Subdomain-ka maamulka ma joojiyo CSRF: afar hubin ka hor bilowga

U raridda interface-ka maamulka ee admin.example.com waa horumar dhab ah: waxay ka fogaanaysaa cookies-ka maamulka bogagga dadweynaha, waxay siinaysaa labada application keyd gaar ah waxayna kuu ogolaataa inaad siyaasad shabakadeed adag u jeediso hal magac martigeliye. Laakiin ma aha xakamayn CSRF, mana ka dhigto koodhka goobta dadweynaha mid ammaan ah in loo bannaaneeyo maamule soo galay. Kala-soocidda waxay beddeshaa waxa browser-ku u arko xad, ma beddesho waxa server-ku hubiyo, sidaas darteed samee afar hubin oo kan ka hor intaadan dhihin waa dhammaatay.

U akhri asalka iyo goobta sidii laba eray oo kala duwan

Asal waa scheme, martigeliye iyo deked, sidaas darteed https://www.example.com iyo https://admin.example.com waa asal kala duwan. Goob ahaan SameSite waa scheme lagu daray domain la diiwaangelin karo, sidaas darteed labada magac martigeliye waa isla goob. Farqigaas waa dhammaan dabin: sifada SameSite kuma caawinayso inta u dhaxaysa subdomains walaalo ah, sababtoo ah browser-ku gebi ahaan uma arko codsiga mid ka gudbaya goobta. U jeedi interface-ka maamulka domain kale oo dhab ah oo la diiwaangelin karo, sida admin-example.net, markaas codsigu dhab ahaan wuu ka gudbayaa goobta, oo halkaas ayay SameSite=Lax ama Strict bilaabaan shaqo aad ku kalsoonaan karto.

Ku tijaabi browser-ka halkii aad ka fikiri lahayd.

Soo rar goobta dadweynaha, fur qalabka horumarinta oo eeg kuwa cookies-ka browser-ku ku lifaaqo codsiga u jeeda martigeliyaha maamulka. Haddii cookie-ga aanu lahayn sifa Domain, waa kan martigeliyaha oo keliya oo wuxuu ku sii jiraa magaciisa; haddii uu qaado Domain=example.com, wuxuu u socdaa walaasha kasta, oo subdomain-ka cusub waxba kuuma tarin cookie-gaas.

Kala sooc akhrinta jawaabta iyo dirista codsiga

Siyaasadda isla asalka waxay xaddidaa akhrinta jawaabaha inta u dhaxaysa asalka. Ma joojiso dirista codsi, mana ka hortagto foom inuu qaado aqoonsiga browser-ku hore u hayo. Codsi fudud, oo leh nooca nuxurka foom ama GET caadi ah, waa la gaarsiiyaa iyada oo aan hore loo hubin; ka dib CORS ayaa go’aamiya haddii script-ka wacaya uu akhrin karo jawaabta. CSRF wuxuu ku nool yahay dhinaca dirista oo dhan.

Sidaas darteed server-ku wuxuu u baahan yahay hubin cad oo ku saabsan hawlaha beddela xaaladda. Token isku-dubarid oo ku xidhan session-ka, ama cookie laba-jeer-dirid oo server-ka lagu barbardhigo, ayaa daboolaya kiiskaas; barbardhigga Origin ama Referer waa mudan in lagu daro irid labaad laakiin ma aha tan kaliya, sababtoo ah ma aha codsi kastaa inuu qaado madaxaas mana aha proxy kastaa inuu kaydiyo. Hagaha OWASP ee ka-hortagga CSRF wuxuu SameSite u arkaa hal lakab oo ka mid ah dhawr, sababtaas awgeed.

Go’aami waxa iridda shabakaddu dhab ahaan caddaynayso

Liiska oggolaanshaha bixitaanka VPN ee ka horreeya martigeliyaha maamulka waa xakamayn wanaagsan iyo sheegasho aqoonsi daciif ah. Waxay caddaynaysaa in codsigu ka yimid cinwaan VPN-ku bixiyo, oo qof walba oo bixitaankaas ku sugan uu wadaagi karo, mana sheegto wax ku saabsan qofka ama qalabka ka dambeeya. U qaado sida shaandhayn gelitaan, ma aha sida xaqiijin aqoonsi.

Ka dhig mid ka madax bannaan hubinta heerka codsiga. Haddii liisku yahay waxa kaliya ee u dhexeeya weeraryahan iyo meel dhammaad oo beddela xaaladda, hal waddo si khaldan loo habeeyay, hal macmiil split-tunnel ama hal laptop la amaahday ayaa xakamaynta gebi ahaan meesha ka rida.

Diiwaangeli sidoo kale diidmada ka timaadda dibadda xadka la filayo. Qurankoodu waa calaamadda ugu faa@APOS;iidada badan ee ah in qof uu sahaminayo xadka aad hadda dhistay, aamusnaantuna waa calaamadda ah in shaandhaha aan la gaarin gebi ahaan.

Hay cookies, gelitaan iyo oggolaansho mid cad

Baaxadda cookie-ga ayaa go@APOS;aamisa inta badan natiijada. Cookie-ga domain-ka waalidka waxaa loo diraa martigeliyaha maamulka, sidaas darteed duritaan script oo ku yimaadda goobta dadweynaha ayaa ku shaqayn kara session-ka maamule; cookie-ga martigeliyaha oo keliya ma shaqayn karo. Dooro qaabka martigeliyaha oo keliya, ku dar sifada Secure oo isticmaal horgalaha __Host- meesha platform-ku taageerto, sababtoo ah horgalahaas wuxuu u baahan yahay Secure, Path=/ iyo Domain la@APOS;aan. Akhri madaxa jawaabta ee ma aha weelka cookies-ka: Set-Cookie: __Host-admin_session=...; Secure; Path=/; HttpOnly; SameSite=Lax, sifa Domain la@APOS;aan. Browser-ku wuu tuuraa cookie __Host- oo qaada Domain, sidaas darteed cookie weli ka muuqda martigeliyayaasha walaalaha ah waa caddayn in horgalaha aan waligiis la hirgelin.

Kadib ku hay oggolaanshaha server-ka, codsi kasta, meel kasta oo dhammaad maamul, ma aha oo keliya xilliga gelitaanka. Codsi ka yimaadda shabakad la oggolaaday wali waa in la xaqiijiyo oo loo oggolaado hawsha uu codsanayo; magaca martigeliyaha ma aha ficil-qaate. Haddii application-ka dadweynaha iyo kan maamulka ay wadaagaan socodka gelitaanka ama keydka session-yada, qor xiriirkaas, sababtoo ah waa waddada ugu gaaban ee ka timaadda khalad ku yimaadda goobta dadweynaha ilaa ficil maamul.

Dib u hubi xadka kadib kala-soocidda

Socodsii tijaabooyinka diidmada ah, ma aha oo keliya waddada farxadda leh: foom ka gudbaya goobta oo token la@APOS;aan waa in la diido, token ka yimaadda session kale waa in la diido, oo GET kastaa waa in aanu beddelin xaaladda. Hubi sifooyinka cookie-ga qalabka horumarinta, xaqiiji in hubinta Origin ay shidanto codsi aan is waafajin, oo tijaabi martigeliyaha maamulka meel ka baxsan xadka VPN si aad u aragto shaandhaha oo shaqaynaya.

Mid ka mid ah kuwan ma tirtiro cillad XSS oo ku jirta application-ka maamulka laftiisa. Magac martigeliye gaar ah waa xad go@APOS;doomin dhinaca browser-ka oo leh qiimo dhab ah, mana beddelo ka-hortagga fulinta koodh aan ammaan ahayn ama ka-hortagga codsiyada dhinaca server-ka. Kadib kala-soocidda liisku waa ka gaaban yahay sida uu u muuqdo: asal gaar ah, cookies martigeliyaha oo keliya, token isbeddel kasta, shaandhayn gelitaan aadan u aammin aqoonsi ahaan, iyo oggolaansho codsi kasta loo go@APOS;aamiyo.