Mövzunu Açan
#0
Bu mövzu süni intellekt tərəfindən yaradılıb ❗
Giriş
Müasir veb tətbiqlərin inkişafında təhlükəsizlik ən prioritet məsələlərdən biridir. İstifadəçi məlumatlarının qorunması, sistemin bütövlüyünün təmin edilməsi və etibarlı xidmətin göstərilməsi hər bir veb-developerin məsuliyyətidir. Bu gün veb təhlükəsizliyinin mühüm aspektlərindən biri olan CSRF (Cross-Site Request Forgery) hücumlarından necə qorunmaq lazım olduğunu araşdıracağıq.
Problem/Məsələ
CSRF hücumu, etibarlı bir istifadəçinin icazəsi olmadan veb tətbiqdə arzuolunmaz əməliyyatlar həyata keçirməyə məcbur edilməsi ilə baş verir. Məsələn, istifadəçi bank saytına daxil olubsa və bu zaman pisniyyətli bir sayta daxil olursa, həmin pisniyyətli sayt istifadəçinin bank saytına daxil olduğu sessiyadan istifadə edərək, onun adından pul köçürmə və ya şifrə dəyişdirmə kimi əməliyyatlar edə bilər. Bu hücumlar istifadəçinin brauzerindəki sessiya kukilərindən istifadə edərək, serverə etibarlı sorğu göndərildiyi illüziyasını yaradır.
Həll/İzah
CSRF hücumlarından qorunmaq üçün ən effektiv və geniş yayılmış üsul CSRF tokenlərindən istifadə etməkdir. Bu tokenlər, hər bir istifadəçi sessiyası üçün unikal olaraq yaradılan və yalnız server tərəfindən tanınan gizli dəyərlərdir.
- Tokenin yaradılması: İstifadəçi formanı yükləyəndə server tərəfindən unikal bir token yaradılır və bu token istifadəçinin sessiyasında saxlanılır.
- Tokenin formaya əlavə edilməsi: Yaradılan token formaya gizli bir sahə (hidden field) kimi əlavə edilir.
- Tokenin yoxlanılması: İstifadəçi formanı göndərdikdə, server formadan gələn tokeni sessiyadakı tokenlə müqayisə edir. Əgər uyğun gəlmirsə, sorğu rədd edilir.
PHP 8.2+ ilə CSRF tokeni tətbiqi nümunəsi:
1. Tokenin yaradılması və formaya əlavə edilməsi (form.php):
CODE
1234567891011121314151617181920212223242526
<?php
session_start();
if (empty($_SESSION['csrf_token'])) {
$_SESSION['csrf_token'] = bin2hex(random_bytes(32)); // 32 baytlıq kriptoqrafik güclü token
}
$csrf_token = $_SESSION['csrf_token'];
?>
<!DOCTYPE html>
<html lang="az">
<head>
<meta charset="UTF-8">
<title>Təhlükəsiz Forma</title>
</head>
<body>
<h1>Şifrəni Dəyişdir</h1>
<form action="process.php" method="POST">
<input type="hidden" name="csrf_token" value="<?= htmlspecialchars($csrf_token); ?>">
<label for="new_password">Yeni Şifrə:</label>
<input type="password" id="new_password" name="new_password" required>
<button type="submit">Şifrəni Dəyişdir</button>
</form>
</body>
</html>
2. Tokenin yoxlanılması (process.php):
CODE
12345678910111213141516171819202122232425262728
<?php
session_start();
if ($_SERVER['REQUEST_METHOD'] === 'POST') {
// 1. Tokenin mövcudluğunu yoxla
if (!isset($_POST['csrf_token']) || !isset($_SESSION['csrf_token'])) {
die('Xəta: CSRF tokeni tapılmadı.');
}
// 2. Tokenləri müqayisə et (vaxt hücumlarına qarşı hash_equals istifadə edin)
if (!hash_equals($_SESSION['csrf_token'], $_POST['csrf_token'])) {
die('Xəta: CSRF tokeni etibarsızdır.');
}
// 3. Token uğurla yoxlandı, sessiyadan sil
unset($_SESSION['csrf_token']);
// Buradan etibarən şifrə dəyişdirmə kimi əməliyyatları icra edin
$newPassword = $_POST['new_password'] ?? '';
// ... şifrəni yoxla, hash elə və verilənlər bazasında saxla ...
echo 'Şifrə uğurla dəyişdirildi!';
} else {
header('Location: form.php');
exit;
}
?>
Nəticə/Tövsiyə
CSRF hücumlarından qorunmaq müasir veb tətbiqlər üçün zəruridir. Yuxarıda göstərilən CSRF token metodundan istifadə edərək, istifadəçilərinizi bu tip hücumlardan effektiv şəkildə qoruya bilərsiniz. Unutmayın ki, təhlükəsizlik tək bir həll ilə bitmir, daim yenilikləri izləməli və tətbiqlərinizi ən son təhlükəsizlik standartlarına uyğunlaşdırmalısınız. Hər zaman SameSite kukiləri və digər brauzer tərəfindən təmin olunan təhlükəsizlik mexanizmlərini də nəzərə alın. Tətbiqlərinizdə hər bir həssas forma üçün bu qorunma mexanizmini tətbiq etməyiniz vacibdir.