Как отправить безопасные запросы AJAX с PHP и jQuery

Ответ 1

1. Проверьте заголовок ORIGIN

Как указанный OWASP, этого недостаточно, но рекомендуется:

Хотя тривиально обманывать любой заголовок из вашего собственного браузера, как правило, это невозможно сделать при атаке CSRF, за исключением уязвимости XSS. То, что проверка заголовков является разумным первым шагом в вашей защите CSRF, но поскольку они не всегда присутствуют, она обычно не считается достаточной защитой сама по себе.

И от Mozilla:

Заголовок Origin считается полезным для предотвращения кражи данных JSON и CSRF. Информация, предоставленная Origin - небольшая информация о создании контекстуального запроса - должна давать подсказки веб-серверам о достоверности запросов [...]

Проверка заголовка HTTP_ORIGIN может быть записана как:

header('Content-Type: application/json');

if (isset($_SERVER['HTTP_ORIGIN'])) {
    $address = 'http://' . $_SERVER['SERVER_NAME'];
    if (strpos($address, $_SERVER['HTTP_ORIGIN']) !== 0) {
        exit(json_encode([
            'error' => 'Invalid Origin header: ' . $_SERVER['HTTP_ORIGIN']
        ]));
    }
} else {
    exit(json_encode(['error' => 'No Origin header']));
}

1. (бис) Проверьте заголовок REFERER

Снова из OWASP:

Если заголовок Origin отсутствует, убедитесь, что имя хоста в заголовке Referer совпадает с исходным кодом сайта. Проверка рефератора является широко используемым методом предотвращения CSRF на встроенных сетевых устройствах, поскольку для него не требуется состояние для каждого пользователя. Этот метод смягчения CSRF также широко используется с неаутентифицированными запросами [...]

Проверка HTTP_REFERER также довольно проста в PHP с помощью $_SERVER['HTTP_REFERER'], вы можете просто обновить приведенный выше код.

Будьте осторожны с проверкой, которая всегда должна быть действительно конкретной: не проверяйте example.com или api.example.com, но полный https://example.com. Зачем? Потому что вы можете обмануть эту проверку с помощью источника, такого как api.example.com.hacker.com.

2. Создание токенов CSRF

Хорошо объясненный ответ, специфичный для PHP, был дано там, короче:

• Создайте токен:

  session_start();
  if (empty($_SESSION['csrf_token'])) {
      $_SESSION['csrf_token'] = bin2hex(random_bytes(32));
  }
  

• Добавьте его в свои сгенерированные представления через мета (например, Github):

  <meta name="csrf-token" content="<?= $_SESSION['csrf_token'] ?>">
  

• Настройка jQuery ajax-вызовов для включения этого токена:

  $.ajaxSetup({
      headers : {
          'CsrfToken': $('meta[name="csrf-token"]').attr('content')
      }
  });
  

• Серверная проверка ваших запросов AJAX:

  session_start();
  if (empty($_SESSION['csrf_token'])) {
      $_SESSION['csrf_token'] = bin2hex(random_bytes(32));
  }
  
  header('Content-Type: application/json');
  
  $headers = apache_request_headers();
  if (isset($headers['CsrfToken'])) {
      if ($headers['CsrfToken'] !== $_SESSION['csrf_token']) {
          exit(json_encode(['error' => 'Wrong CSRF token.']));
      }
  } else {
      exit(json_encode(['error' => 'No CSRF token.']));
  }
  

Большинство фреймворков PHP имеют собственную реализацию CSRF, которая более или менее основана на одном и том же принципе.

3. Sanitize подтвердите ввод пользователя.

Вы всегда должны фильтровать вкладки espace и проверить их.

4. Защитите свой сервер

• Ограничить количество ваших запросов.
• Используйте https как можно больше.
• Блокировать плохие запросы.
• Защитить запросы POST.

5. Никогда не доверяйте пользовательскому вводу

Как сказал @blue112, это один из самых элементарных принципов безопасности.

Ответ 2

Короткий ответ: вы не можете защитить свою клиентскую сторону.

Длинный ответ:

• Использование AJAX столь же безопасно, как и отправка данных, например, с помощью формы.
• Использование HTTPS предотвращает доступ пользователей к данным пользователя, поэтому фактические данные, отправленные пользователем, безопасны.

Вы ничего не можете сделать, чтобы браузер показал, что это действительно ваш код javascript, который работает на стороне клиента. Тогда очевидное действие, которое нужно предпринять, является самым простым: НИКОГДА НЕ ДОПУСКАТЬ ВХОД ПОЛЬЗОВАТЕЛЯ.

Это означает, что по мере того, как вы начали делать, защита вашего сервера с помощью сеанса, ограничение скорости, проверка данных, fail2ban (запрет на IP-адрес клиента после определенного количества сбоев), мониторинг журнала...

Ответ 3

лучший способ по-прежнему заключается в обеспечении защиты на стороне сервера, и если бы я был зарегистрированным пользователем на сайте, я бы также смог проверить токен csrf на своем метатеге и подделать сервер script. Таким образом, уверенная ставка - проверка на стороне сервера