PHP Lang
  1. PHP Lang
  3. Как эта защита CSRF работает?
Intereting Posts
Как я могу получить все дерево в одном запросе с помощью доктрины? как получить только нулевой счетчик элементов в массиве php Скребок с веб-сайта, для которого требуется логин? Почему я не могу получать сообщения от GCM на устройстве Android Как получить доступ к сеансу пользователя Magento извне Magento? Просто получить URL-адрес изображения из строки в PHP Добавление сторонней библиотеки в ZendFramework Запретить пустое пространство в запросе, преобразованном в% 20 Разработка API-интерфейса чата, как и для Stackoverflow заменить пространство путем использования htaccess хэш-функция, которая работает одинаково на ColdFusion MX7 и PHP 5.x? PHP – пустой $ _POST и $ _FILES – при загрузке больших файлов проблема с конкретной конфигурацией модуля zend Могу ли я иметь метод класса, который включает файл заголовка для меня в PHP? Настройка PHP и TOMCAT / интеграция

Как эта защита CSRF работает?

Ниже приведен пример, взятый на странице аутентификации Facebook. Какова идея добавления данных в сеанс, а затем перенаправление на URL-адрес с помощью javascript? Также почему хеш md5 uniqid? 

<?php $app_id = "YOUR_APP_ID"; $app_secret = "YOUR_APP_SECRET"; $my_url = "YOUR_URL"; session_start(); $code = $_REQUEST["code"]; if(empty($code)) { $_SESSION['state'] = md5(uniqid(rand(), TRUE)); //CSRF protection $dialog_url = "http://www.facebook.com/dialog/oauth?client_id=" . $app_id . "&redirect_uri=" . urlencode($my_url) . "&state=" . $_SESSION['state']; echo("<script> top.location.href='" . $dialog_url . "'</script>"); } if($_REQUEST['state'] == $_SESSION['state']) { $token_url = "https://graph.facebook.com/oauth/access_token?" . "client_id=" . $app_id . "&redirect_uri=" . urlencode($my_url) . "&client_secret=" . $app_secret . "&code=" . $code; $response = file_get_contents($token_url); $params = null; parse_str($response, $params); $graph_url = "https://graph.facebook.com/me?access_token=" . $params['access_token']; $user = json_decode(file_get_contents($graph_url)); echo("Hello " . $user->name); } else { echo("The state does not match. You may be a victim of CSRF."); } ?>

Я знаю, что это, вероятно, получится, так как это ссылка на wikipedia, но вы можете найти полное объяснение csrf здесь http://en.wikipedia.org/wiki/Cross-site_request_forgery , как только вы полностью поймете, что именно вы поймете как наличие уникального токена на пользователя может защитить от него. В разделе предотвращения перечисления используется токен для каждого пользователя в качестве метода предотвращения.

Он гарантирует, что вы перенаправляетесь сюда только в ответ на действие, инициированное сайтом. Читайте на CSRF по адресу https://www.owasp.org/index.php/Cross-Site_Request_Forgery_%28CSRF%29 .

Создавая сложное (невозможное) угадывание значения ans, хранящее его в сеансе, а также его отправку с запросом, этот скрипт может проверить, был ли он вызван сам по себе, а не где-то еще. где-то в другом месте трудно угадать значение, которое было бы unknwon и, следовательно, не могло быть предоставлено.