За последние 24 часа нас посетили 17042 программиста и 1297 роботов. Сейчас ищут 1467 программистов ...

Csrf атаки. Anti-csrf token — панацея?

Тема в разделе "Прочие вопросы по PHP", создана пользователем Redya69, 26 янв 2015.

  1. Redya69

    Redya69 Активный пользователь

    С нами с:
    30 янв 2013
    Сообщения:
    39
    Симпатии:
    0
    Вот столкнулся с проблемой Csrf атак на своём сайте.
    Читаю как избавится от неё. Везде пишут, что применяют Anti-csrf token и что, якобы, гарантированно спасает.

    Как сейчас производится атака:
    Пользователю моего сайта присылают ссылку, он по ней переходит, производится POST запрос на мой сайт, где исполняются от его имени какие-то действия.

    С Anti-csrf token: что мешает сначала сделать запрос на страницу, где этот токен генерируется, а потом точно также произвести POST запрос уже с этим же токеном?
     
  2. denis01

    denis01 Суперстар
    Команда форума Модератор

    С нами с:
    9 дек 2014
    Сообщения:
    12.227
    Симпатии:
    1.714
    Адрес:
    Молдова, г.Кишинёв
    По умолчанию браузер это запрещает, ты как владелец сайта можешь это разрешить, например смотри cross domain ajax
    https://ru.wikipedia.org/wiki/%D0%9F%D1%80%D0%B0%D0%B2%D0%B ... 0%BD%D0%B0
     
  3. artoodetoo

    artoodetoo Суперстар
    Команда форума Модератор

    С нами с:
    11 июн 2010
    Сообщения:
    11.112
    Симпатии:
    1.243
    Адрес:
    там-сям
    В вопросах защиты нет ничего гарантированного. Может быть "довольно хорошее", pretty good. Комбинация из разных довольно хороших приемов даст вообще отличный результат ))) Но негарантированный.

    А вообще токен токену рознь. Почитай http://en.wikipedia.org/wiki/Cross-site_request_forgery#Prevention