[PHP]problem z csrf Opcje

[viamarimar]

Mam problem przy generowaniu kodow csrf dla formularza. Kod generowany w sesji nie zgadza sie z przesylanym w post, chodz jest to teoretycznie ten sam token.

1. Dodałem przy zalogowaniu pierwszy token

[PHP] pobierz, plaintext 
$_SESSION['token'] = randTokenCSRF();
$_SESSION['time'] =  $_SERVER["REQUEST_TIME"];
[PHP] pobierz, plaintext 

2. W pliku index ktory jakby spaja wszystkie pliki gdyz struktura jest
index.php?a=cos&b=cos&c=cos
dodalem:

[PHP] pobierz, plaintext 
@$token = $_SESSION['token'];
var_dump($_SESSION['token']);
var_dump($token);
$delta = 86400;
$tstamp = $_SESSION['time'];
 
if(isset($token) && isset($tstamp) ){
if($_SERVER["REQUEST_TIME"] - $_SESSION['time'] > $delta){
    header("location: index.php?k=csrf");
	echo '1';
	}
else{
	$_SESSION['token'] = randTokenCSRF();
	$_SESSION['time'] =  $_SERVER["REQUEST_TIME"]; 
	$token = $_SESSION['token'];
	$token = $_SESSION['token'];
	echo '2';
} 
[PHP] pobierz, plaintext 

3. W formularzu:

[PHP] pobierz, plaintext 
<input type="hidden" name="token" value="<?php echo $token; ?>">
[PHP] pobierz, plaintext 

4. Po wyslaniu sprawdzam dumpem czy sie zgadza:

[PHP] pobierz, plaintext 
var_dump($_POST['token']);
niestety tokeny sa inne
var_dump($_SESSION['token']);
[PHP] pobierz, plaintext 

-Wydaje mi sie ze problem jest gdzies w plikach index, lecz nie jestem swiadom gdzie konkretnie.

Prosze o uświadomienie.

Ten post edytował viamarimar 9.12.2016, 00:18:50

[com]

problem to jest ta sesja bo w miedzy czasie zmienia Ci się tam stan, o czym php wie w następnym requescie, a tam zmieniasz go znów

[viamarimar]

domyślam, się że problem jest z sesją, a jakiś pomysł na rozwiązanie?

[com]

Zerknij tutaj:
http://stackoverflow.com/a/31683058

Ten post edytował com 9.12.2016, 14:59:13

[viamarimar]

przedstawione tam rozwiazanie raczej utrudnia problem niz pomaga go rozwiazac ;/

[PHP] pobierz, plaintext 
if(empty($_SESSION['token'])) {
		if (function_exists('mcrypt_create_iv')) {
			$_SESSION['token'] = bin2hex(mcrypt_create_iv(32, MCRYPT_DEV_URANDOM));
		} else {
			$_SESSION['token'] = bin2hex(openssl_random_pseudo_bytes(32));
	}
}
$token = $_SESSION['token'];
[PHP] pobierz, plaintext 

coś takiego by niby bylo lepsze? a co z unikalnoscia tego tokena?

czy token csrf powinien byc generowany raz czy wielokrotnie? bo słyszałem już różne opinie?

Ten post edytował viamarimar 10.12.2016, 01:58:53