欧美bbbwbbbw肥妇,免费乱码人妻系列日韩,一级黄片

php中防止偽造跨站請(qǐng)求的小招式

 更新時(shí)間：2011年09月02日 14:21:07   作者：  
偽造跨站請(qǐng)求比較難以防范，而且危害巨大，攻擊者可以通過(guò)這種方式惡作劇，發(fā)spam信息，刪除數(shù)據(jù)等等。
偽造跨站請(qǐng)求介紹
　　偽造跨站請(qǐng)求比較難以防范，而且危害巨大，攻擊者可以通過(guò)這種方式惡作劇，發(fā)spam信息，刪除數(shù)據(jù)等等。這種攻擊常見(jiàn)的表現(xiàn)形式有：
　　偽造鏈接，引誘用戶點(diǎn)擊，或是讓用戶在不知情的情況下訪問(wèn)
　　偽造表單，引誘用戶提交。表單可以是隱藏的，用圖片或鏈接的形式偽裝。
　　比較常見(jiàn)而且也很廉價(jià)的防范手段是在所有可能涉及用戶寫(xiě)操作的表單中加入一個(gè)隨機(jī)且變換頻繁的字符串，然后在處理表單的時(shí)候?qū)@個(gè)字符串進(jìn)行檢查。這個(gè)隨機(jī)字符串如果和當(dāng)前用戶身份相關(guān)聯(lián)的話，那么攻擊者偽造請(qǐng)求會(huì)比較麻煩。
　　yahoo對(duì)付偽造跨站請(qǐng)求的辦法是在表單里加入一個(gè)叫.crumb的隨機(jī)串;而facebook也有類似的解決辦法，它的表單里常常會(huì)有post_form_id和fb_dtsg。
　　隨機(jī)串代碼實(shí)現(xiàn)
　　咱們按照這個(gè)思路，山寨一個(gè)crumb的實(shí)現(xiàn)，代碼如下：
復(fù)制代碼 代碼如下:

<?php
class Crumb {
CONST SALT = "your-secret-salt";
static $ttl = 7200;
static public function challenge($data) {
return hash_hmac('md5', $data, self::SALT);
}
static public function issueCrumb($uid, $action = -1) {
$i = ceil(time() / self::$ttl);
return substr(self::challenge($i . $action . $uid), -12, 10);
}
static public function verifyCrumb($uid, $crumb, $action = -1) {
$i = ceil(time() / self::$ttl);
if(substr(self::challenge($i . $action . $uid), -12, 10) == $crumb ||
substr(self::challenge(($i - 1) . $action . $uid), -12, 10) == $crumb)
return true;
return false;
}
}

代碼中的$uid表示用戶唯一標(biāo)識(shí)，而$ttl表示這個(gè)隨機(jī)串的有效時(shí)間。
　　應(yīng)用示例
　　構(gòu)造表單
　　在表單中插入一個(gè)隱藏的隨機(jī)串crumb
復(fù)制代碼 代碼如下:

<form method="post" action="demo.php">
<input type="hidden" name="crumb" value="<?php echo Crumb::issueCrumb($uid)?>">
<input type="text" name="content">
<input type="submit">
</form>

處理表單 demo.php
　　對(duì)crumb進(jìn)行檢查
復(fù)制代碼 代碼如下:

<?php
if(Crumb::verifyCrumb($uid, $_POST['crumb'])) {
//按照正常流程處理表單
} else {
//crumb校驗(yàn)失敗，錯(cuò)誤提示流程
}
?>

相關(guān)文章

最新評(píng)論