php - ip_address - this-> input-> is_ajax_request()

Problema del token de CSRF de Codeigniter

Question

He creado un sitio sencillo de suscripción / boletín, pero tengo un problema extraño. Algunas personas reciben un error que dice

Se encontró un error. La acción que ha solicitado no está permitida.

Ya probé con Google y descubrí que las personas tenían el mismo problema cuando CSRF se configuraba como verdadero. Sin embargo, no le sucede a todos, solo a un pequeño grupo de personas. Estoy usando form_open y form_close y puedo ver el campo oculto (token).

Estoy usando la última versión de Codeigniter 2.0.2

Este es mi controlador

    function __construct() {
    parent::__construct();
    session_start();
}

function index() {

    $this->load->model(''beta_signup_model'');

    $this->form_validation->set_rules(''mail'',''e-mail'',''required|valid_email|xss_clean|callback__mail_check'');

    // Check for errors
    if($this->form_validation->run() == FALSE) {

        // The system found a form validation error


    } else {

        // No errors found
        $_SESSION[''mail_success''] = 1;
        $_SESSION[''mail''] = $this->input->post(''mail'');

        redirect(base_url() . ''confirm'');

    }

    ///// FILLS OUT INPUT FIELDS /////

    // Loads field_populator_helper
    $this->load->helper(''field_populator_helper'');

    // Defines input field names
    $input_names = array(
                    ''mail'',
    );

    // Defines default values   
    $default_values = array(
                    ''Skriv inn e-posten din..'',
    );

    // Auto-populates fields with blur and focus
    $data[''field_populator''] = populateFields($input_names, $default_values);

    $this->load->view(''frontpage_view'', $data);

}

Answer 1

CSRF es válido cuando el token del campo oculto está haciendo coincidir el token de la cookie. Verifique cuatro cosas:

1. No use sesiones nativas de php (session_start, etc.). Cambiar a clase de sesión en CI. http://codeigniter.com/user_guide/libraries/sessions.html

2. Verifique la configuración de cookies en /application/config/config.php

3. Compruebe el valor del token en su formulario, ¿es diferente cada actualización de página?

4. Tal vez intente descargar la versión actual de CI desde https://bitbucket.org/ellislab/codeigniter-reactor/downloads

Answer 2

Uso mi propio csrf helper, porque he descubierto que al configurar la opción en la configuración en true, hace estragos en mis llamadas ajax.

Uso * xsrf_get_token_field () * para generar el campo y * xsrf_check_token () * como devolución de llamada personalizada en mi validación de formulario.

<

?php if ( ! defined(''BASEPATH'')) exit(''No direct script access allowed'');

if ( ! function_exists(''xsrf_get_token'')) {
    /**
     * Get XSRF Token
     * 
     * Returns a token that exists for one request that verifies that
     * the action was executed by the person that requested it
     *
     * @return  string
     */
    function xsrf_get_token() {
        $ci =& get_instance();
        if ($ci->session->userdata(''xsrf_hash'')) {
            $token = $ci->session->userdata(''xsrf_hash'');
        } else {
            // Generate the token
            $token = sha1(microtime().$ci->uri->uri_string());
            // Set it in the session
            $ci->session->set_userdata(''xsrf_hash'', $token);
        }

        //Return it
        return $token;
    }
}

if ( ! function_exists(''xsrf_get_token_field'')) {
    /**
     * Get XSRF Token Field
     * 
     * Returns an xhtml form element to include xsrf token.
     * You can specify the id/name attribute of the input.
     * Has a dependancy to get_xsrf_token().
     *
     * @param   string  The id/name to be used
     * @return  string
     */
    function xsrf_get_token_field($name=''auth_token'') {
        return ''<input type="hidden" id="''.$name.''" name="''.$name.''" value="'' .xsrf_get_token(). ''" />'';
    }
}

if ( ! function_exists(''xsrf_delete_token'')) {
    /**
     * Delete XSRF Token
     * 
     * Deletes the xsrf token
     *
     * @return  boolean
     */
    function xsrf_delete_token() {
        $ci =& get_instance();
        if ($ci->session->userdata(''xsrf_hash'')) {
            $ci->session->unset_userdata(''xsrf_hash'');
            return TRUE;
        } else {
            return FALSE;
        }
    }
}

if ( ! function_exists(''xsrf_check_token'')) {
    /**
     * Get XSRF Token Field
     * 
     * Checks that the token is still valid, returns true if so. 
     * Deletes old token after valid or fail.
     * Has a dependacy to xsrf_delete_token()
     *
     * @param   string  The challenge token
     * @return  boolean
     */
    function xsrf_check_token($challenge_token) {
        // CI
        $ci =& get_instance();
        // Get the stored token
        $token = $ci->session->userdata(''xsrf_hash'');
        // Delete the old token
        xsrf_delete_token();
        // Returns if the token is the right token
        return ($token == $challenge_token);
    }
}

Answer 3

Puede ayudar a cambiar su ''sess_cookie_name'' en config.php para asegurarse de que no tenga espacios ni guiones bajos.

$config[''sess_cookie_name''] = ''mycookiename'';

Answer 4

Tuve el mismo problema: instalar totalmente limpio de CI 2.1.0 en MAMP y seguir el tutorial en la Guía del usuario.

Después de mucho buscar y buscar en Google, encontré que en ''application / config.php'', la variable $ config [''cookie_prefix''] siempre debe configurarse como vacía; de lo contrario, si se activa la protección CSRF, se producirá este error.

Puede ser que haya otros problemas involucrados, es decir, biblioteca de sesión, cifrado o protección XSS, etc., pero el simple hecho de dejar el "cookie_prefix" vacío parece haberlo solucionado.

Espero que esto ayude a otros.

Answer 5

• Debe actualizar los archivos de seguridad del núcleo o simplemente tomar el código csrf de la versión actual del archivo de seguridad del núcleo codeigniter codeigniter .

• Puede usar ajax como: var cct = $("input[name=csrf_test_name]").val(); $.post(site_url + "user/update_product", { product_id: id , ''csrf_test_name'': cct}) var cct = $("input[name=csrf_test_name]").val(); $.post(site_url + "user/update_product", { product_id: id , ''csrf_test_name'': cct})

• Codeigniter CSRF no está regenerando el token al actualizar la página. Se regenerará solo en la publicación no en obtener. Los evaluadores de seguridad lo encontraron como una vulnerabilidad. Si alguna persona tiene solución para esto ... por favor compártala, será útil para todos.

Answer 6

Para cualquiera que use Codeigniter 3.0, puede hacer lo siguiente:

Cambio

$config[''csrf_regenerate''] = TRUE;

a

$config[''csrf_regenerate''] = FALSE;

Esto detiene la regeneración de tokens CSRF en cada envío.