PHP kullanarak siteler arası istek sahteciliği (CSRF) belirteci nasıl düzgün şekilde eklenir?

Question 1

Web sitemdeki formlara biraz güvenlik katmaya çalışıyorum. Formlardan biri AJAX kullanıyor, diğeri ise basit bir "bize ulaşın" formu. CSRF jetonu eklemeye çalışıyorum. Karşılaştığım sorun, jetonun yalnızca bazen HTML "değerinde" görünmesi. Geri kalan zamanlarda değer boştur. AJAX formunda kullandığım kod:

PHP:

if (!isset($_SESSION)) {
    session_start();
$_SESSION['formStarted'] = true;
}
if (!isset($_SESSION['token']))
{$token = md5(uniqid(rand(), TRUE));
$_SESSION['token'] = $token;

}

HTML

 <form>
//...
<input type="hidden" name="token" value="<?php echo $token; ?>" />
//...
</form>

Herhangi bir öneri?

Question 2

Güvenlik kodu için lütfen belirteçlerinizi şu şekilde oluşturmayın: $token = md5(uniqid(rand(), TRUE));

rand() tahmin edilebilir
uniqid() sadece 29 bitlik entropi ekler
md5() entropi eklemez, sadece onu deterministik olarak karıştırır

Şunu deneyin:

CSRF Jetonu Oluşturma

PHP 7

session_start();
if (empty($_SESSION['token'])) {
    $_SESSION['token'] = bin2hex(random_bytes(32));
}
$token = $_SESSION['token'];

Not: İşverenimin açık kaynak projelerinden biri, arka porta random_bytes()ve random_int()PHP 5 projelerine yönelik bir girişim . MIT lisanslıdır ve Github ve Composer'da paragonie / random_compat olarak mevcuttur .

PHP 5.3+ (veya ext-mcrypt ile)

session_start();
if (empty($_SESSION['token'])) {
    if (function_exists('mcrypt_create_iv')) {
        $_SESSION['token'] = bin2hex(mcrypt_create_iv(32, MCRYPT_DEV_URANDOM));
    } else {
        $_SESSION['token'] = bin2hex(openssl_random_pseudo_bytes(32));
    }
}
$token = $_SESSION['token'];

CSRF Jetonunu Doğrulama

Sadece kullanmayın ==veya hatta ===kullanmayın hash_equals()(yalnızca PHP 5.6+, ancak karma uyumlu kitaplığa sahip önceki sürümlerde mevcuttur ).

if (!empty($_POST['token'])) {
    if (hash_equals($_SESSION['token'], $_POST['token'])) {
         // Proceed to process the form data
    } else {
         // Log this as a warning and keep an eye on these attempts
    }
}

Form Başına Jetonlarla Daha İleri Gitme

Kullanarak jetonları yalnızca belirli bir form için kullanılabilir olacak şekilde daha da kısıtlayabilirsiniz. hash_hmac() . HMAC, daha zayıf karma işlevlerle (örn. MD5) bile kullanımı güvenli olan özel bir anahtarlı karma işlevdir. Bununla birlikte, bunun yerine SHA-2 ailesinin karma işlevlerini kullanmanızı öneririm.

Önce, bir HMAC anahtarı olarak kullanmak için ikinci bir jeton oluşturun, ardından bunu oluşturmak için aşağıdaki gibi bir mantık kullanın:

<input type="hidden" name="token" value="<?php
    echo hash_hmac('sha256', '/my_form.php', $_SESSION['second_token']);
?>" />

Ve sonra jetonu doğrularken uyumlu bir işlem kullanarak:

$calc = hash_hmac('sha256', '/my_form.php', $_SESSION['second_token']);
if (hash_equals($calc, $_POST['token'])) {
    // Continue...
}

Bir form için üretilen belirteçler, bilinmeden başka bir bağlamda yeniden kullanılamaz $_SESSION['second_token']. HMAC anahtarı olarak sayfaya az önce bıraktığınızdan farklı bir belirteç kullanmanız önemlidir.

Bonus: Hibrit Yaklaşım + Dal Entegrasyonu

Twig şablonlama motorunu kullanan herkes , Twig ortamına bu filtreyi ekleyerek basitleştirilmiş bir ikili stratejiden yararlanabilir:

$twigEnv->addFunction(
    new \Twig_SimpleFunction(
        'form_token',
        function($lock_to = null) {
            if (empty($_SESSION['token'])) {
                $_SESSION['token'] = bin2hex(random_bytes(32));
            }
            if (empty($_SESSION['token2'])) {
                $_SESSION['token2'] = random_bytes(32);
            }
            if (empty($lock_to)) {
                return $_SESSION['token'];
            }
            return hash_hmac('sha256', $lock_to, $_SESSION['token2']);
        }
    )
);

Bu Twig işlevi ile hem genel amaçlı jetonları şu şekilde kullanabilirsiniz:

<input type="hidden" name="token" value="{{ form_token() }}" />

Veya kilitli varyant:

<input type="hidden" name="token" value="{{ form_token('/my_form.php') }}" />

Twig yalnızca şablon oluşturma ile ilgilidir; yine de belirteçleri doğru şekilde doğrulamanız gerekir. Bana göre Twig stratejisi, maksimum güvenlik olasılığını korurken daha fazla esneklik ve basitlik sunuyor.

Tek Kullanımlık CSRF Jetonları

Her CSRF belirtecinin tam olarak bir kez kullanılmasına izin verilmesi gibi bir güvenlik gereksiniminiz varsa, en basit strateji onu her başarılı doğrulamadan sonra yeniden oluşturur. Ancak, bunu yapmak, aynı anda birden çok sekmeye göz atan kişilerle iyi karışmayan her önceki belirteci geçersiz kılar.

Paragon Initiative Enterprises , bu köşe vakalar için bir Anti-CSRF kitaplığı bulunduruyor . Yalnızca tek kullanımlık form başına belirteçlerle çalışır. Oturum verilerinde yeterli sayıda token depolandığında (varsayılan yapılandırma: 65535), ilk olarak en eski kullanılmayan tokenları devre dışı bırakır.

Question 3

Güvenlik Uyarısı : md5(uniqid(rand(), TRUE))rasgele sayılar oluşturmanın güvenli bir yolu değildir. Daha fazla bilgi ve kriptografik olarak güvenli bir rastgele sayı oluşturucudan yararlanan bir çözüm için bu yanıta bakın .

Görünüşe göre if'inizle başka bir şeye ihtiyacınız var.

if (!isset($_SESSION['token'])) {
    $token = md5(uniqid(rand(), TRUE));
    $_SESSION['token'] = $token;
    $_SESSION['token_time'] = time();
}
else
{
    $token = $_SESSION['token'];
}

Question 4

Değişken $token, oradayken oturumdan alınmıyor