कैसे जेएसएफ 2.0 सीएसआरएफ

Question

से रोकता है मैं उन चीजों का शोध कर रहा हूं जो मैं नियमित रूप से सुनता हूं कि जेएसएफ 2.0 में वेबपैप करते समय आप पहले से ही क्रॉस-स्क्रिप्टिंग और अनुरोध फोर्जरी से सुरक्षित हैं। एक SO post से निम्नलिखित अंश इस बात की पुष्टि करता:

JSF 2.0 में यह एक नहीं बल्कि उम्मीद के मुताबिक अनुक्रम मूल्य के बजाय एक लंबी और मजबूत स्वत: जनरेट की मूल्य का उपयोग और इस तरह यह एक मजबूत CSRF रोकथाम बनाकर सुधार किया गया है।

क्या कोई इस पर कुछ और जानकारी प्रदान कर सकता है? यह स्वत: उत्पन्न मूल्य सीएसआरएफ को कैसे रोकता है? धन्यवाद!

Answer 1

यह स्वत: उत्पन्न मूल्य सीएसआरएफ को कैसे रोकता है?

क्योंकि इसका अनुमान लगाया नहीं जा सकता है। तो हमलावर हमले की वेबसाइट के रूप में एक छिपे हुए क्षेत्र में इसे हार्डकोड नहीं कर सकता है (जब तक कि लक्षित साइट में एक्सएसएस छेद न हो और इस प्रकार मूल्य सीधे एक्सएसएस माध्यम से प्राप्त किया जा सके)। यदि मान जेएसएफ के लिए मान्य नहीं है, तो हमले की वेबसाइट से सबमिट फॉर्म को संसाधित नहीं किया जाएगा बल्कि इसके बजाय ViewExpiredException उत्पन्न होगा। कृपया ध्यान दें कि हमलावर को अभी भी सत्र आईडी प्राप्त करने की आवश्यकता होगी ताकि इसे jsessionid यूआरएल विशेषता के माध्यम से वापस पारित किया जा सके, इसलिए मूल रूप से "कमजोर" सीएसआरएफ सुरक्षा को सत्र आईडी प्राप्त करने के लिए कुछ XSS छेद की आवश्यकता होगी।

आखिरकार, मेरे पास यह धारणा है कि आप सीएसआरएफ के बारे में सब कुछ नहीं समझते हैं; यदि आप समझते हैं कि सीएसआरएफ क्या है, तो इसका उत्तर स्वयं को समझाता है। उस स्थिति में, कृपया निम्नलिखित प्रश्नों की जांच करें: Am I under risk of CSRF attacks in a POST form that doesn't require the user to be logged in?

Answer 2

याद रखने की एक बात यह है कि जेएसएफ 2.0 में सीएसआरएफ-सुरक्षा अंतर्निहित है और केवल POST अनुरोधों के लिए मान्य है।

जेएसएफ 2.2 में इसके लिए और अधिक स्पष्ट समर्थन होगा। मैं संक्षेप में यह कि यहां बताया गया: http://arjan-tijms.omnifaces.org/p/jsf-22.html