php安全開(kāi)發(fā) 添加隨機(jī)字符串驗(yàn)證，防止偽造跨站請(qǐng)求
更新時(shí)間：2013年02月14日 23:06:07 作者：
偽造跨站請(qǐng)求比較難以防范，而且危害巨大，攻擊者可以通過(guò)這種方式惡作劇，發(fā)spam信息，刪除數(shù)據(jù)等等。那怎么防范偽造跨站攻擊呢
yahoo對(duì)付偽造跨站請(qǐng)求的辦法是在表單里加入一個(gè)叫.crumb的隨機(jī)串；而facebook也有類(lèi)似的解決辦法，它的表單里常常會(huì)有post_form_id和fb_dtsg。
比較常見(jiàn)而且也很廉價(jià)的防范手段是在所有可能涉及用戶(hù)寫(xiě)操作的表單中加入一個(gè)隨機(jī)且變換頻繁的字符串，然后在處理表單的時(shí)候?qū)@個(gè)字符串進(jìn)行檢查。這個(gè)隨機(jī)字符串如果和當(dāng)前用戶(hù)身份相關(guān)聯(lián)的話，那么攻擊者偽造請(qǐng)求會(huì)比較麻煩?，F(xiàn)在防范方法基本上都是基于這種方法的了
隨機(jī)串代碼實(shí)現(xiàn)
咱們按照這個(gè)思路，山寨一個(gè)crumb的實(shí)現(xiàn)，代碼如下：
復(fù)制代碼 代碼如下:
<?php
class Crumb {
CONST SALT = "your-secret-salt";
static $ttl = 7200;
static public function challenge($data) {
return hash_hmac('md5', $data, self::SALT);
}
static public function issueCrumb($uid, $action = -1) {
$i = ceil(time() / self::$ttl);
return substr(self::challenge($i . $action . $uid), -12, 10);
}
static public function verifyCrumb($uid, $crumb, $action = -1) {
$i = ceil(time() / self::$ttl);
if(substr(self::challenge($i . $action . $uid), -12, 10) == $crumb ||
substr(self::challenge(($i - 1) . $action . $uid), -12, 10) == $crumb)
return true;
return false;
}
}
代碼中的$uid表示用戶(hù)唯一標(biāo)識(shí)，而$ttl表示這個(gè)隨機(jī)串的有效時(shí)間。
應(yīng)用示例
構(gòu)造表單
在表單中插入一個(gè)隱藏的隨機(jī)串crumb
復(fù)制代碼 代碼如下:
<form method="post" action="demo.php">
<input type="hidden" name="crumb" value="<?php echo Crumb::issueCrumb($uid)?>">
<input type="text" name="content">
<input type="submit">
</form>
處理表單 demo.php
對(duì)crumb進(jìn)行檢查
復(fù)制代碼 代碼如下:
<?php
if(Crumb::verifyCrumb($uid, $_POST['crumb'])) {
//按照正常流程處理表單
} else {
//crumb校驗(yàn)失敗，錯(cuò)誤提示流程
}
本文出自包子博客
您可能感興趣的文章:
- PHP和XSS跨站攻擊的防范
- 解析PHP跨站刷票的實(shí)現(xiàn)代碼
- php跨站攻擊實(shí)例分析
- ThinkPHP2.x防范XSS跨站攻擊的方法
- PHP實(shí)現(xiàn)表單提交數(shù)據(jù)的驗(yàn)證處理功能【防SQL注入和XSS攻擊等】
- 整理php防注入和XSS攻擊通用過(guò)濾
- xss防御之php利用httponly防xss攻擊
- php過(guò)濾XSS攻擊的函數(shù)
- 細(xì)談php中SQL注入攻擊與XSS攻擊
- PHP中防止SQL注入攻擊和XSS攻擊的兩個(gè)簡(jiǎn)單方法
- PHP實(shí)現(xiàn)的防止跨站和xss攻擊代碼【來(lái)自阿里云】
相關(guān)文章
php apache開(kāi)啟跨域模式過(guò)程詳解
這篇文章主要介紹了php apache開(kāi)啟跨域模式過(guò)程詳解,文中通過(guò)示例代碼介紹的非常詳細(xì)，對(duì)大家的學(xué)習(xí)或者工作具有一定的參考學(xué)習(xí)價(jià)值,需要的朋友可以參考下2019-07-07
這篇文章主要介紹了php實(shí)現(xiàn)URL加密解密的方法,結(jié)合實(shí)例形式分析了php針對(duì)URL字符串進(jìn)行加密解密操作的相關(guān)技巧,需要的朋友可以參考下2016-11-11
這篇文章主要介紹了PHP編程基本語(yǔ)法快速入門(mén)的一些知識(shí),包括PHP的數(shù)組與循環(huán)語(yǔ)句等基礎(chǔ)知識(shí)點(diǎn),需要的朋友可以參考下2016-01-01
在本篇文章里小編給各位分享的是關(guān)于PHP defined()函數(shù)的使用圖文內(nèi)容，有需要的朋友們參考學(xué)習(xí)下。2019-07-07
PHP實(shí)現(xiàn)的限制IP投票程序IP來(lái)源分析
這篇文章主要介紹了PHP實(shí)現(xiàn)的限制IP投票程序,針對(duì)投票程序中客戶(hù)端IP的判斷方法進(jìn)行了深入分析,并給出了偽造IP的方法供大家參考了解,需要的朋友可以參考下2016-05-05
這篇文章主要介紹了php獲取url參數(shù)方法,實(shí)例總結(jié)了利用parse_url()函數(shù)解析URL的方法,需要的朋友可以參考下2014-11-11
這篇文章主要介紹了PHP設(shè)計(jì)模式之適配器模式,簡(jiǎn)單描述了適配器模式的概念、原理并結(jié)合實(shí)例形式分析了php類(lèi)適配器模式與對(duì)象適配器模式的具體定義與使用方法,需要的朋友可以參考下2018-04-04
IP攻擊升級(jí)，程序改進(jìn)以對(duì)付新的攻擊
我上一篇文章《最新開(kāi)發(fā)的網(wǎng)站防IP攻擊代碼，超級(jí)有用》寫(xiě)了一個(gè)完整的防止網(wǎng)絡(luò)惡意IP攻擊的方案，使用了一個(gè)月，效果良好。2010-11-11
這篇文章主要介紹了關(guān)于JSON以及JSON在PHP中的應(yīng)用技巧，需要的朋友可以過(guò)來(lái)參考下，希望對(duì)大家有所幫助。2015-10-10
php字符串函數(shù)學(xué)習(xí)之substr()
這篇文章主要介紹了php字符串函數(shù)學(xué)習(xí)之substr(),本文講解了它的定義和用法、參數(shù)描述、提示和注釋以及多個(gè)使用示例 ,需要的朋友可以參考下2015-03-03