Sim, ele consegue. Na verdade existem duas questões aqui:
Enviar essas informações como se estivesse conectado na sessão de um usuário:
Enviar essas informações, arbitrariamente, sem estar se passando por um usuário conectado.
Em ambos os casos isso se chama Cross-Site Request Forgery.
Existem como mitigar ou resolver ambos os ataques:
1. Abusar de sessões abertas:
Para isso você precisa assegurar que o cliente foi quem enviou o formulário e não um site externo. Uma das formas de fazer isso é, em resumo, criar um código aleatório e proteger os cookies usados pela sessão (caso utilize o padrão session_start
ele usa um cookie como identificador).
Para algo minimamente seguro (e fácil de usar), então vamos lá.
Primeiro precisará criar uma sessão, na verdade existem outras formas, como enviar um cabeçalho customizado, mas isso exigirá maiores mudanças e não é suportado por um simples formulário. Para criar a sessão utilize:
$default = session_get_cookie_params();
session_set_cookie_params(
$default['lifetime'],
$default['path'] . '; samesite=strict',
$default['domain'],
true,
true
);
session_start();
Isso irá fazer com que o cookie não possa ser obtido pelo Javascript, devido ao HttpOnly
como true
, apenas será trafegado em SSL (Secure
como true
) e ainda adicionamos o samesite=strict
que previne, em navegadores modernos, que outro site envie requisições contendo o cookie.
Agora criamos o tal CSRF-Token:
if(!isset($_SESSION['csrf'])){
$_SESSION['csrf'] = pack('H*', random_bytes(24))[1];
}
Isso vai gerar 192 bits aleatórios, convertidos para hexadecimal, afim que fique mais fácil de ser inserido nos formulários, apesar de dobrar o tamanho para 48 bytes.
Depois, para adicionar no formulário:
<input type="hidden" name="csrf" value="<?= $_SESSION['csrf'] ?>">
Agora, quando o usuário enviar o formulário precisamos compara-lo:
if(!isset($_POST['csrf'], $_SESSION['csrf'])){
echo 'Dados não foram enviados';
exit();
}
if(!hash_equals($_SESSION['csrf'], $_POST['csrf'])){
echo 'O "CSRF-Token" está incorreto'
exit();
}
// Chegou aqui está tudo certo.
insere_dados_do_formulario();
// Alteramos o CSRF, para não reutiliza-lo:
$_SESSION['csrf'] = pack('H*', random_bytes(24))[1];
Isso será suficiente para impedir dos dois casos. Porém existem alguns critérios para que isso seja seguro:
- O gerador deve ser imprevisível para o atacante (
random_bytes
é suficiente, mas não pode usar time()
ou mt_rand()
, por exemplo.).
- O usuário deve estar utilizando um navegador minimamente atualizado, navegadores extremamente obsoletos podem deixar pegar o conteúdo da página, o que faria o atacante ter acesso ao CSRF-Token.
- O seu website não pode estar vulnerável para Session Fixation, caso contrário o atacante poderá definir um cookie (o identificador da sessão) com um CSRF que ele já conhece.
Este não é o método mais seguro de todos, mas é fácil de ser implementado. O CSRF deve ser alterado de tempos em tempos, ou a cada página um CSRF token diferente.
Isso garante que:
Qualquer outro site, que não consiga obter o código, não conseguirá realizar uma requisição válida.
2. Spam
O caso acima não impede que alguém use um cURL da vida e faça a requisição, é bem simples ignorar o CSRF-Token nesses casos.
Supondo que o atacante não esteja utilizando o navegador, ele pode simplesmente fazer uma requisição (alá curl https://site.com/form.php
) e pegar o CSRF-Token, depois então fazer um curl -H "Cookie: phpsessid=ccccc" -d "csrf=aaaaa" https://site.com/form.php
). Os valores de ccccc
e aaaaa
foram obtidos na requisição anterior.
A única forma de mitigar isso é usando captcha, ou algum tipo de Hashcash. Isso irá, pelo menos, aumentar o custo para cada envio, o que deve reduzir o número de requisições feitas.