Làm thế nào để ngừng các trang web khác gửi yêu cầu ajax miền chéo?

Question

Từ 2 ứng dụng khác nhau, tôi có thể gửi yêu cầu qua nhiều lần. Mặc dù trình duyệt trả về lỗi của Cross-Origin nhưng máy chủ của tôi vẫn đang nhận và thực thi yêu cầu. Ví dụ: từ một trang web từ xa, tôi có thể gọi yêu cầu tên miền chéo bằng cách sử dụng,

$.ajax({ 
     xhrFields: { 
      withCredentials: true 
     }, 
     data:{ my: 'a' }, 
     url: 'http://MyApp/Page', 
     type: 'POST' 
}) 

Tôi biết rằng trình duyệt không trả về phản hồi cho tập lệnh, nhưng trang máy chủ của tôi vẫn thực thi.

Giả sử người dùng vô tội đăng nhập một trang web, http://abc.com. Ứng dụng này sẽ chấp nhận yêu cầu đăng bài để chèn bản ghi. Khi người dùng vô tội truy cập vào số http://HackerSite.com vô tội, số http://HackerSite.com sẽ có thể gửi yêu cầu POST tới http://abc.com qua Ajax. Làm thế nào để tránh điều này?

Answer 1

Lỗ hổng mà bạn đang nói đến là CSRF nhưng có thể được bảo vệ.

Bạn có thể bảo vệ chống POST được gửi bên ngoài yêu cầu AJAX (ví dụ: bằng biểu mẫu HTML) bằng cách gửi và kiểm tra tiêu đề X-Requested-With: XMLHttpRequest. Điều này cũng không thể được gửi qua tên miền chéo thông qua AJAX do tiêu đề này không nằm trong danh sách an toàn (không có CORS).

Tuy nhiên, trước đây đã có một số thao tác thông qua các plugin như đèn flash có thể đặt tiêu đề không thể qua trình duyệt (ví dụ: Referer) để bảo vệ chống lại điều này, hãy sử dụng số synchroniser token pattern. mã thông báo trong trường ẩn sẽ được xác thực cũng như cookie cho tất cả các yêu cầu phá hoại. Bằng cách phá hoại, tôi có nghĩa là các yêu cầu thay đổi, gửi hoặc xóa mọi thứ (tức là những gì nên là BÀI ĐĂNG).

Để biết thêm thông tin, hãy xem tại đây: http://www.html5rocks.com/en/tutorials/cors/

Answer 2

Tiêu đề Access-Control-Allow-Origin phải được đặt thích hợp để không cho phép các miền khác với tên miền bạn yêu cầu. tuy nhiên điều này chỉ hoạt động cho các trình duyệt hiện đại. tham khảo http://encosia.com/using-cors-to-access-asp-net-services-across-domains/ http://code.google.com/p/html5security/wiki/CrossOriginRequestSecurity

Answer 3

Giải pháp dễ dàng nhưng không hoàn toàn chống đạn được gọi là "mã thông báo xác thực". Mỗi bài đăng đến từ trang web của bạn phải có Mã thông báo CSRF mà bạn xác thực ở phía máy chủ để đảm bảo yêu cầu thực sự đến từ trang web của bạn. Kiểm tra thông tin này để biết thêm thông tin: http://shiflett.org/articles/cross-site-request-forgeries