💥 ⤵️ 🤸🏿 क्रॉस साइट अनुरोध हमलों (CSRF) से अजाक्स आवेदन की रक्षा 👊🏼 👨🏼‍🍳 🍡

हाल ही में, मुझे CSRF हमलों से अजाक्स पर पूरी तरह से निर्मित एक वेब एप्लिकेशन को बचाने का काम मिला था।

इस तरह के हमले का तंत्र क्या है? निचला रेखा उपयोगकर्ता के प्राधिकरण डेटा के तहत किसी अन्य साइट से अनुरोध को निष्पादित करना है। उदाहरण के लिए, हमारे पास हमारे example.com/login/dropme खाते को हटाने की कार्रवाई है। यदि CSRF हमले से कोई सुरक्षा नहीं है, तो हम उस वेबसाइट पर टैग लगा सकते हैं जिसकी हमें आवश्यकता है:

<img src="http://example.com/login/dropme">

उपयोगकर्ता द्वारा हमारे द्वारा तैयार किए गए पृष्ठ पर जाने और तुरंत ही img की सामग्री अपलोड करने के बाद, example.com पर उसका खाता हटा दिया जाएगा। मैं आपको कट के तहत इससे सुरक्षा के बारे में बताऊंगा।

हमले का तंत्र

हमले का सार एक टैग सेट करना है जो किसी अन्य साइट से url द्वारा सामग्री लोड करता है। इस तरह के एक टैग img, स्क्रिप्ट, लिंक (सीएसएस के लिए), iframe, और संभवतः अन्य हो सकते हैं जो तुरंत मेरे दिमाग में नहीं आए।

सुरक्षा के मानक तरीके और वे मुझे क्यों पसंद नहीं आए

सुरक्षा का एक आसान तरीका है: HTTP_REFERER की जाँच करना। यह मेरे अनुरूप नहीं था क्योंकि ब्राउज़र अनाम मोड में इस शीर्ष लेख को नहीं भेज सकता है। इस मामले में, सभी "अनाम" उपयोगकर्ता इस तरह के हमले के लिए अतिसंवेदनशील होंगे।

सुरक्षा का एक और अधिक उन्नत तरीका है: url में एक टोकन जोड़ना और कार्रवाई के दौरान टोकन की जांच करना। मुझे यह क्यों पसंद नहीं आया? एक तैयार आवेदन है, जिसमें विभिन्न पृष्ठों और कार्यों के लिए पहले से ही 100 से अधिक लिंक हैं, उन्हें कोड में निष्पादित किया जाता है <a href="..."> </a>, और url हस्तांतरण के साथ फ़ंक्शन कॉल के रूप में नहीं, तदनुसार इसे और अधिक संपादित करना आवश्यक होगा 100 स्थानों पर। किसी चीज को भूलने का खतरा होता है।

निर्णय

समाधान जल्दी मिल गया था। चूंकि अनुप्रयोग में सब कुछ अजाक्स के माध्यम से काम करता है, हम अजाक्स अनुरोध में एक टोकन हेडर जोड़ सकते हैं। हमारे मामले में, jQuery में इस तरह से किया जाता है:

 $.ajaxSetup({ headers: { 'X-Csrf-Token':token } });

अजाक्स अनुरोधों के अलावा, एक नए टैब में उद्घाटन हो सकते हैं, और सबसे महत्वपूर्ण बात, आवेदन में पहली प्रविष्टि। इन अनुरोधों में एक टोकन नहीं है, लेकिन हमें उन्हें संसाधित करना होगा। उन्हें संसाधित करने के लिए, हम निम्नलिखित समाधान का उपयोग करते हैं। यदि अनुरोध में कोई टोकन नहीं है, तो निम्न HTML- कोड दें:

 <html> <body> <?php echo $loading_text; ?> <script type='text/javascript'> <?php /** check img and other left src tags **/ ?> if (parent.document.location.href == document.location.href){ <?php /** check iframe **/ ?> document.location.href='<?php echo $url; ?>'; } </script> </body> </html>

यहां $ url वह URL है जिसके लिए अंत में साइन इन किए गए & csrf_token के साथ अनुरोध किया गया था। यदि इस तरह के कोड को img, स्क्रिप्ट, लिंक टैग को दिया जाता है, तो इसे निष्पादित नहीं किया जाएगा और हमलावर लक्ष्य को प्राप्त नहीं करेगा। यदि कोड iframe में एम्बेड किया गया है, तो यदि वह स्थिति उसके निष्पादन में कटौती करेगी।

तदनुसार, यह हमारे लिए यह जानने के लिए बना हुआ है कि GET पैरामीटर से टोकन को कैसे संसाधित किया जाए और इसे हमारे हेडर के लिए क्लाइंट की ओर दिया जाए। वास्तव में इसे देना विशेष रूप से और समस्याग्रस्त नहीं है। एक पेज लोड करने के बाद, example.com/profile के लिए, हम हमेशा पेज example.com/profile?csrf_token= पर आते हैं ।
तदनुसार, यह हमारे लिए js का उपयोग करके प्राप्त पैरामीटर से टोकन निकालने के लिए रहता है।

अंतभाषण

जो कुछ मैंने ऊपर वर्णित किया है वह एक पुस्तकालय में आयोजित किया गया था और गीथूब पर पोस्ट किया गया था। उस लाइब्रेरी में कई खामियां हैं, लेकिन समय मिलते ही मैं उन्हें ठीक कर दूंगा। यह लाइब्रेरी पहले से ही एक वास्तविक परियोजना पर काम कर रही है।

क्रॉस साइट अनुरोध हमलों (CSRF) से अजाक्स आवेदन की रक्षा

हमले का तंत्र

सुरक्षा के मानक तरीके और वे मुझे क्यों पसंद नहीं आए

निर्णय

अंतभाषण

More articles: