Re: Bezpieczenstwo - formularz logowania, pamietanie hasla, xss, csrf [dlugie]

eGospodarka.pl › Grupy › pl.comp.www › Bezpieczenstwo - formularz logowania, pamietanie hasla, xss, csrf [dlugie] › Re: Bezpieczenstwo - formularz logowania, pamietanie hasla, xss, csrf [dlugie]

Path: news-archive.icm.edu.pl!news.gazeta.pl!not-for-mail
From: porneL <n...@p...net>
Newsgroups: pl.comp.www
Subject: Re: Bezpieczenstwo - formularz logowania, pamietanie hasla, xss, csrf
[dlugie]
Date: Tue, 25 May 2010 22:05:38 +0100
Organization: "Portal Gazeta.pl -> http://www.gazeta.pl"
Lines: 32
Message-ID: <o...@a...local>
References: <htbqci$6de$1@inews.gazeta.pl>
NNTP-Posting-Host: 87.115.147.215
Mime-Version: 1.0
Content-Type: text/plain; charset=utf-8; format=flowed; delsp=yes
Content-Transfer-Encoding: 8bit
X-Trace: inews.gazeta.pl 1274821544 27024 87.115.147.215 (25 May 2010 21:05:44 GMT)
X-Complaints-To: u...@a...pl
NNTP-Posting-Date: Tue, 25 May 2010 21:05:44 +0000 (UTC)
X-User: pornelspam
User-Agent: Opera Mail/10.54 (MacIntel)
Xref: news-archive.icm.edu.pl pl.comp.www:395943
[ ukryj nagłówki ]
On Sun, 23 May 2010 18:58:43 +0100, Stefan <s...@c...wp.pl> wrote:

>
> Uzytkownicy chca tej funkcji. Z tego co sie orientuje to sa dwa wyjscia:
>
> - iframe zamiast div z trescia ladowana ajaxem,
> - przechowywanie tych formularzy w pierwszym DOMie wysylanym do
> przegladarki.
>
> Pierwszego nie chce - jest niezgodne z XHTML i ogolnie ble.

Ble (szczególnie cofanie UI do ery modalnych aplikacji jest ble), ale
mylisz XML ze Strict DOCTYPE. http://pornel.net/xhtml

> A druga metoda otwiera wektor ataku CSRF. W koncu formularz (wypelniony
> przez przegladarke) caly czas siedzi gdzies w DOMie i moze byc odczytany
> przez wstawiony javascript.

To, jak jest serwowany formularz nie ma wiele wspólnego z CSRF. Ważne
jest, jak jest odbierany.

Może chodzi ci o atak XSS? Jak masz luki XSS, to i tak masz przerąbane, bo
atakujący może ci też popodmieniać standardowe funkcje przeglądarki,
podstawić fałszywy formularz, dłubać we wszystkich ajaxach, ramkach z tej
samej domeny, itd.

Wstaw normalny formularz, a w nim jakiś niezgadywalny token i będzie ok.

--
http://pornel.net
this.author = new Geek("porneL");