搜索

[9610] 2015-12-05_为什么说你的API并不安全？

文档创建者：s7ckTeam
浏览次数：9
最后更新：2025-01-17
2015-12-05_为什么说你的API并不安全？ 为 什 么 说 你 的 A P I 并 不 安 全 ？ F r e e B u f   2 0 1 5 - 1 2 - 0 5 0 × 0 0   背 景 介 绍 背 景 介 绍 前 段 时 间 我 向 前 段 时 间 我 向 S p r e e   C o m m e r c e 公 司 报 告 了 其 所 有 公 司 报 告 了 其 所 有 A P I 路 径 存 在 路 径 存 在   J S O N P + C S R F 漏 洞 漏 洞 的 问 题 。 同 样 ， 的 问 题 。 同 样 ， I n s t a g r a m 的 的 A P I 存 存 在 在 C S R F 漏 洞 漏 洞 。 。 D i s q u s 、 、 S t r i p e 和 和 S h o p i f y 的 的 A P I 通 过 通 过 J S O N P 泄 露 隐 私 信 息 泄 露 隐 私 信 息 。 这 一 切 问 题 的 根 源 都 是 没 有 合 理 使 用 混 合 。 这 一 切 问 题 的 根 源 都 是 没 有 合 理 使 用 混 合 A P I 认 证 。 认 证 。 希 望 所 有 A P I 开 发 者 都 能 看 一 看 这 篇 文 章 。 我 将 解 释 A P I 认 证 的 基 础 和 目 前 业 内 最 好 的 做 法 。 0 × 0 1   过 程 详 述 过 程 详 述 首 先 你 的 A P I 通 过 a p i _ k e y 来 进 行 认 证 ： d e f   l o a d _ u s e r @ c u r r e n t _ a p i _ u s e r   =   S p r e e . u s e r _ c l a s s . f i n d _ b y ( s p r e e _ a p i _ k e y :   a p i _ k e y . t o _ s ) e n d 这 时 有 人 让 你 启 用 C O R S （ 跨 域 资 源 共 享 ， C r o s s - O r i g i n   R e s o u r c e   S h a r i n g ） ， 因 为 他 们 想 通 过 J S 调 用 你 的 A P I ： c o n f i g . m i d d l e w a r e . i n s e r t _ b e f o r e   0 ,   " R a c k : : C o r s "   d o a l l o w   d o o r i g i n s   ' * ' r e s o u r c e   ' * ' ,   : h e a d e r s   = >   : a n y ,   : m e t h o d s   = >   [ : g e t ,   : p o s t ,   : o p t i o n s ] e n d e n d 显 然 在 你 的 A P I C o n t r o l l e r 中 有 s k i p _ b e f o r e _ a c t i o n   : v e r i f y _ a u t h e n t i c i t y _ t o k e n 。 那 么 你 会 说 对 于 来 自 比 如 A n d r o i d   a p p 的 A P I 请 求 为 什 么 还 需 要 C S R F 验 证 呢 ？
还 有 一 位 开 发 者 希 望 你 能 加 上 J S O N P ( J S O N   w i t h   P a d d i n g ) 的 支 持 因 为 低 版 本 浏 览 器 不 支 持 C O R S 。 你 觉 得 这 当 然 没 问 题 ： a f t e r _ f i l t e r   : s e t _ j s o n p _ f o r m a t d e f   s e t _ j s o n p _ f o r m a t i f   p a r a m s [ : c a l l b a c k ]   & &   r e q u e s t . g e t ? s e l f . r e s p o n s e _ b o d y   =   " # { p a r a m s [ : c a l l b a c k ] } ( # { r e s p o n s e . b o d y } ) " h e a d e r s [ " C o n t e n t - T y p e " ]   =   ' a p p l i c a t i o n / j a v a s c r i p t ' e n d e n d 目 前 看 来 一 切 都 没 什 么 问 题 。 最 后 你 的 开 发 者 决 定 追 随 B a c k e n d - A s - A P I 的 潮 流 并 在 客 户 端 使 用 你 的 a p i . e x a m p l e . c o m 。 这 时 有 两 种 选 择 ： 一 一 .   手 动 增 加 手 动 增 加 a p i _ t o k e n 比 如 说 S o u n d c l o u d 的 每 个 A P I 请 求 头 部 使 用 A u t h o r i z a t i o n : O A u t h   1 - 1 6 3 4 3 - 1 5 2 3 3 3 2 9 - 7 9 6 b 6 b 6 9 5 d 2 c 7 c 1 ， F o u r s q u a r e 使 用 o a u t h _ t o k e n = Y X I A C 4 Y 2 5 4 H G Z B N P Q W 6 S 0 U F B G G S U 5 7 R B P 。 这 样 做 的 缺 点 ： 这 样 做 的 缺 点 ： 1 . X S S 。 O A u t h   t o k e n s 可 通 过 J S 访 问 ， 攻 击 者 可 借 此 泄 露 受 害 者 凭 证 。 可 以 使 用 H t t p O n l y   f l a g 来 防 止 此 类 事 件 发 生 。 但 O A u t h t o k e n s 并 没 有 此 类 预 防 措 施 。 2 . 对 于 每 个 请 求 都 会 有 O P T I O N S 请 求 ， 增 加 了 潜 在 风 险 。 尽 管 很 多 人 使 用 这 样 的 方 法 但 我 并 不 推 荐 。 二 二 .   通 过 通 过 c o o k i e 认 证 用 户 认 证 用 户 这 样 一 来 你 想 到 修 复 方 法 很 简 单 ： 这 样 一 来 你 想 到 修 复 方 法 很 简 单 ： @ c u r r e n t _ a p i _ u s e r   =   ( t r y _ s p r e e _ c u r r e n t _ u s e r   | |   S p r e e . u s e r _ c l a s s . f i n d _ b y ( s p r e e _ a p i _ k e y :   a p i _ k e y . t o _ s ) ) t r y _ s p r e e _ c u r r e n t _ u s e r   解 析   _ s p r e e _ s e s s i o n   c o o k i e ,   得 到 u s e r _ i d 返 回 U s e r . f i n d ( s e s s i o n [ : u s e r _ i d ] ) 。 那 么 这 种 做 法 有 什 么 问 题 呢 ？ 类 似 “ 授 权 （ A u t h o r i z a t i o n ） ” ， c o o k i e 也 是 封 装 在 头 部 ， 但 即 使 是 经 验 丰 富 的 开 发 也 不 一 定 能 真 正 理 解 c o o k i e 。 我 称 其 为 “ 自 带 凭 证 （ s t i c k y   c r e d e n t i a l s ） ” ， 因 为 它 们 是 自 动 加 上 的 ， 即 使 是 来 自 第 三 方 域 的 请 求 （ 比 如 e v i l . c o m ） 。 因 为 绝 大 多 数 w e b 开 发 者 并 没 有 理 解 到 这 样 的 概 念 导 致 C S R F 成 为 全 球 最 普 遍 的 安 全 问 题 。 这 也 是 为 什 么 所 有 基 于 c o o k i e 的 认 证 都 需 要 用 额 外 的 c s r f _ t o k e n   n o n c e 进 行 双 重 认 证 。 这 个 n o n c e 能 使 你 确 定 请 求 来 自 你 的 域 名 。 1 . 因 为 你 的 A P I 请 求 漏 掉 了 C S R F 保 护 ， 所 有 你 的 A P I 路 径 都 有 请 求 伪 造 的 风 险 。 2 . J S O N P 通 过 跨 站 泄 露 G E T 响 应 。 3 . C O R S 就 更 不 可 靠 了 ， 每 种 请 求 都 会 泄 露 信 息 。 0 × 0 2   解 决 方 案 解 决 方 案 那 么 怎 么 做 才 对 ？ 混 合 A P I 认 证 ： @ c u r r e n t _ a p i _ u s e r   =   u n l e s s   a p i _ k e y . t o _ s . e m p t y ? S p r e e . u s e r _ c l a s s . f i n d _ b y ( s p r e e _ a p i _ k e y :   a p i _ k e y . t o _ s ) #   G o o d   t o   g o ! e l s e #   E v e r y o n e   s t a n d   b a c k ,   w e   a r e   u s i n g   c o o k i e s ! #   1 )   v e r i f y   C S R F   t o k e n   f o r   a l l   n o n - G E T   r e q u e s t s
#   2 )   d r o p   J S O N P   s u p p o r t #   3 )   d r o p   C O R S   s u p p o r t t r y _ s p r e e _ c u r r e n t _ u s e r e n d 这 种 混 合 的 方 法 允 许 前 端 （ 这 种 混 合 的 方 法 允 许 前 端 （ J S / H T M L   a p p ） 和 第 三 方 应 用 使 用 你 的 ） 和 第 三 方 应 用 使 用 你 的 a p i . e x a m p l e . c o m ， 让 你 的 凭 证 不 受 ， 让 你 的 凭 证 不 受 X S S （ （ H t t p O n l y ） 的 困 扰 ， 也 不 会 产 生 并 无 必 要 的 ） 的 困 扰 ， 也 不 会 产 生 并 无 必 要 的 O P T I O N S 请 求 。 上 述 介 绍 的 就 是 目 前 业 内 的 最 好 方 法 。 请 求 。 上 述 介 绍 的 就 是 目 前 业 内 的 最 好 方 法 。 * 原 文 地 址 ； s a k u r i t y ， 编 译 / f l o r e n c e ， 转 载 请 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ F r e e B u f . C O M ） 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理