1

Quiero implementar algo para evitar los CSRF en mi sistema. Leyendo mucho acá en SOes y otros lados he hecho una prueba piloto con esta pequeña librería, pequeña pero hace lo que se necesita.

Como funciona? He configurado previamente el csrf.php a 60 segundos (1 Minuto) y la longitud de 64

session_start();
include('csrf.php');
$csrf = new CSRF();

<form action="core.php" method="POST">
    <?php echo $csrf->input('my-form');?>
    // Mando la hora actual para probarlo
    <input type="text" name="date" value="<?php echo $date = date('Y-m-d H:i:s'); ?>">
    <input type="submit" value="Submit"/>
</form>

En core

session_start();
include('csrf.php');

$csrf = new CSRF();

if ($_SERVER['REQUEST_METHOD'] === 'POST') {
    echo "<pre>";
        print_r($_POST);
    echo "</pre>";
    echo "<pre>";
        print_r($_SESSION);
    echo "</pre>";

    if ($csrf->validate('my-form')) {
        echo 'Bien';
    }
    else {
        echo 'Mal';
    }
}

Que me devuelve en la vista cuando el token aun esta vivo?

Array
(
    [hidden-key] => 87f9e32231916541031568254bd537910374b9bbab8ad36ab640863327623718
    [date] => 2023-10-18 18:13:40
)
Array
(
    [csrf-lib] => a:2:{i:0;O:9:"CSRF_Hash":3:{s:15:"CSRF_Hashhash";s:64:"e730c35dc08169ce408e22af0666f35911a3ecea37ea0afc4b69305970c2ae50";s:18:"CSRF_Hashcontext";s:7:"my-form";s:17:"CSRF_Hashexpire";i:1697645737;}i:1;O:9:"CSRF_Hash":3:{s:15:"CSRF_Hashhash";s:64:"87f9e32231916541031568254bd537910374b9bbab8ad36ab640863327623718";s:18:"CSRF_Hashcontext";s:7:"my-form";s:17:"CSRF_Hashexpire";i:1697645740;}}
    [hidden-key] => a:2:{i:0;O:9:"CSRF_Hash":3:{s:15:"CSRF_Hashhash";s:64:"c6d35ae3f34489fba4cd6bd8638238370e93a3e68bac9745cc1d88dbc9c99aa1";s:18:"CSRF_Hashcontext";s:7:"my-form";s:17:"CSRF_Hashexpire";i:1697639522;}i:1;O:9:"CSRF_Hash":3:{s:15:"CSRF_Hashhash";s:64:"5173a60e729dcc1696d23ddb20652d0bbf1ca8d500619d421a8cab0fddf5e370";s:18:"CSRF_Hashcontext";s:7:"my-form";s:17:"CSRF_Hashexpire";i:1697639524;}}
)
Bien

Y pasados los 60 segundos esto

Array
(
    [hidden-key] => 87f9e32231916541031568254bd537910374b9bbab8ad36ab640863327623718
    [date] => 2023-10-18 18:13:40
)
Array
(
    [csrf-lib] => a:0:{}
    [hidden-key] => a:2:{i:0;O:9:"CSRF_Hash":3:{s:15:"CSRF_Hashhash";s:64:"c6d35ae3f34489fba4cd6bd8638238370e93a3e68bac9745cc1d88dbc9c99aa1";s:18:"CSRF_Hashcontext";s:7:"my-form";s:17:"CSRF_Hashexpire";i:1697639522;}i:1;O:9:"CSRF_Hash":3:{s:15:"CSRF_Hashhash";s:64:"5173a60e729dcc1696d23ddb20652d0bbf1ca8d500619d421a8cab0fddf5e370";s:18:"CSRF_Hashcontext";s:7:"my-form";s:17:"CSRF_Hashexpire";i:1697639524;}}
)
Mal

Funciona, hace lo que se debe. Pero...

¿Puedo implementar esto como un Honey Pot o los conceptos y acciones son diferentes? Es decir quiero evitar los CSRF y el Spam.

¿Es bueno guardar los Token en Sesión o debería hacerlo en la Base? Se que los Frameworks lo hacen en la DB pero tardan algo en estar validando los token de cada formulario.

¿Este tipo de Token son los que se ven en las URL de algunas webs?

¿Como implementan ustedes este tipo de tokens? Máxime cuando no trabajan con algún frame.

1

1 respuesta 1

0

Me voy a arriesgar a responderte, pero tu pregunta busca opiniones de como hago o como lo hacen y no es correcto, este tipo de preguntas son mal vista en el sitio y se tratan mejor en el chat. Además que en tu pregunta no hay un problema relacionado a programación, si no a implementación.

Por otro lado es importante explicarte que el cómo lo implementes depende de la valoración del impacto que tiene a la larga tiempo respuesta... a lo mejor en tu local demora un tiempo absurdo la respuesta de la base de datos, pero cuando estamos en la web/producción puede resultar al revés, recuerda que detrás de un framework hay muchas personas...

En mi framework personal yo implemento algo como:

session_start();
if (empty($_SESSION['csrf_token'])) {
    $_SESSION['csrf_token'] = bin2hex(random_bytes(32));
}
$token = $_SESSION['csrf_token'];

el los formularios se veria asi:

<form action="tu_script.php" method="post">
    <input type="hidden" name="csrf_token" value="<?php echo $token; ?>">
    <!-- Otros campos del formulario aquí -->
    <input type="submit" value="Enviar">
</form>

y en la verificacion luce asi:

session_start();

if ($_SERVER['REQUEST_METHOD'] === 'POST') {
    if (!empty($_POST['csrf_token']) && hash_equals($_SESSION['csrf_token'], $_POST['csrf_token'])) {
        // El token es válido, procesa el formulario
        return true;
    } else {
        // Token no válido, maneja el error o redirige
        die("Error CSRF: Token no válido");
    }
}

recordando que esto son solo fragmentos de mi clase Protection que es una extencion de la clase htmlFormComposer.

3
  • Entiendo su punto, pero que hace diferente el código que puse al suyo? Ambos generan un hash, el suyo de 32 y el mio 64, ambos lo guardan en sesión, ambos lo comparan. Una gran diferencia es que el mio, le da tiempo de vida y no genera un único hash, sino que genera un token cada vez, según lo que leí, eso era lo mejor. Puede explicar mejor porque su método es mejor que el mio?
    – Yenn
    Commented el 19 oct. 2023 a las 12:40
  • por eso no respondo preguntas basadas en opiniones y son mal vistas en el sitio... no existe un porque... simplemente es como yo lo haria... no tengo necesidad de caducar un tocken... eso lo hace la sesion al caducar la sesion en general, si el usuario quiere tener un formulario abierto 4 dias eso es problema de el no mio ... Commented el 19 oct. 2023 a las 14:26
  • la idea del token es garatizar que a pesar que el usuario tiene 4 dias abierto el formulario... ese formulario enviado sea el formulario correcto... Commented el 19 oct. 2023 a las 14:27

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.