0

Segundo esse comentário de @PauloAlexandre, seria possível validar os dados apenas no front, de forma que o back só receba os dados prontos

Sei que é possível limitar, por meio de CORS, a origem da requisição entre outras coisas

Mas realmente é possível fazer o que citei a cima? Como?

4
  • 2
    Isso quebra a regra número 1 da web: nunca confie nos dados do seu cliente.
    – Woss
    Commented 26/07/2018 às 0:21
  • 1
    E se o atacante fizer um XSS no seu site e efetuar a requisição do seu próprio domínio? Em um caso ideal, que você feche toda e qualquer brecha de segurança, quem sabe, você até poderia confiar, mas quem te garantirá que você fechou todas elas? Eu acho bem menos trabalho fazer a validação no backend também - e com certeza bem mais barato.
    – Woss
    Commented 26/07/2018 às 0:25
  • @AndersonCarlosWoss poderia dar uma resposta aprofundando isso tudo?
    – Costamilam
    Commented 26/07/2018 às 0:33
  • Não, jamais valide os dados apenas no front. O proprio browser te da possibilidade de editar um request, portanto sua limitação no CORS não vale nada.
    – Tom Melo
    Commented 26/07/2018 às 0:36

2 Respostas 2

1

Nunca deve acreditar numa informação do cliente, esta é a regra básica.

Você pode incluir filtros e validações no lado do cliente, afim de proporcionar uma melhor experiencia de uso, já que os erros serão imediatos, não tendo que aguardar a resposta do servidor.

Mas, obrigatoriamente deverá fazer a mesma verificação no servidor.


Não há como saber a "origem de requisição", esquece. O CORS apenas afeta o contexto do navegador, ele não é a única forma de comunicação com sites. O CORS é feito para que o navegador, honesto, não permita conexões entre sites.

Você pode simplesmente "burlar isso" usando o cURL, por exemplo:

curl ^
-H "Origin: seusite.com" ^
-H "Referer: https://seusite.com" ^
-H "User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/67.0.3396.87 Safari/537.36 OPR/54.0.2952.54" ^
-d "nome=12345&email=xxxxxx&senha=000" ^
-X POST ^
https://seusite.com/registrar

Note que estamos fingindo estar no seusite.com acrescentando os cabeçalhos de Origin e Referer, o que irá enganar qualquer validação de "origem". Além disso, acrescentamos o User-Agent para fingir ser um navegador comum. Depois disso enviamos qualquer informação arbitrária, como: nome=12345&email=xxxxxx&senha=000, se o filtro for somente no cliente, nós ignoramos completamente.

2
  • Desse modo, também é possível também enviar um ip falso?
    – Costamilam
    Commented 2/08/2018 às 13:41
  • 1
    @GuilhermeCostamilam, depende. Se você acreditar nos cabeçalhos, sim.. Mas, tirando essa situação, o TCP (e consequentemente o HTTP) não tem como falsificar o IP devido ao handshake, o máximo que pode é usar proxies, o que não é uma "falsificação" em si. Mas, se por algum motivo, estiver usando UDP, você poderá ter problemas com falsificação de IP.
    – Inkeliz
    Commented 2/08/2018 às 15:58
0

Não! Do ponto de vista de um atacante, não existe "validação segura no front-end", ela simplesmente será ignorada.


Por mais que você limite a origem do request(CORS), é extremamente simples editar o conteúdo de um request utilizando ferramentas como BurpSuite ou até mesmo através do próprio browser. Ou seja, é possível enviar um request válido contendo um payload malicioso.

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .