csrf

Cross Site Request Forgery ist ein böswilliger Angriff, um die Vertrauenswürdigkeit einer Website in den Browser eines Benutzers auszunutzen.
1
Antwort

Verfallen ASP.NET MVC CSRF-Fälschungs-Tokens?

Ich implementiere CSRF-Schutz gegen Fälschungen in meiner ASP.NET MVC 5-Anwendung. Insbesondere verweise ich auf den Ansatz von Mike Wasson auf der
14.01.2015, 06:54
2
Antworten

Das Anti-Fälschungs-Cookie-Token und das Formularfeld-Token stimmen nicht überein, wenn WebApi verwendet wird

Ich habe eine Single-Page App (Benutzer lädt eine Menge HTML / JS und macht dann AJAX-Anfragen ohne einen weiteren Aufruf an MVC - nur über WebAPI). In WebAPI habe ich Folgendes: %Vor% Registriert in Global.asax: %Vor% Gelegentlich sehe...
29.07.2017, 12:53
1
Antwort

Django: CSRF-Token für alle Antworten erzwingen

Meine Website hat eine AJAX POST-Ansicht, die von jeder Seite der App aufgerufen werden kann (Ereignisverfolgung). Diese Ansicht ist durch CSRF geschützt. In einigen Fällen ist das CSRF-Cookie nicht gesetzt und der POST-Aufruf schlägt fehl. A...
26.08.2015, 16:10
3
Antworten

Die Echtheit des CSRF-Tokens in den Schienen kann nicht überprüft werden

Ich benutze PaypalAdaptive. Es sendet ipn_notification richtig. Die ipnNotification-Aktionsmethode ist wie folgt - %Vor% aber es gibt Fehler zurück %Vor% Jede Hilfe für dieses Problem.     
16.08.2012, 12:17
5
Antworten

___ qstntxt ___

Ich bin nur beginnend, also bitte vergib mir. Ich habe einen guten Überblick über CodeIgniter, also verstehe ich, was vor sich geht. Ich stelle jedoch fest, dass mein CSRF-Token leer ist, wenn ich ein Formular erstelle. Ich arbeite durch die Laracasts-Videos, um den Laravel-Workflow zu ermüden.

myfile.blade.php

%Vor%

Hier ist, was ich bekomme, wenn ich die Quelle ansehe:

%Vor%

Ich habe das Verzeichnis config durchgesehen, sehe aber nichts, csrf zu aktivieren. Gibt es irgendwo eine zusätzliche Einstellung, die ich aktualisieren muss?

Danke für Ihre Vorschläge.

BEARBEITEN

Auch das gibt mir ein leeres verstecktes Eingabefeld:

%Vor%

BEARBEITEN

So sieht mein Controller aus:

%Vor%

Also sieht mein aktuelles Formular-Tag so aus:

%Vor%

Wenn ich absende, kann ich die json-Antwort sehen - der Token ist offensichtlich leer.

%Vor%     
___ answer34422779 ___

Es sollte

sein %Vor%     
___ answer35710859 ___

Ich habe das Problem des HtmlService-Anbieters behoben. 5.2 Version entfernt Illuminate und add kollektiv folgen dem Schritt, um das Problem zu lösen:

  1. %code%
  2. %code%
  3. Fügen Sie in config / app.php
  4. hinzu

%code%

Dann können Sie dieses Formular verwenden.

    
___ tag123laravel ___ Laravel ist ein Open-Source-PHP-Web-Framework, das dem MVC-Muster folgt. ___ tag123csrf ___ Cross Site Request Forgery ist ein böswilliger Angriff, um die Vertrauenswürdigkeit einer Website in den Browser eines Benutzers auszunutzen. ___ answer37181006 ___

Wenn Sie eine Anmeldeseite haben und die Sitzung mit folgendem Befehl löschen möchten:

%Vor%

Vergessen Sie nicht, dass dies auch das csrf-Token bereinigt, bevor es in die Ansicht eingefügt werden kann

    
___ answer34423700 ___

Dies ist ein Konfigurationsproblem. Sie müssen den App-Schlüssel in Ihrer Konfigurationsdatei %code% auf eine Zeichenfolge mit 32 Zeichen setzen oder artisan cli %code% verwenden, um den Schlüssel für Sie zu generieren, damit Sie das CSRF-Token verwenden können.

Stellen Sie außerdem sicher, dass Sie Routen einschließen, die das CSRF-Token in der Gruppenroute %code% verwenden.

  

Sie können URIs ausschließen, indem Sie ihre Routen außerhalb der Web-Middleware-Gruppe definieren, die in der Standarddatei routes.php enthalten ist, oder indem Sie die URIs der Eigenschaft $ exert der VerifyCsrfToken-Middleware hinzufügen: Ссылка

    
___ answer34423476 ___

Die Laravel Grundlegende Reihe ist für Laravel 5.0, also hast du ein paar Optionen. Sie können Laravel 5.0 installieren, um mit dieser Serie fortzufahren. Um L5.0 zu installieren, müssen Sie diesen Befehl ausführen:

%Vor%

Wenn du Laravel 5.2 benutzen willst (was ich empfehlen würde und Jeffrey Way wird höchstwahrscheinlich bald eine Serie veröffentlichen), gibt es einige zusätzliche Dinge, die du beachten solltest.

Stellen Sie zuerst alle Ihre Routen in eine "Web" -Middleware-Gruppe wie folgt:

%Vor%

In der Vergangenheit gab es mehrere Middlewares, die bei jeder Anfrage standardmäßig ausgeführt wurden. In 5.2 ist dies nicht mehr der Fall. Zum Beispiel wird das Token in der Sitzung gespeichert, aber in 5.2 werden Dinge wie die Middleware "StartSession" nicht automatisch angewendet. Daher muss die "Web" -Middleware auf Ihre Routen angewendet werden. Der Grund für diese Änderung in 5.2:

  

Middleware-Gruppen ermöglichen es Ihnen, mehrere Routen-Middleware unter einem einzigen, komfortablen Schlüssel zu gruppieren, sodass Sie einer Route mehrere Middleware gleichzeitig zuweisen können. Dies kann beispielsweise nützlich sein, wenn Sie eine Web-Benutzeroberfläche und eine API in derselben Anwendung erstellen. Sie können die Session- und CSRF-Routen in eine %code% -Gruppe und vielleicht den Ratenbegrenzer in der %code% -Gruppe gruppieren.

Auch in der Laravel Fundamental-Serie zieht Jeffrey das "illuminate / html" -Paket ein, aber jetzt benutzen die meisten Leute das Laravel-Sammelpaket. Sie behandeln eine Menge der Laravel-Pakete, die aus dem Kern herausgenommen werden. Als Ergebnis würde ich das "illuminate / html" -Paket entfernen. Entfernen Sie in Ihrer %code% -Datei %code% (oder was auch immer im Abschnitt require steht). Entfernen Sie außerdem den entsprechenden Dienstanbieter und erstellen Sie Fassaden, die Sie Ihrer %code% -Datei hinzugefügt haben.

Um die Laravel-Kollektivversion zu installieren, fügen Sie diese in Ihrer %code% -Datei hinzu: %code% . Führen Sie dann %code% aus. Sobald dies geschehen ist, fügen Sie dies in Ihrer %code% -Datei Ihrem Provider-Array hinzu:

%Vor%

und fügen Sie dies Ihrem Alias-Array hinzu:

%Vor%

Ich hoffe, ich verpasse nichts anderes.

    
___

Ich bin nur beginnend, also bitte vergib mir. Ich habe einen guten Überblick über CodeIgniter, also verstehe ich, was vor sich geht. Ich stelle jedoch fest, dass mein CSRF-Token leer ist, wenn ich ein Formular erstelle. Ich arbeite durch die L...
22.12.2015, 19:04
3
Antworten

Django CSRF-Cookie HttpOnly

Ist es möglich, das django csrf-Cookie als http-only zu setzen? Genauso wie SESSION_COOKIE_HTTPONLY mit Session-Cookie, aber für die csrf one?     
02.06.2012, 11:01
3
Antworten

X-CSRF-Token-Header global zu allen Instanzen von XMLHttpRequest () hinzufügen;

Ich verwende eine Bibliothek von Drittanbietern, die eine rohe XMLHttpRequest mit new XMLHttpRequest hervorbringt. Dies umgeht meinen CSRF-Schutz und wird von meinem Rails-Server abgeschossen. Gibt es eine Möglichkeit, global ein vor...
13.06.2014, 00:48
3
Antworten

CSRF Tokens vs Nonce Verwirrung - sind sie gleich?

Bei dem Versuch, die aktuelle Anwendung sicherer zu machen, habe ich über CSRF-Token und Nonce gelesen - ich glaube, ich habe die Idee hinter den CSRF-Tokens verstanden, aber ich habe Probleme, "gut" zu finden &Ampere; vereinfachte 'Ressourcen u...
17.04.2011, 04:33
2
Antworten

POST mit fehlendem authenticity_token in rspec rails request test?

Ich simuliere eine Anfrage von einem externen Dienst, der kein Echtheitstoken haben wird. Ich möchte, dass der Test fehlschlägt, wenn skip_before_action :verify_authenticity_token fehlt. Wie mache ich das anhand einer Rspec-Anforderungsspe...
09.03.2015, 16:38
4
Antworten

Wie erstelle ich CSRF-Tokens in Express?

Neuling. Ich benutze ExpressJS / Node. Hier ist mein Config-Zeug: %Vor% Ich habe csrf.js in Express-Verzeichnissen gefunden und sehe, dass es generiert und req.body._csrf zugewiesen werden sollte, aber ich weiß nicht, wie ich darauf zugreife...
03.01.2012, 01:53