2

Galera, estou com uma dúvida em questão a segurança.

Fiz um form, para registrar usuários, até ai ok. Mas por exemplo, esse form tem um action, que é pra mesma página no caso.

Se uma pessoa criar uma pagina em PHP por exemplo, com um formulário semelhante ao meu, e no action do formulário dele, estiver apontado para minha pagina, e o mesmo quiser fazer por exemplo, 1000 cadastros, ele consegue? Se sim, tem algum jeito de contornar isso?

<form method="POST">
    <div class="form-group">
        <label for="nome">Seu nome completo: </label>
        <input type="text" name="nome" class="form-control" id="nome" placeholder="Nome Completo, Ex: Lucas de Carvalho Alves" required="required">
    </div>
    <div class="form-group">
        <label for="email">Seu E-Mail: </label>
        <input type="email" name="email" class="form-control" id="email" placeholder="Seu e-mail, Ex: [email protected]" required="required">
    </div>
    <div class="form-group">
        <label for="senha">Sua Senha: </label>
        <input type="password" name="senha" class="form-control" id="senha" placeholder="Sua senha, escolha uma senha segura"required="required">
    </div>
    <div class="form-group">
        <label for="nascimento">Data de Nascimento: </label>
        <input type="date" name="nascimento" class="form-control" id="nascimento" required="required">
    </div>
    <button class="btn btn-success">Cadastrar</button>
</form>

2 Respostas 2

1

Sim, ele consegue. Na verdade existem duas questões aqui:

  1. Enviar essas informações como se estivesse conectado na sessão de um usuário:

  2. Enviar essas informações, arbitrariamente, sem estar se passando por um usuário conectado.

Em ambos os casos isso se chama Cross-Site Request Forgery.


Existem como mitigar ou resolver ambos os ataques:

1. Abusar de sessões abertas:

Para isso você precisa assegurar que o cliente foi quem enviou o formulário e não um site externo. Uma das formas de fazer isso é, em resumo, criar um código aleatório e proteger os cookies usados pela sessão (caso utilize o padrão session_start ele usa um cookie como identificador).

Para algo minimamente seguro (e fácil de usar), então vamos lá.

Primeiro precisará criar uma sessão, na verdade existem outras formas, como enviar um cabeçalho customizado, mas isso exigirá maiores mudanças e não é suportado por um simples formulário. Para criar a sessão utilize:

$default = session_get_cookie_params();
session_set_cookie_params(
    $default['lifetime'],
    $default['path'] . '; samesite=strict',
    $default['domain'],
    true,
    true
);

session_start();

Isso irá fazer com que o cookie não possa ser obtido pelo Javascript, devido ao HttpOnly como true, apenas será trafegado em SSL (Secure como true) e ainda adicionamos o samesite=strict que previne, em navegadores modernos, que outro site envie requisições contendo o cookie.

Agora criamos o tal CSRF-Token:

if(!isset($_SESSION['csrf'])){
    $_SESSION['csrf'] = pack('H*', random_bytes(24))[1];
}

Isso vai gerar 192 bits aleatórios, convertidos para hexadecimal, afim que fique mais fácil de ser inserido nos formulários, apesar de dobrar o tamanho para 48 bytes.

Depois, para adicionar no formulário:

<input type="hidden" name="csrf" value="<?= $_SESSION['csrf'] ?>">

Agora, quando o usuário enviar o formulário precisamos compara-lo:

if(!isset($_POST['csrf'], $_SESSION['csrf'])){
    echo 'Dados não foram enviados';
    exit();
}

if(!hash_equals($_SESSION['csrf'], $_POST['csrf'])){
    echo 'O "CSRF-Token" está incorreto'
    exit();   
}

// Chegou aqui está tudo certo.
insere_dados_do_formulario();

// Alteramos o CSRF, para não reutiliza-lo:
$_SESSION['csrf'] = pack('H*', random_bytes(24))[1];

Isso será suficiente para impedir dos dois casos. Porém existem alguns critérios para que isso seja seguro:

  1. O gerador deve ser imprevisível para o atacante (random_bytes é suficiente, mas não pode usar time() ou mt_rand(), por exemplo.).
  2. O usuário deve estar utilizando um navegador minimamente atualizado, navegadores extremamente obsoletos podem deixar pegar o conteúdo da página, o que faria o atacante ter acesso ao CSRF-Token.
  3. O seu website não pode estar vulnerável para Session Fixation, caso contrário o atacante poderá definir um cookie (o identificador da sessão) com um CSRF que ele já conhece.

Este não é o método mais seguro de todos, mas é fácil de ser implementado. O CSRF deve ser alterado de tempos em tempos, ou a cada página um CSRF token diferente.

Isso garante que:

Qualquer outro site, que não consiga obter o código, não conseguirá realizar uma requisição válida.

2. Spam

O caso acima não impede que alguém use um cURL da vida e faça a requisição, é bem simples ignorar o CSRF-Token nesses casos.

Supondo que o atacante não esteja utilizando o navegador, ele pode simplesmente fazer uma requisição (alá curl https://site.com/form.php) e pegar o CSRF-Token, depois então fazer um curl -H "Cookie: phpsessid=ccccc" -d "csrf=aaaaa" https://site.com/form.php). Os valores de ccccc e aaaaa foram obtidos na requisição anterior.

A única forma de mitigar isso é usando captcha, ou algum tipo de Hashcash. Isso irá, pelo menos, aumentar o custo para cada envio, o que deve reduzir o número de requisições feitas.

0

Acho que não é o ideal você manter tudo na mesma página. De qualquer forma creio que um programador mal intencionado só conseguiria se fosse com injections.

Para ele conseguir colocar no seu código ele teria que já saber o seu PHP e estar conectado no seu banco de dados. Essa é a parte que ele só faria com injections.

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .