Jak jednoduše na CSRF

Už jsem něco podobného řešil a nebavilo mě neustále opakovat vkládání tokenů k odkazům a jejich kontrolu, tak jsem si to zautomatizoval:

<?php
abstract class AuthorizedPresenter extends BasePresenter
{
    const CRSF_PROTECTION_MESSAGE = 'Neplatný ověřovací klíč nebo vypršela platnost sezení. Zkuste požadavek opakovat.';

    /*** Signal protection ***/

    public function link($destination, $args = array())
    {
        if (!is_array($args)) {
            $args = func_get_args();
            array_shift($args);
        }

        $a = strpos($destination, '#');
        if ($a === FALSE) {
            $fragment = '';
        } else {
            $fragment = substr($destination, $a);
            $destination = substr($destination, 0, $a);
        }

        if (substr($destination, -1) === '!' && strpos($destination, '-') === false) {
            static $session;
            if ($session === null) {
                $session = Environment::getSession($this->getName());
            }

            $field = 'signal' . rtrim($destination, '!');
            if (!isset($session->$field))
                $session->$field = $token = base_convert(md5(uniqid($field, true)), 16, 36);
            else
                $token = $session->$field;

            $args['token'] = $token;
        }

        return parent::link($destination . $fragment, $args);
    }

    public function signalReceived($signal)
    {
        static $session;
        if ($session === null) {
            $session = Environment::getSession($this->getName());
        }

        $field = 'signal' . $signal;
        if (!isset($this->params['token']) || !isset($session->$field) || $session->$field != $this->params['token'])
            throw new UnauthorizedRequestException(self::CRSF_PROTECTION_MESSAGE);
        unset($session->$field, $this->params['token']);

        parent::signalReceived($signal);
    }
}
?>

Toto řešení pro každý signál presenteru automaticky vygeneruje vlastní token a pak i automaticky provede kontrolu. Neměl by být problém kód upravit podle vlastního gusta…

Jen tak mimo. Tento utok predpoklada, ze nekdo na vse stranky umisti nejaky kod, ktery mu zaloguje cookies (SESSSIONID). Nebo se pletu? Jak jinak lze ona cookies ukrast???

Zadny jiny zpusob krome napadeneho PC klienta me nenapada. Coz me privadi na otazku. Proc resit dusledky kdyz muzeme zabezpecit pricinu (infikovani webu?)

Aha uz to chapu. Cilem je donutit prohlizec na pozadi poslat nejaky mnou specifikovany pozadavek na cizi server. Coz predpoklada ze na serveru budu prihlasen a zaroven kliknu na onen coolobrazek.

At premyslim jak premyslim, tak jedine pres ony tokeny. Ale token musi byt vygenerovan az po platnem prihlaseni a muzu byt ulozen pouze v session a v URL jako GET parametr. Navic nesmi existovat stranka ktera by byla zobrazitelna bez tokenu.

Pokud by neco z toho bylo poruseno tak onen script muze token ziskat.

To je ten nejjednodussi zpusob, do nejakeho intranetu nebo prostredi, kde muzes kontrolovat zasilani refereru proc ne, ale do masovejsi aplikace toto nasadit nelze, protoze tak odstrihnes lidi co jim referer pozira treba firewall apod.

crempa napsal(a):

ale do masovejsi aplikace toto nasadit nelze, protoze tak odstrihnes lidi co jim referer pozira treba firewall apod.

Jo, je to spíš zástupné řešení, ale měl bys nějakou statistiku, kolik takových lidí je?

R2D2 napsal(a):

Na referera spoléhat nemůžeš, jednak občas bývá z bezpečnostních důvodů zakázán (tj těmto lidem by tebou navrhovaný kód paradoxně bezpečnost snížil),

Možná by se ta podmínka dala napsat if ($referer !== NULL && $referer->host !== $uri->host), aby to takové lidi neomezovalo, ale bezpečnost by to tak jako tak (oproti žádné ochraně) snížit nemělo.

druhak jde podvrhnout.

Nevím, možná spuštěním cizího javaskriptu na serveru?

což ovšem k útoku až tolik využít nejde, ale třeba byla chyba ve flash playeru, která umožňovala až do verze 9.0??? (nevim přesně) dělat požadavky s libovolným refererem, což zase šlo zneužít stejně jako v příkladu výše, jen místo javascriptu byl použit flash :)