12

Tenho os seguintes arquivos baseado em outros scripts que tentei estudar:

autenticar.php

<?php
session_start();

if (isset($_POST['token'], $_POST['login'], $_POST['senha'])) {
    $token = empty($_SESSION['token']) ? NULL : $_SESSION['token'];

    if ($_POST['token'] === $token) {
         /*Valida $_POST['login'] e $_POST['senha']*/
    } else {
         echo 'Requisição invalida';
    }
} else {
    echo 'Faltam dados no Form';
}

login.php

<?php
session_start();

$_SESSION['token'] = md5(uniqid(rand(), true));
?>

<form method="POST" action="autenticar.php">
<input type="hidden" name="token" value="<? php echo $_SESSION['token']?>" />
<input type="text" name="login" placeholder="login"><br>
<input type="password" name="senha" placeholder="senha"><br>
<button type="submit">Logar</button>
</form>
  • Isso já basta pra ajudar a prevenir o ataque, criar uma chave aleatória (sei que é só uma prevenção)?
  • uniqid(...) com md5 ou sha1 é o melhor pra gerar este token?
  • Devo usar tokens apenas no momento da autenticação?
  • Devo usar tokens quando já estou autenticado?
  • Devo usar tokens para formulários que não necessitam de autenticação?
  • Devo usar em método GET ou apenas em POST ou a variação da necessidade vai da questão dos dados e não do tipo de requisição?

Li sobre o assunto, mas vejo que muitas informações se diferem em vários aspectos.

2
  • Você pode melhorar o sistema acrescentando campos com nomes randômicos. Vou dar um exemplo na resposta. Commented 3/03/2016 às 18:23
  • @FilipeMoraes Parece realmente uma ótima sugestão
    – Syzoth
    Commented 3/03/2016 às 18:26

2 Respostas 2

8
+200

Acredito que seja necessário proteger todos os seus formulários contra ataques CSRF, até os que precisam de autenticação para ter acesso, uma vez que o atacante pode criar uma conta, logar e atacar.

Todo o tipo de entrada no seu sistema deve ser tratada, por mais insignificante que ela possa parecer, principalmente quando essa entrada depende de dados preenchidos pelo utilizador.

Quanto a escolha do método GET ou POST, primeiro temos que saber:

  1. GET pode ser armazenado em cache, isso seria mal se você não quer informações privadas expostas na URL.
  2. GET nunca deve ser usado com dados sensíveis, como por exemplo, senhas, dados bancários, etc... uma vez que é exposto na URL e armazenado em cache pelo browser.
  3. GET tem restrição de comprimento, ou seja, a sua URL fica limitada a X caracteres (se não me engano há diferenças entre browsers).
  4. POST nunca será armazenado em cache, logo toda a informação enviada existe apenas naquele momento.
  5. POST não tem restrições de comprimento.
  6. Os dados são encapsulados no corpo da requisição HTTP, logo não estão expostos na URL, por exemplo.
  7. POST é ligeiramente mais lento por encapsular a mensagem.
  8. POST aceita outros tipos de dados, como binário, por sua vez GET apenas aceita caracteres ASCII.

Resumindo, se você quer que o utilizador conheça a URL (rotas), como por exemplo, acessar uma notícia meusite.com?pagina=noticias&id=12 ou meusite.com/news/12, então utilize GET, caso contrário utilize POST.

Embora o código da pergunta utilize apenas o POST, o exemplo abaixo pode ser usado tanto para GET como para POST. Usaremos dois métodos para ajudar a prevenir ataques nas solicitações GET e POST.

1º Método: utilização de token

Esse método consiste em incluir um token (string) aleatório em cada solicitação, ou seja, será adicionado um campo oculto a cada formulário existente com o token como valor.

Esse token é gerado pelo PHP e armazenado em uma sessão para quando existir uma requisição, o sistema fazer a comparação com o valor que foi preenchido automaticamente (ou mal-intencionada) no formulário.

Mais a baixo iremos juntar os 2 métodos e criar um script para prevenir o ataque. Por agora vamos falar do segundo método.

2º Método: campos com nomes aleatórios

Esse método utiliza nomes aleatórios para cada campo do formulário. O valor aleatório para cada campo é armazenado em uma variável de sessão. A cada submissão do formulário, assim como ocorre com o token, é gerado um novo nome aleatório para o campo.

Veja um exemplo de um POST request passando campos com o nome fixo. Utilizei os campos nome e email para exemplo:

POST /form.php HTTP/1.1
Host: testes.loc
Cache-Control: no-cache
Postman-Token: d2b73c66-68fe-8dc6-4660-010a41a8c9b0
Content-Type: multipart/form-data; boundary=----WebKitFormBoundary7MA4YWxkTrZu0gW

----WebKitFormBoundary7MA4YWxkTrZu0gW
Content-Disposition: form-data; name="name"

filipe
----WebKitFormBoundary7MA4YWxkTrZu0gW
Content-Disposition: form-data; name="email"

[email protected]
----WebKitFormBoundary7MA4YWxkTrZu0gW

Agora utilizando a técnica descrita acima, veja como ficou o name de cada campo:

//...

----WebKitFormBoundary7MA4YWxkTrZu0gW
Content-Disposition: form-data; name="C345Gdfbn56789mnbg"

filipe
----WebKitFormBoundary7MA4YWxkTrZu0gW
Content-Disposition: form-data; name="ERfbj567Mb867Jpknl6h"

[email protected]
----WebKitFormBoundary7MA4YWxkTrZu0gW

Ao fazer uma nova requisição, vemos que o name foi alterado novamente:

//...

----WebKitFormBoundary7MA4YWxkTrZu0gW
Content-Disposition: form-data; name="Hgfkpso456jnbJYBV097"

filipe
----WebKitFormBoundary7MA4YWxkTrZu0gW
Content-Disposition: form-data; name="670JK7hgdTJb60Kjh0I6T"

[email protected]
----WebKitFormBoundary7MA4YWxkTrZu0gW


Implementando os métodos acima:

Você pode melhorar o sistema e organizar tudo em classes para depois reaproveitar e até por questões de organização/manutenção, por agora vamos apenas modificar o seu código.

Modificando o código autenticar.php.

<?php
session_start();

if(isset($_SESSION['Token'], $_SESSION['TokenFieldName'], $_SESSION['LoginFieldName'], $_SESSION['SenhaFieldName'])) {
    if (isset($_POST[$_SESSION['TokenFieldName']], $_POST[$_SESSION['LoginFieldName']], $_POST[$_SESSION['SenhaFieldName']])) { 
        if ($_POST[$_SESSION['TokenFieldName']] === $_SESSION['Token']) {
             /*Valida $_POST['login'] e $_POST['senha']*/
        } else {
             echo 'Requisição invalida';
        }
    } else {
        echo 'Faltam dados no Form';
    }
 }

//Apaga o token e os campos
//Isso é necessário, caso contrário bastava o atacante fazer um inspecionar elemento e ver os respectivos names no formulário e apenas executar um POST Request para o `autenticar.php`.
//O token e os respectivos nomes serão gerados novamente no `login.php`, sendo assim terá sempre que passar pelo formulário.
unset($_SESSION['Token']);
unset($_SESSION['TokenFieldName']);
unset($_SESSION['LoginFieldName']);
unset($_SESSION['SenhaFieldName']);

Agora, vamos alterar o login.php:

<?php
//Função para gerar código randômico.
function generateRandomString($length = 15) {
    $characters = '0123456789abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ';
    $charactersLength = strlen($characters);
    $randomString = '';
    for ($i = 0; $i < $length; $i++)
        $randomString .= $characters[rand(0, $charactersLength - 1)];

    return $randomString;
} 

//Gera um novo token
$_SESSION['Token'] = generateRandomString();

//Gera um nome aleatório para cada campo do formulário
$_SESSION['TokenFieldName'] = generateRandomString();
$_SESSION['LoginFieldName'] = generateRandomString();
$_SESSION['SenhaFieldName'] = generateRandomString();
?>

<form method="POST" action="autenticar.php">
    <input type="hidden" name="<?=$_SESSION['TokenFieldName']?>" value="<?=$_SESSION['Token']?>" />
    <input type="text" name="<?=$_SESSION['LoginFieldName']?>" placeholder="login"><br>
    <input type="password" name="<?=$_SESSION['SenhaFieldName']?>" placeholder="senha"><br>
    <button type="submit">Logar</button>
</form>

Pronto, toda vez que o utilizador aceder ao formulário, cada campo terá um nome diferente da anterior e será gerado um novo token.

6
  • Ainda não terminei de ler a resposta, mas você explico bem sobre o GET e a questão do Cache que pode conflitar com o POST, realmente me parece uma ótima resposta, vou estuda-la e colocar em pratica, por enquanto obrigado! Assim que tirar todas conclusões volto pra entregar a recompensa!
    – Syzoth
    Commented 4/03/2016 às 15:24
  • @GuilhermeNascimento estude sim! Agora na minha opinião utilizar frameworks é uma boa opção. Mas se não quiser usar uma framework, você pode usar componentes prontos, como o Symfony Components. Você não precisa usar a framework Symfony, pode utilizar apenas os componentes, aliás, a própria Symfony Framework utiliza o Symfony Components. Commented 4/03/2016 às 16:12
  • Sim pensei nisto, essa é a questão apenas, entender como fazer, entender como funciona, eu costumo usar Laravel que usa o Symfony Components. Mas estou criando um framework próprio totalmente independente que o consumo de ram é 500k vs Laravel que é 8mb. Sei que parece vago ou até inútil do ponto de vista de quem esta fora do projeto, mas a ideia é criar um framework extremamente leve e simples, mas ainda sim "escalável" até certo nível, no entanto entender o como era o gerado o token "anti-csrf" estava complicado, obrigado por enquanto :)
    – Syzoth
    Commented 4/03/2016 às 16:19
  • Existem micro-frameworks mais "leves" e mais simples, por exemplo, o silex: silex.sensiolabs.org é da mesma empresa que faz o Symfony. Mas isso fica a seu critério, lógico! Na minha opinião não vale a pena construir uma nova, mas essa é a minha opinião e jamais vou usa-la para obrigar alguém a dizer que estou certo! :) Commented 4/03/2016 às 16:26
  • Eu sei e entendo, aliais entendo tudo como sugestões e criticas construtivas, mas no fundo além de um desafio pessoal é uma ambição :D - Sobre o Silex eu já o testei, assim como testei outros, ainda sim em um teste com o ApacheBench meu framework pessoal chega quase sempre a ser no minimo 20% mais rápido que todos que testei (claro que o teste foi feito no "básico", uma rota de HelloWorld simples). Obrigado mesmo assim pelas dicas. [editado] Silex 86 requisições por segundo e o meu framework 420 requisições por segundo.
    – Syzoth
    Commented 4/03/2016 às 16:37
6

Eu, particularmente, achei o código bem bagunçado, sem contar que não está fazendo o tratamento para caso o $_POST não exista (caso seja feita alguma modificação indevida no form). Recomendo que faça da seguinte maneira:

if ($_SERVER['REQUEST_METHOD'] === 'POST') {
    if (isset($_POST['hiddenKey']) && $_POST['hiddenKey'] === $_SESSION['hiddenKey']) {

        $nome = (isset($_POST['nome'])) ? trim($_POST['nome']) : null;
        $sobrenome = (isset($_POST['sobrenome'])) ? trim($_POST['sobrenome']) : null;
        $cpf = (isset($_POST['cpf'])) ? trim($_POST['cpf']) : null;

        if (!empty($nome) && !empty($sobrenome) && !empty($cpf)) {
            #code...
        } else {
            echo 'Por favor, preencha todos os dados.';
            exit;
        }
    } else {
        echo 'Ops, algo deu errado. Tente novamente.';
        exit;
    }
}

$_SESSION['hiddenKey'] = sha1(rand());

Dessa maneira, cada vez que a página for atualizada, será gerado um novo código para ser atribuído ao campo hidden, e não vai dar problema porque ele só gera o novo código depois de validar o $_POST, caso exista.

  • Isso já basta para prevenir um CSRF.
  • O valor que será posto no campo hidden não importa, basta ser aleatório e, recomendavelmente, com 3 ou mais caracteres (no nosso caso, temos 40 caracteres).
  • Não importa se é $_GET ou $_POST, mas a principio, é recomendável usar $_POST. Só se usa $_GET em situações bem especificas, e isso é pra tudo que envolva formulário.
  • Essa validação do hidden para evitar ataques CSRF não precisa ser feita em formulários de login.
  • A validação é feita, geralmente, em formulários de contato e em formulários dentro de áreas de cliente, administração e etc... Veja abaixo porque.

Seu sistema tem uma página pagamento.php, e essa página tem uma condição que ao receber dados via $_POST executa a função de transferir dinheiro de uma conta para outra.

Supondo que a vitima já esteja logada, bastaria que o hacker (ou cracker) fizesse uma requisição $_POST na página pagamento.php, mas como ele faria isso? O hacker manda uma link para a vítima, e esse link nada mais é que um script PHP que irá carregar uma imagem para o usuário, e por baixo dos panos, irá fazer uma requisição $_POST para a página do seu sistema.

No final das contas, irá parecer que foi a própria vítima que fez a transferência de dinheiro através do formulário contido no seu sistema.

8
  • 1
    é porque era apenas um exemplo e não entrei nos detalhes dos outros inputs que não era o foco, vou editar a pergunta e o código. Acho $_SERVER['REQUEST_METHOD'] === 'POST' uma péssima pratica (sem querer ofender), o melhor talvez seja verificar tudo com isset($_POST[login], $_POST[senha], $_POST[token]).
    – Syzoth
    Commented 23/02/2016 às 2:03
  • Os demais dados passados via formulário serão validados com operador ternário. Não coloquei porque como você disse, não é o foco. Vou editar e colocar um exemplo mais completo pra não ficar dúvidas. Commented 23/02/2016 às 2:07
  • 1
    O uso do $_SERVER['REQUEST_METHOD'] === 'POST' não é uma prática ruim. Isso varia com a política de negócios de cada ambiente. Eu posso, por exemplo , restringir para que uma requisição seja necessariamente enviada pelo método POST. Se um utilizador emitir por outro método eu terei então um meio de identificar e retornar um código de erro mais preciso referente a restrição. Assim o utilizador poderá corrigir e adequar-se a regra de negócio imposta, sem maior dificuldade. É meramente um nível a mais de burocracia. Não quer dizer que é certo ou errado ou nem mesmo que seja uma prática ruim. Commented 23/02/2016 às 2:13
  • 1
    Não entendi nada Guilherme e aliás isso não tem a nada a ver. rsrsr Commented 23/02/2016 às 2:20
  • 1
    O uso da função isset é suficiente, se o POST não existir não vai executar o código na mesma. Esse primeiro if é desnecessário. Commented 3/03/2016 às 18:19

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .