Ошибка доступ запрещен возможна csrf атака cs cart

Всем привет! Недавно столкнулся с такой проблемой в Сs-Cart. При изменении позиции характеристик на сайте CMS выдало сообщение: Ошибка. Доступ запрещен: Возможно CSRF-атака.

Спасибо интернету и форуму поддержки Сs-Cart (мои рекомендации для всех — читайте форум, возможно там вы найдете много ответов на свои вопросы).

CSRF (Cross-Site Request Forgery, также XSRF) – опаснейшая атака, которая приводит к тому, что хакер может выполнить на неподготовленном сайте массу различных действий от имени других, зарегистрированных посетителей.

Какие это действия – отправка ли сообщений, перевод денег со счёта на счёт или смена паролей – зависят от сайта, но в любом случае эта атака входит в образовательный минимум веб-разработчика.

Оказывается, ошибка CSRF может возникать при одновременной работе нескольких человек в админке сайта.

Проблема чаще всего возникает из-за того, что POST запрос обрезается сервером и в итоге в нем отсутствует параметр security_hash.

Решение:

Для решения проблемы в корне сайта в файл .htaccess добавьте код:

php_value pcre.backtrack_limit 10000000 
php_value max_input_vars 10000

Posted in CS-CART and tagged CSRF-атака, сs-cart.

У меня на странице есть форма с неколькими полями и кнопкой. При нажатии на кнопку данные должны отправляться на сервер и там обрабатываться. Использую стандартные asp контролы: asp:TextBox и asp:Button. В серверной части обрабатываю событие OnClick у кнопки.
Если страница не кеширована, то все нормально. Если же нет, то возникает ошибка Provided security token is invalid!

Provided security token is invalid!
Description: An unhandled exception occurred during the execution of the current web request. Please review the stack trace for more information about the error and where it originated in the code.

Exception Details: Bitrix.Security.BXCsrfTokenValidationException: Provided security token is invalid!

Source Error:

An unhandled exception was generated during the execution of the current web request. Information regarding the origin and location of the exception can be identified using the exception stack trace below.

Stack Trace:

[BXCsrfTokenValidationException: Provided security token is invalid!]
  Bitrix.Security.BXCsrfToken.ValidateToken(String token) +92
  Bitrix.Security.BXCsrfToken.ValidatePost() +227
  Bitrix.UI.TemplateRequisite.PageInitComplete(Object sender, EventArgs e) +53
  System.EventHandler.Invoke(Object sender, EventArgs e) +0
  System.Web.UI.Page.OnInitComplete(EventArgs e) +11032014
  Bitrix.UI.BXPublicPage.OnInitComplete(EventArgs e) +16
  System.Web.UI.Page.ProcessRequestMain(Boolean includeStagesBeforeAsyncPoint, Boolean includeStagesAfterAsyncPoint) +1674

Кто знает как побороть это на кешированных страницах?
Кеширование настроено так:
<%@ OutputCache Duration=»420″ Location=»ServerAndClient» VaryByParam=»*» %>

Если вы столкнулись с ошибкой «истек CSRF-токен» — читайте нашу статью. Из неё вы узнаете, как работает CSRF-token защита, и что делать, если CSRF токен истек.

CSRF (англ. cross-site request forgery) — это межсайтовая подделка запроса. Это атака, которой может подвергаться любой веб-ресурс или веб-приложение. В первую очередь это касается сайтов, которые используют cookies, сертификаты авторизации и браузерную аутентификацию. В результате атаки страдают клиенты и репутация ресурса.

Вредоносный скрипт прячется в коде сайта или обычной ссылке. С помощью него мошенник получает доступ к конфиденциальной информации: платежным реквизитам, логину и паролю, личной переписке. После того как данные “в кармане”, хакер может изменить пароль, указать свой номер телефона или email, перевести деньги на свой счёт и многое другое.

Как работает CSRF-атака

Злоумышленник может использовать фишинговую ссылку — это наиболее распространенный способ обмана. В этом случае атака работает по следующей схеме:

CSRF-атаки случаются из-за того, что без специальных настроек сервер не может с точностью в 100% определить, кто именно выполняет действия со стороны пользователя. Он не может проверить, действительно ли на кнопку “оплатить” нажал тот пользователь, который изначально открыл страницу с оплатой. Хакеры активно используют этот люфт в безопасности HTTP-запросов и применяют вредоносные скрипты. Однако от атаки можно защититься с помощью CSRF-токенов. 

Что такое CSRF-token и как он работает

В общем понимании токен — это механизм, который позволяет идентифицировать пользователя или конкретную сессию для безопасного обмена информацией и доступа к информационным ресурсам. Токены помогают проверить личность пользователя (например, клиента, который онлайн получает доступ к банковскому счёту). Их используют как вместо пароля, так и вместе с ним. Токен — это в каком-то смысле электронный ключ.

CSRF-token — это максимально простой и результативный способ защиты сайта от CSRF-мошенников. Он работает так: сервер создаёт случайный ключ (он же токен) и отправляет его браузеру клиента. Когда браузер запрашивает у сервера информацию, сервер, прежде чем дать ответ, требует показать ключ и проверяет его достоверность. Если токен совпадает, сессия продолжается, а если нет — прерывается. Токен действителен только одну сессию — с новой сессией он обновляется.

Чтобы получить ответ от сервера, используются разные методы запроса. Условно они делятся на две категории: те, которые не изменяют состояние сервера (GET, TRACE, HEAD), и те, которые изменяют (PUT, PATCH, POST и DELETE). Последние имеют большую CSRF-уязвимость и поэтому должны быть защищены в первую очередь.

При создании и использовании токена должны соблюдаться следующие условия:

• нахождение в скрытом параметре;

• генерация с помощью генератора псевдослучайных чисел;

• ограниченное время жизни (одна сессия);

• уникальность для каждой транзакции;

• устойчивый к подбору размер (в битах);

• невозможно переиспользовать.

Типы токенов

Существует три основных типа токенов по способу генерации:

Помимо токенов, для защиты используется флаг Same-Site (большинство браузеров его поддерживает). Он работает напрямую для cookies и позволяет помечать куки конкретного домена. Сервер проверяет, содержатся ли нужные пометки в куках страницы, с которых происходит оплата или вносятся изменения. Если пометок нет — сессия прекращается.

Также в качестве меры защиты на страницах сайта настраивают форму с капчей. Это особенно актуально для страниц смены пароля или совершения денежных транзакций.

Даже при авторизации на сайтах, для которых настроена защита от атак, можно встретить следующие варианты сообщения об ошибке: «Недопустимое CSRF-значение»/«CSRF-токены не совпадают» или «Token expired» (в переводе — срок действия токена истек). Сообщение может отображаться как на английском, так и на русском. Пример ошибки при авторизации на сайте REG.RU:

Обычно ошибка возникает по двум основным причинам:

• сервер некорректно сгенерировал токен;

• срок токена истек — пользователь долго не совершал никаких действий на странице.

В обоих случаях исправить проблему поможет перезагрузка страницы — вы запустите новую сессию, а значит, сервер и браузер договорятся о новом рабочем токене. Для этого нажмите на значок обновления страницы:

Иногда ошибка возникает из-за расширений защиты конфиденциальности или плагинов блокировки рекламы (например, Ghostery, UBlock Origin, Blur), которые настроены у пользователя. В этом случае можно отключить расширение. Также можно добавить сайт, на котором появилось сообщение, в список доверенных сайтов.

На примере сайта reg.ru покажем, что для этого нужно:

В некоторых случаях сгенерировать верный токен мешают локальные настройки куки в браузере. Чтобы сессия прошла успешно, достаточно вернуть дефолтные настройки.

Заключение

Успешная атака CSRF позволяет хакеру действовать на сайте от имени другого зарегистрированного посетителя. Чтобы мошенник не добрался до конфиденциальных данных, для сайта нужно настроить один из типов CSRF-токенов. Токены позволяют серверу и браузеру безопасно обмениваться информацией в течение сессии. Однако даже на безопасных сайтах можно столкнуться с ошибкой «токен CSRF истек». В этом нет ничего страшного. Чтобы возобновить подключение, достаточно обновить страницу браузера.

Уже **** горит жестко от этой ошибки. Уже несколько дней работаю с этой csurf, всё отлично, всё окей, но начиная с какого-то момента перестал работать на странице продукта (AdminRoutes)
На сайте есть аутентификация, есть формы по типу добавки товара в корзину через форму с csrf токеном и еще несколько таких форм с csrf, везде работает корректно, но именно при добавлении и изменении продукта выдает ошибку Invalid csrf token.
Голова уже не может думать, просто загадка года для меня…
Заранее очень благодарю за помощь.

app.js

const path = require('path')
const bodyParser = require('body-parser');
const session = require('express-session')
const MongoDBSession = require('connect-mongodb-session')(session)
const csrf = require('csurf')
const flash = require('connect-flash')

const express = require('express');
const mongoose = require('mongoose')
const app = express();

const MONGODB_URI = 'mongodb+srv://login:password@mongooset.ekaxg.mongodb.net/shop?retryWrites=true&w=majority'
const sessionStore = new MongoDBSession({
    uri: MONGODB_URI,
    collection: 'session'
})

app.set('view engine', 'ejs');
app.set('views', 'views');

const adminRoutes = require('./routes/AdminRoutes');
const shopRoutes = require('./routes/ShopRoutes');
const cartRoutes = require('./routes/CartRoutes');
const orderRoutes = require('./routes/OrderRoutes');
const authRoutes = require('./routes/AuthRoutes');
const User = require('./models/UserModel');
const errorController = require('./controllers/ErrorController')

app.use(bodyParser.urlencoded({extended: true}));
app.use(express.static(path.join(__dirname, 'public')));
app.use(session({
    secret: 'some secret key',
    resave: false,
    saveUninitialized: false,
    store: sessionStore,
}));

const csrfProtection = csrf()
app.use(flash())
app.use(csrfProtection)

app.use((req, res, next) => {
    res.locals.isAuthenticated = req.session.isAuthenticated
    res.locals.csrf = req.csrfToken()
    next()
})

app.use((req, res, next) => {
    if (!req.session.isAuthenticated) {
        return next()
    }
    User.find({ email: req.session.email }, (err, user) => {
        if (err) console.log(err)
        if (user.length > 0) {
            req.user = user[0]
        } else {
            req.user = []
        }
        return next()
    })
})

app.use('/admin', adminRoutes);
app.use(shopRoutes);
app.use(cartRoutes);
app.use(orderRoutes);
app.use(authRoutes);

app.use(errorController.get404);

app.use((error, req, res, next) => {
    console.log(error);
    res.status(500).render('500', {
        pageTitle: 'Something went wrong',
        page: '500',
    })
})

mongoose.connect(MONGODB_URI)
    .then(() => {
        console.log('Connected to Mongoose')
        app.listen(8000)
    })
    .catch(err => {
        console.log(err)
    })

AdminRoutes.js

const express = require('express');
const router = express.Router();

const adminController = require('../controllers/AdminController')
const isAuth = require('../middleware/is-auth')

// GET
router.get('/products', isAuth, adminController.getProducts);
router.get('/add-product', isAuth, adminController.getAddProduct);
router.get('/edit-product/:id', isAuth, adminController.getEditProduct);

// POST
router.post('/add-product', isAuth, adminController.postAddProduct);
router.post('/edit-product/:id', isAuth, adminController.postEditProduct);
router.post('/delete-product', isAuth, adminController.deleteProduct);

module.exports = router

<input type="hidden" name="_csrf" value="<%= csrf %>">

csrf токен во всех шаблонах присутствует, проверил уже. Везде одинакого и везде работает, ну кроме этого роута.

См. определение в файле csrf.php строка 13

◆ __construct()

◆ addError()

◆ bindAction()

◆ className()

◆ getAction()

◆ getErrorByCode()

◆ getErrors()

◆ listAllowedScopes()

◆ onAfterAction()

◆ onBeforeAction()

◆ $action

◆ $errorCollection

◆ ERROR_INVALID_CSRF

◆ HEADER_WITH_NEW_CSRF

Объявления и описания членов класса находятся в файле:

• C:/Bitrix/modules/main/lib/engine/actionfilter/csrf.php