя!). То есть, просто авторизация от этой атаки не спасает. Для защиты от этого типа атак следвет взять за правило добавлять ко всем важным формам скрытое поле, содержащее уникальную строку (сгенерированную случайным образом только для этой формы), записывать её в сессию и сравнивать при обработке формы. Хакер добавить такую строку в свою форму не сможет, и атака не сработает. Знает ли кто что это такое и как с этим бороться? А именно: я не понимаю всю опасность того что будет если не будет скрыторо поля с уникальным значением. Да и вообще из этого мне мало что понятно. Кто знает помогите разобраться. (Отредактировано автором: 26 Марта, 2009 - 22:22:52)

Гость	Отправлено: 27 Марта, 2009 - 12:54:53
УДАЛЁН	Ну положим такая ситуация - пользователь авторизирован кукой которая работает некое время (Особенно если стоят галки типа запомнить меня за этим компьютером) Потом полтьзователь заходит на закерский сайт (А этто сайт вообще может грузиться гденибудть в скрытом iframe) и GET/POST формой дает запрос на тот изначатальный сайт а так как кука никуда не делась то запрос выполняется с правами пользователя

CodeWarrior	Отправлено: 27 Марта, 2009 - 21:09:00
Частый гость Покинул форум Сообщений всего: 157 Дата рег-ции: Янв. 2009 Откуда: Албания Помог: 0 раз(а)	JustUserR пишет: Ну положим такая ситуация - пользователь авторизирован кукой которая работает некое время (Особенно если стоят галки типа запомнить меня за этим компьютером) Потом полтьзователь заходит на закерский сайт (А этто сайт вообще может грузиться гденибудть в скрытом iframe) и GET/POST формой дает запрос на тот изначатальный сайт а так как кука никуда не делась то запрос выполняется с правами пользователя Ааа уже немного понимаю. И как от этого спасает скрытое поле? Как это организовывается?

Гость	Отправлено: 28 Марта, 2009 - 12:03:04
УДАЛЁН	Ну скрытое поле в данном случае спасает так - для каждой страницы отданной настоящим сервером во всех запросах генерируется случайное поле и сопоставляется данном пользователю запросу и если оно не совпадает то запрос не выполняется

Поиск в теме | Версия для печати

Страниц (1): [1]

Сейчас эту тему просматривают: 0 (гостей: 0, зарегистрированных: 0)

« Программирование на PHP »

Все гости форума могут просматривать этот раздел.
Только зарегистрированные пользователи могут создавать новые темы в этом разделе.
Только зарегистрированные пользователи могут отвечать на сообщения в этом разделе.