16

Gostaria de saber como proteger essas requisições, para que elas não funcionem caso o usuário tente usá-las de forma indevida...

Um exemplo é um sistema que faz atualizações no banco de dados a cada 5 minutos, mas o usuário vai no console e usa o resend para fazer quantas vezes ele quiser... nesse caso deveria dar acesso negado.

Quais as formas seguras para proteger essas requisições AJAX?

7
  • 2
    A maneira que me ocorre é teres sessões e um contador no servidor, em vêz de têr no browser. Já experimentaste isso?
    – Sergio
    Commented 13/06/2016 às 10:17
  • 3
    Se o sistema for bem desenvolvido não será necessário proteger o ajax, deve ter uma ou duas validações no backend, e o ajax deve enviar e pegar dados para camada antes da validação e nao direto na camada de persistência.
    – Leonardo
    Commented 13/06/2016 às 13:11
  • 6
    Para proteger contra sistemas automatizados de inserção de dados etc basta fazer um campo hidden de token com valor baseado no time e criptografa, uma das validações do backend sera se o token for igual ao do input.
    – Leonardo
    Commented 13/06/2016 às 13:13
  • 2
    Penso também em utilização de Tokens. A própria aplicação retorna o token que deverá "existir" na requisição Ajax. Se não existir, a operação é cancelada. Commented 17/06/2016 às 12:16
  • 4
    Precisa explicar quais são os problemas que quer tratar, pq cada caso é um caso. Em principio, a resposta simples é "no ajax não é possivel". Mas em alguns casos, você consegue evitar a repetição usando nonces (uma espécie de token não reutilizavel) controlados pelo servidor (como é feito na maior parte dos bloqueio de ataque por replay). O fato é que praticamente tudo que o usuário pode fazer pelo browser pode ser emulado por uma aplicação maliciosa nos minimos detalhes. Só captcha e similares para evitar ataques automatizados, mas aí impacta na usabilidade (e não evita ataques "manuais").
    – Largato
    Commented 23/04/2017 às 20:16

4 Respostas 4

12

Quais as formas mais seguras para proteger essas requisições?

A forma mais segura para proteger os dados é utilizando certificado SSL que podem ser self-sign, no caso de intranet, ou emitido por empresa certificadora. Com certificados pagos, tenho boas experiências com o GoDaddy relacionado ao certificado SSL, mas tem também o RapidSSL que ainda não utilizei, mas o preço é bem convidativo.

Para evitar bots indico utilização captchas e/ou limitar a quantidade de requisições a cada X segundos. Se você quiser implementar, recomendo o reCAPTCHA do Google.

Realize tratamentos também nos dados armazenados para evitar XSS (Cross-site scripting), para que não seja possível utilizar tags HTML nos dados.

Bloqueie os acessos externos à sua aplicação

Você pode fazer com que o Apache bloqueie acessos externos. Além de poder usar CSRF (Cross-site request forgery) dentro da sua/suas aplicações para dizer quais requisições são realmente confiáveis, que normalmente é inserida através de um input hidden com um token, e assim evitar um tipo de ataque por bot.

Usar session para evitar ataques é uma boa ideia?

Essa ideia pode funcionar em formulários em que o usuário precise estar logado, mas não é seguro. Por que eu digo isso? Se você já desenvolveu alguma aplicação criando HttpRequest e HttpResponse, por exemplo, já deve ter matado a charada.

O que acontece é que a sessions e o cookies são armazenamentos "opcionais" (você pode desabilitar isso no seu browser, por exemplo) e são facilmente forjados por uma pessoa maliciosa, ou seja, não dá para ser controlado sempre, além disso ele pode estar falsamente ativo.

Nota: quando digo falsamente ativa é porque a requisição pode preencher todos os requisitos normais, informando ao servidor que está ativa, mas a cada requisição ela é renovada fazendo com que a session volte a aceitar como se fosse a primeira.

A triste história do servidor que aceita tudo que o cliente fala

Seria mais ou menos assim, levando em consideração que a requisição 1 foi enviada às 13h01min:

  • [13:01:01]192.168.1.1 - Envia uma requisição para o servidor.
  • [13:01:01]Servidor pergunta: Quantas vezes você, 192.168.1.1, tentou enviar essa requisão? Responda pelo cabeçalho através da session.
  • [13:01:02]192.168.1.1 responde: Uma vez só.
  • [13:01:03] Servidor recebe e responde: Ok, então, aceito sua Session e consequentemente sua requisição #handShake
  • //Mas o 192.168.1.1 é um bot e depois do handShake (aperto de mãos) ele vai fazer isso várias vezes dizendo sempre que é a primeira vez e seu servidor vai acreditar nele
  • [13:01:03]192.168.1.1 - Envia outra requisição para o servidor.
  • [13:01:04]Quantas vezes você, 192.168.1.1, tentou enviar essa requisão? Responda pelo cabeçalho através da session.
  • [13:01:05]192.168.1.1 responde: Uma vez só. :D
  • [13:01:06] Servidor recebe e responde: Ok, então, aceito sua Session e consequentemente sua requisição #handShake
  • (E assim pode seguir por dias, semanas, meses ou até o servidor cair)

Bem, espero que tenha ficado claro o motivo de não usar isso. Recomendo que você armazene os ips e tentativas no seu servidor, não deixe que o bandido diga que é inocente, ou deixe que ele diga, mas verifique se a informação corresponde à realidade.

Mas isso não onera meu servidor? Onera um pouco, mas possibilita que você faça um bloqueio futuro do ip, descubra quem está tentando atacar, e não perca essa informação com facilidade.

Observação: não posso ter certificado digital pago na minha intranet?

Segundo a Godaddy e a RapidSSL, não é mais possível emitir certificados SSL para uso em intranet, desde 1º de novembro de 2015, o IP deve constar no WhoIs. Qualquer dúvida, visite esse link que tem a observação.

Conclusão

Espero ter te ajudado e quero deixar claro que há outras maneiras de atacar seu formulário, mas implementar essas questões tornará seus formulários um pouco mais seguro. Lembrando que não há como garantir 100% de segurança, por isso, esteja sempre procurando modos de atacar seu sistema. Além disso há ferramentas bem interessantes para realizar testes em aplicações web.

Abraço e boa sorte no desenvolvimento das suas aplicações!

Links que podem te ajudar

7

Existe uma solução simples que é definida através do servidor Apache, para isso, você precisa ativar o Cross-Site XMLHttpRequests no mod_headers:

Leia mais aqui sobre como ativar cors

O que o CORS faz?

Ele bloqueia as requisições que são feitas por outros domínios. Mas para você poder controlar suas requisições de saída, agora será preciso enviar o header de liberação através do seu arquivo PHP, uma solução simples para controlar:

Usando uma classe que possibilite controle de XSS (Cross-Site Scripting):

class XSSSecurityAccessOrigin
{

    private $permission_domains = array();
    private $request;
    private $secureProtocol = false;
    private $allowAll = false;

    public function __construct($request, $secureProtocol = false, $allowAll = false)
    {
      $this->permission_domains = array(
       'www.seusite.com.br',
       'www.subdominio.seusite.com.br' 
      );
      $this->request = $request;
      $this->secureProtocol = $secureProtocol;
      $this->allowAll = $allowAll;
    }

    public function accessControlAllowOrigin()
    {
        $security = '';
        if (in_array($this->request, $this->permission_domains)) {  
           if ($this->secureProtocol) {
               $security = 's';
           }
            $this->request = 'http{$security}://' . $this->request;
            return true;
        } else {
        return false;
        }
    }

    public function getJSON()
    {
        if ($this->allowAll) {
           $this->request = '*';
        }
        header("Access-Control-Allow-Origin: {$this->request}");
    }

}  
//como usar a classe
$permission = new XSSSecurityAccessOrigin($_SERVER['SERVER_NAME']);

if ($permission->accessControlAllowOrigin()) {
   $permission->getJSON();

   $data = $POST['request'];

   echo json_encode(array('success'=>true, 'data'=>$data));
}

Esta segurança irá garantir que suas requisições sejam feitas somente pelo proprietário, ou pelos domínios que terão permissão de acesso.

Além disso, para garantir ainda mais segurança, você pode estabelecer uma validação token do tipo CSRF (Cross Site Request Forgery), isso permite verificar se a requisição partiu do mesmo local.

O Zend Framework, no caso esse é da versão 1.12, possui um plugin que permite fazer isso, segue o exemplo:

<?php
class Application_Plugin_Csrf extends Zend_Controller_Plugin_Abstract {
    public function preDispatch(Zend_Controller_Request_Abstract $request) {
        $csrf = new Zend_Session_Namespace('csrf-token');
        if ($request->getMethod() == 'POST' && !$this->isWhiteListed($request)) {
            if (!isset($_POST['csrf-token']) || !in_array($_POST['csrf-token'], $csrf->list)) {

                $writer = new Zend_Log_Writer_Stream(APPLICATION_PATH.'/data/error.log');
                $logger = new Zend_Log($writer);

                $logger->log('Invalid CSRF: expected '.$csrf->value.' and received '.$_POST['csrf-token'], Zend_Log::ERR);

                $this->getResponse()
                    ->clearHeaders()
                    ->setHttpResponseCode(403)
                    ->setRedirect('/error')
                    ->sendResponse();
            }
        }
    }

    private function isWhiteListed($request) {
        $actions = array(
          'error',
          'url-liberada-x',
          'url-liberada-y'
        );
        if (in_array($request->getActionName(), $actions)) {
            return true;
        }

        return false;
    }
} 
5
+50

Não tenho muito conhecimento quando o assunto é ajax, prefiro realizar as validações no back-end, deixo para o front-end o papel puro de interface, o resto, como validações prefiro no server-side.

Vou responder da forma que geralmente faço com minhas requisições, não só quando se trata de ser ajax.

Utilizo o sistema de token, um token é gerado quando a página é chamada, e acrescentado ao um input do tipo hidden, eu envio ele com ajax juntamente com os outros dados, já no php eu válido esse token várias vezes para ver se o token é válido.

Montei um pequeno exemplo rápido para ver que mesmo tendo conhecimento do sistema não é possível invadi-lo, segue a descrição de cada arquivo:

index.php: responsável por exibir o formulário de cadastro de pessoa, a listagem de pessoas cadastradas, nele eu gero um token no inicio da página, e o atribuo em um campo do tipo hidden, há também o ajax responsável por enviar os dados.

<?php
include 'Pessoa.php';
$_SESSION['token'] = crypt("MyAppIDKey" . time() . "MyTokenSecurity");
?>
<!DOCTYPE html>
<html>
    <head>
        <meta charset="utf-8" />
        <title>Segurança Ajax</title>
        <script  src="jquery.min.js"></script>
    </head>

    <body>
        <form class="myForm" method="get">
            <p>
                <label>Nome: </label>
                <input type="text" name="nome" />
            </p>

            <p>
                <label>Idade: </label>
                <input type="number" name="idade" />
            </p>

            <p>
                <label>E-mail: </label>
                <input type="email" name="email" />
            </p>

            <p>
                <input type="hidden" name="token" value="<?php echo $_SESSION['token']; ?>" />
                <input type="submit" value="Enviar" />
                <input type="reset" value="Limpar" />
            </p>
        </form>

        <div class="result"></div>

        <?php if(isset($_SESSION['pessoas']) and !empty($_SESSION['pessoas'])): ?>
        <table>
            <thead>
                <tr>
                    <th>Nome</th>
                    <th>Idade</th>
                    <th>Email</th>
                </tr>
            </thead>

            <tbody>
                <?php foreach ($_SESSION['pessoas'] as $pessoa): ?>
                    <tr>
                        <td><?php echo $pessoa->getNome(); ?></td>
                        <td><?php echo $pessoa->getIdade(); ?></td>
                        <td><?php echo $pessoa->getEmail(); ?></td>
                    </tr>
                <?php endforeach; ?>
            </tbody>
        </table>
        <?php endif;?>


        <script>
        $(function()
        {
            $("form.myForm").submit(function()
            {
                $.ajax(
                {
                    type: "GET",
                    url: "callMyController.php",
                    data: 
                    {
                        nome: $("input[name = nome]").val(),
                        idade: $("input[name = idade]").val(),
                        email: $("input[name = email]").val(),
                        token: $("input[name = token]").val()
                    },
                    success: function(result)
                    {
                        if(result == "ok")
                        {
                            alert("Pessoa cadastrada!");
                        }   
                        else
                        {
                            alert("Erro: " + result);
                        }
                    }
                });
            });
        });
        </script>
    </body>

</html>

callMyController.php: seria seu framework ou arquitetura padrão, mas no caso coloquei ele para não ter de criar uma arquitetura, é esse arquivo que o ajax envia a requisição, nele eu apenas valido o token pela primeira vez e envio o array de dados GET para meu controlador:

<?php
    require_once 'MyController.php';

    if(isset($_GET['token']) and $_GET['token'] === $_SESSION['token'])
    {
        $mc = new MyController();

        $mc->cadastrar($_GET);
    }
    else
        echo "Erro no acesso";

MyController.php: Nessa classe tenho a comunicação entre a visão e o model, é feita a mesma validação do token, tento colocar os dados digitados na classe do model (nos setters há mais validações), e por fim tento cadastrar essa pessoa, se obtive sucesso ao cadastrar eu exibo um ok como retorno para o ajax, se não pego a exceção de validação que foi lançada:

<?php

require_once 'Pessoa.php';

class MyController
{
    private $myModel = null;

    public function __construct()
    {
        $this->myModel = new Pessoa();
    }

    public function cadastrar($data)
    {
        if($data['token'] === $_SESSION['token'])
        {
            try 
            {
                $this->myModel->setNome($data['nome']);
                $this->myModel->setEmail($data['email']);
                $this->myModel->setIdade($data['idade']);

                if($this->myModel->inserirPessoa())
                    echo "ok";
            } 
            catch (Exception $e) 
            {
                echo $e->getMessage();
            }
        }
    }
}

Pessoa.php: representa o objeto Pessoa, onde possuo os atributos presentes no formulário, seus getters e setters com validações e um método de cadastrar uma nova pessoa, que no exemplo apenas tenta colocar essa pessoa em um array de sessão que representa meu banco de dados:

<?php
session_start();
session_name(crypt("MyAppIDKey"));

class Pessoa
{
    private $nome;
    private $email;
    private $idade;

    public function __construct()
    {
        if(!isset($_SESSION['pessoas']))
            $_SESSION['pessoas'] = array();
    }

    public function setNome($nome)
    {
        if(!stripos(mb_strtolower($nome), " and ") and !stripos(mb_strtolower($nome), " or "))
            $this->nome = $nome;
        else
            throw new Exception("Nome inválido");

    }

    public function setEmail($email)
    {
        if(filter_var($email,  FILTER_VALIDATE_EMAIL))
            $this->email = $email;
        else
            throw new Exception("Email inválido");
    }

    public function setidade($idade)
    {
        if(filter_var($idade,  FILTER_VALIDATE_INT))
            $this->idade = $idade;
        else
            throw new Exception("Idade inválida");
    }

    public function getNome()
    {
        return $this->nome;
    }

    public function getIdade()
    {
        return $this->idade;
    }

    public function getEmail()
    {
        return $this->email;
    }

    public function inserirPessoa()
    {
        try 
        {
            array_push($_SESSION['pessoas'], $this);
            return true;
        } 
        catch (Exception $e) 
        {
            throw new Exception($e->getMessage());
        }
    }
}

Por fim, mas não menos importante, coloquei um arquivo chamado invadir.php, onde tento fazer uma invasão no sistema acrescentando um dado novo, isso seria a ação de um ataque de inserção, onde o invasor lota o banco de dados com informações inúteis, podendo fazer até coisas piores, como tentar uma SQL Injection automática, pois normalmente a invasão não é feita de um em um dado, e sim usando uma estrutura de repetição.

<?php
$_SESSION['token'] = crypt("MyAppIDKey" . time() . "MyTokenSecurity");
?>
<!DOCTYPE html>
<html>
    <head>
        <meta charset="utf-8" />
        <title>Tentando invadir</title>
        <script  src="jquery.min.js"></script>
    </head>

    <body>
        <p>
            <label>Token: </label>
            <input type="text" name="token" value="<?php echo $_SESSION['token']; ?>" />
        </p>
        <p><a href="#" class="tryHack" >Invadir</a></p>
        <div class="result"></div>

        <script>
        $(function()
        {

            $("a.tryHack").click(function()
            {
                $.ajax(
                {
                    type: "GET",
                    url: "callMyController.php",
                    data: 
                    {
                        nome: "dado01",
                        idade: "15",
                        email: "[email protected]",
                        token: $("input[name = token]").val()
                    },
                    success: function(result)
                    {
                        if(result == "ok")
                        {
                            alert("Pessoa cadastrada!");
                        }   
                        else
                        {
                            $("div.result").html(result);
                        }
                    }
                });
            });
        });
        </script>
    </body>

</html>

Observações:

  • Foi usado o crypt para a criptografia, poderia usar outros métodos, como o md5 (que não é criptografia);
  • Poderia ter mais validações, como ao chegar no callMyController.php gerar outro token de validação para validar com o controlador e no contralodor ser gerado outro a fim de ser validado no model.
  • Utilizei o método GET apenas para tornar um pouco mais sujeito a invasões caso alguém queria tentar testar invasões via URL. Lembrando que é recomendável o método POST para esse tipo de transporte de dados.
2
  • Métodos como md5 quando a questão é criptografia não é bom nem se quer dar conselho para se usar,pois quando a questão é segurança md5 falha,só serve para armazenar senhas fracas ou sem muita importância,pois seu hash é facil de se espelhar e conseguir quebrar a sua segurança.Se fosse usar mesmo outros métodos,aconselharia base64 ou crypt como você já usou na sua resposta.
    – Falion
    Commented 24/06/2016 às 20:15
  • 2
    Sim. Como citei nas observações, o md5 nem é um método de criptografia.
    – Leonardo
    Commented 24/06/2016 às 20:20
3

Uma requisição ajax é tão segura quanto uma requisição webform. Ambas são requisições HTTP e a diferença entre elas é a possibilidade do ajax realizar envios assíncronos além do processamento do servidor em segundo plano.

No demais, qualquer medida de segurança que você precisa tomar com webforms, precisará utilizar com ajax.

Assim a pergunta que você deve se fazer é, quais falhas de segurança o meu projeto pode ter?

Ilustrando o exemplo citado, na qual você quer mensurar como as requisições devem ser feitas você pode usar a sessão para fazer isso, vamos a um exemplo:

A cada requisição você guarda na sessão o momento em que ela é feita:

session_start();
$_SESSION['now_request'] = time();

Na pagina que vai receber a requisição ajax você faz o seguinte:

session_start();

// Se não houver uma ultima requisição, então $ultima recebe a hora da requisição atual, caso contrario, recebe a hora da ultima requisição;
$ultima =(empty($_SESSION['last_request']))?$_SESSION['now_request']-301:$_SESSION['last_request'];

// O $tempo recebe a subtração da requisição atual com a hora da requisição da ultima, retornando os segundos passados entre a requisição atual e a ultima requisição
$tempo  = $_SESSION['now_request'] - $ultima;

// Se o tempo for maior que 300(5*60) então se passou o tempo necessário para que o usuário possa fazer uma nova requisição.
if ($tempo > 300){
      //Executa requisição
}
// Caso contrario rejeite-a
else{
      echo 'A proxima requisição poderá se executada em ($tempo - 300) segundos';
}

Esse exemplo apenas ilustra a sua pergunta, tem melhores maneiras de fazer. O ponto da questão é, fazendo a requisição via ajax ou webform, a maneira de processar a requisição sempre será a mesma, assim como os seus requisitos de segurança.

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .