क्रॉस डोमेन AJAX अनुरोध भेजने के लिए अन्य वेबसाइट को कैसे रोकें?

Question

2 अलग-अलग अनुप्रयोगों से, मैं क्रॉस-ऑर्गिन अनुरोध भेजने में सक्षम था। हालांकि ब्राउज़र क्रॉस-ओरिजिन की एक त्रुटि लौटाता है, लेकिन मेरा सर्वर अभी भी अनुरोध प्राप्त कर रहा है और निष्पादित कर रहा है। उदाहरण के लिए, एक दूरस्थ साइट से, मैं क्रॉस-डोमेन अनुरोध का उपयोग कर

$.ajax({ 
     xhrFields: { 
      withCredentials: true 
     }, 
     data:{ my: 'a' }, 
     url: 'http://MyApp/Page', 
     type: 'POST' 
}) 

मुझे पता है कि ब्राउज़र स्क्रिप्ट के जवाब वापस नहीं करता आह्वान कर सकते हैं, लेकिन अपने सर्वर पृष्ठ अभी भी निष्पादित।

मान लें कि एक निर्दोष उपयोगकर्ता किसी साइट पर लॉग इन है, http://abc.com। यह एप्लिकेशन रिकॉर्ड डालने के लिए पोस्ट अनुरोध स्वीकार करेगा। जब निर्दोष उपयोगकर्ता निर्दोष http://HackerSite.com पर जाता है, तो http://HackerSite.comhttp://abc.com पर अजाक्स के माध्यम से एक POST अनुरोध भेजने में सक्षम होगा। इससे कैसे बचें?

Answer 1

आप जिस भेद्यता के बारे में बात कर रहे हैं वह CSRF है लेकिन इसकी सुरक्षा की जा सकती है।

आप X-Requested-With: XMLHttpRequest शीर्षलेख भेजकर और जांचकर AJAX अनुरोध (उदा। HTML फॉर्म द्वारा) के बाहर सबमिट किए गए POST के विरुद्ध सुरक्षा कर सकते हैं। इस हेडर के कारण सुरक्षित सूची में नहीं होने के कारण यह AJAX के माध्यम से क्रॉस-डोमेन भी नहीं भेजा जा सकता है (CORS के बिना)।

हालांकि अतीत में वहाँ एक ब्राउज़र के माध्यम से इस तरह के फ्लैश के रूप में प्लगइन्स जहां हेडर सेट किया जा सकता है कि संभव नहीं थे के माध्यम से कुछ कारनामे किया गया है (उदाहरण के लिए Referer) तो यह से बचने के लिए यह synchroniser token pattern जो एक सेट करना शामिल है का उपयोग करने के लिए सिफारिश की है एक छिपे हुए क्षेत्र में टोकन जिसे सभी विनाशकारी अनुरोधों के लिए सत्यापित किया जाएगा साथ ही कुकीज़ भी। विनाशकारी से मेरा मतलब उन अनुरोधों को बदलता है जो चीजें बदलते हैं, जमा करते हैं या हटाते हैं (यानी POSTs क्या होना चाहिए)।

अधिक जानकारी के लिए यहां देखें: http://www.html5rocks.com/en/tutorials/cors/

Answer 2

एक्सेस-कंट्रोल-अनुमति-उत्पत्ति हेडर को आपके लिए आवश्यक डोमेन के अलावा डोमेन को अस्वीकार करने के लिए उचित रूप से सेट किया जाना चाहिए। हालांकि यह केवल आधुनिक ब्राउज़रों के लिए काम करता है। http://encosia.com/using-cors-to-access-asp-net-services-across-domains/ http://code.google.com/p/html5security/wiki/CrossOriginRequestSecurity

Answer 3

उल्लेख आसान समाधान पर लेकिन कि पूरी तरह से बुलेटप्रूफ क्या हम एक "प्रमाणन टोकन" कहते हैं नहीं है। आपकी वेबसाइट से आने वाली प्रत्येक पोस्ट में एक सीएसआरएफ टोकन होना चाहिए जो सुनिश्चित करने के लिए कि आप वास्तव में अपनी वेबसाइट से अनुरोध करते हैं, सर्वर सर्वर पर मान्य है। अधिक जानकारी के लिए इसे जांचें: http://shiflett.org/articles/cross-site-request-forgeries