Acredito que seja necessário proteger todos os seus formulários contra ataques CSRF, até os que precisam de autenticação para ter acesso, uma vez que o atacante pode criar uma conta, logar e atacar.
Todo o tipo de entrada no seu sistema deve ser tratada, por mais insignificante que ela possa parecer, principalmente quando essa entrada depende de dados preenchidos pelo utilizador.
Quanto a escolha do método GET ou POST, primeiro temos que saber:
- GET pode ser armazenado em cache, isso seria mal se você não quer informações privadas expostas na URL.
- GET nunca deve ser usado com dados sensíveis, como por exemplo, senhas, dados bancários, etc... uma vez que é exposto na URL e armazenado em cache pelo browser.
- GET tem restrição de comprimento, ou seja, a sua URL fica limitada a X caracteres (se não me engano há diferenças entre browsers).
- POST nunca será armazenado em cache, logo toda a informação enviada existe apenas naquele momento.
- POST não tem restrições de comprimento.
- Os dados são encapsulados no corpo da requisição HTTP, logo não estão expostos na URL, por exemplo.
- POST é ligeiramente mais lento por encapsular a mensagem.
- POST aceita outros tipos de dados, como binário, por sua vez GET apenas aceita caracteres ASCII.
Resumindo, se você quer que o utilizador conheça a URL (rotas), como por exemplo, acessar uma notícia meusite.com?pagina=noticias&id=12
ou meusite.com/news/12
, então utilize GET, caso contrário utilize POST.
Embora o código da pergunta utilize apenas o POST, o exemplo abaixo pode ser usado tanto para GET como para POST.
Usaremos dois métodos para ajudar a prevenir ataques nas solicitações GET e POST.
1º Método: utilização de token
Esse método consiste em incluir um token (string) aleatório em cada solicitação, ou seja, será adicionado um campo oculto a cada formulário existente com o token como valor.
Esse token é gerado pelo PHP e armazenado em uma sessão para quando existir uma requisição, o sistema fazer a comparação com o valor que foi preenchido automaticamente (ou mal-intencionada) no formulário.
Mais a baixo iremos juntar os 2 métodos e criar um script para prevenir o ataque. Por agora vamos falar do segundo método.
2º Método: campos com nomes aleatórios
Esse método utiliza nomes aleatórios para cada campo do formulário. O valor aleatório para cada campo é armazenado em uma variável de sessão. A cada submissão do formulário, assim como ocorre com o token, é gerado um novo nome aleatório para o campo.
Veja um exemplo de um POST request passando campos com o nome fixo. Utilizei os campos nome
e email
para exemplo:
POST /form.php HTTP/1.1
Host: testes.loc
Cache-Control: no-cache
Postman-Token: d2b73c66-68fe-8dc6-4660-010a41a8c9b0
Content-Type: multipart/form-data; boundary=----WebKitFormBoundary7MA4YWxkTrZu0gW
----WebKitFormBoundary7MA4YWxkTrZu0gW
Content-Disposition: form-data; name="name"
filipe
----WebKitFormBoundary7MA4YWxkTrZu0gW
Content-Disposition: form-data; name="email"
[email protected]
----WebKitFormBoundary7MA4YWxkTrZu0gW
Agora utilizando a técnica descrita acima, veja como ficou o name
de cada campo:
//...
----WebKitFormBoundary7MA4YWxkTrZu0gW
Content-Disposition: form-data; name="C345Gdfbn56789mnbg"
filipe
----WebKitFormBoundary7MA4YWxkTrZu0gW
Content-Disposition: form-data; name="ERfbj567Mb867Jpknl6h"
[email protected]
----WebKitFormBoundary7MA4YWxkTrZu0gW
Ao fazer uma nova requisição, vemos que o name
foi alterado novamente:
//...
----WebKitFormBoundary7MA4YWxkTrZu0gW
Content-Disposition: form-data; name="Hgfkpso456jnbJYBV097"
filipe
----WebKitFormBoundary7MA4YWxkTrZu0gW
Content-Disposition: form-data; name="670JK7hgdTJb60Kjh0I6T"
[email protected]
----WebKitFormBoundary7MA4YWxkTrZu0gW
Implementando os métodos acima:
Você pode melhorar o sistema e organizar tudo em classes para depois reaproveitar e até por questões de organização/manutenção, por agora vamos apenas modificar o seu código.
Modificando o código autenticar.php
.
<?php
session_start();
if(isset($_SESSION['Token'], $_SESSION['TokenFieldName'], $_SESSION['LoginFieldName'], $_SESSION['SenhaFieldName'])) {
if (isset($_POST[$_SESSION['TokenFieldName']], $_POST[$_SESSION['LoginFieldName']], $_POST[$_SESSION['SenhaFieldName']])) {
if ($_POST[$_SESSION['TokenFieldName']] === $_SESSION['Token']) {
/*Valida $_POST['login'] e $_POST['senha']*/
} else {
echo 'Requisição invalida';
}
} else {
echo 'Faltam dados no Form';
}
}
//Apaga o token e os campos
//Isso é necessário, caso contrário bastava o atacante fazer um inspecionar elemento e ver os respectivos names no formulário e apenas executar um POST Request para o `autenticar.php`.
//O token e os respectivos nomes serão gerados novamente no `login.php`, sendo assim terá sempre que passar pelo formulário.
unset($_SESSION['Token']);
unset($_SESSION['TokenFieldName']);
unset($_SESSION['LoginFieldName']);
unset($_SESSION['SenhaFieldName']);
Agora, vamos alterar o login.php
:
<?php
//Função para gerar código randômico.
function generateRandomString($length = 15) {
$characters = '0123456789abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ';
$charactersLength = strlen($characters);
$randomString = '';
for ($i = 0; $i < $length; $i++)
$randomString .= $characters[rand(0, $charactersLength - 1)];
return $randomString;
}
//Gera um novo token
$_SESSION['Token'] = generateRandomString();
//Gera um nome aleatório para cada campo do formulário
$_SESSION['TokenFieldName'] = generateRandomString();
$_SESSION['LoginFieldName'] = generateRandomString();
$_SESSION['SenhaFieldName'] = generateRandomString();
?>
<form method="POST" action="autenticar.php">
<input type="hidden" name="<?=$_SESSION['TokenFieldName']?>" value="<?=$_SESSION['Token']?>" />
<input type="text" name="<?=$_SESSION['LoginFieldName']?>" placeholder="login"><br>
<input type="password" name="<?=$_SESSION['SenhaFieldName']?>" placeholder="senha"><br>
<button type="submit">Logar</button>
</form>
Pronto, toda vez que o utilizador aceder ao formulário, cada campo terá um nome diferente da anterior e será gerado um novo token.