[es] - AJAX - sigurno pozivanje skripti na serveru

oliverhaddo

Član broj: 144508
Poruke: 15
*.dsl.optinet.hr.

Profil

AJAX - sigurno pozivanje skripti na serveru

^{10.08.2009. u 10:53 - pre 179 meseci}

Može li netko objasniti kako osigurati skriptu koja se poziva AJAX-om, da se može izvršiti jedino u slučaju da je pozvana iz predviđenog java script koda?Naime, često AJAXOM pozivamo nekaskripta.php koja vrši izmjene na bazi podataka i kako tu skriptu zaštiti od hackera?Naime, razmišljao sam da bi se mogao iskoristiti nekakav unique koji se onda provjerava na serverskoj strani, ali je problem u tome da je javascript dostupan korisniku i nemoguće je sakriti taj unique, session varijabla se isto ne može iskoristiti jer se sadržaj ne može pročitati javascriptom...
Pretpostavljam da postoji neki uobičajeni način kako se ovo rješava?

Odgovor na temu

Nikola Poša
Backend (PHP) developer
Beograd

Član broj: 173839
Poruke: 1616
*.adsl-a-1.sezampro.yu.

+33 Profil

Re: AJAX - sigurno pozivanje skripti na serveru

^{10.08.2009. u 12:00 - pre 179 meseci}

Prvo gledaj da to što taj AJAX handler radi bude sigurno i bezbedno, npr. ako je to validacija neke forme, obrati pažnju na escape-ovanja, filtriranja i te stvari. A ako je to sve ok, onda ni haker neće moći da napravi neko čudo koristeći tu tvoju skriptu...

Odgovor na temu

zigizig

Član broj: 42968
Poruke: 167
82.117.198.*

+10 Profil

Re: AJAX - sigurno pozivanje skripti na serveru

^{10.08.2009. u 15:00 - pre 179 meseci}

Za svaku skriptu vaze ista pravila.
Kako si zastitio sve ostale, tako zastiti i doticnu 'ajax' skriptu.
Jedina razlika je u nacinu pozivanja. 'Obicne' skripte se pozivaju posle neke akcije korisnika (klik, submit ...), a 'ajax' skripte poziva javascript.

Odgovor na temu

oliverhaddo

Član broj: 144508
Poruke: 15
*.dsl.optinet.hr.

Profil

Re: AJAX - sigurno pozivanje skripti na serveru

^{10.08.2009. u 15:11 - pre 179 meseci}

Stoji, ali problem je u tome,da te skripte komuniciraju sa browserom na takav način da 'ispisuju' rezultat, bilo kao HTML, JSON. XML..itd...Kako osigurati autentifikaciju u takvom slučaju, ako je to uopće moguće?

Odgovor na temu

Nikola Poša
Backend (PHP) developer
Beograd

Član broj: 173839
Poruke: 1616
*.adsl-a-1.sezampro.yu.

+33 Profil

Re: AJAX - sigurno pozivanje skripti na serveru

^{10.08.2009. u 15:50 - pre 179 meseci}

Pa kao i u svakom drugom skriptu, ispitaš da li je korisnik autentifikovan, npr.

Code:

if (!korisnikJeUlogovan) {
exit;
}

//ostatak koda

Ako se prođe taj if, izvršavanje tog handler-a ide dalje... Ti sad pre tog exit-a možeš da ispišeš neku poruku, kao rezultat izvršavanja tog handler-a, ali ne verujem da će ona išta značiti nekoj neautorizovanoj osobi, koja pokušava da zloupotrebi tvoj skript.

Odgovor na temu

oliverhaddo

Član broj: 144508
Poruke: 15
*.dsl.optinet.hr.

Profil

Re: AJAX - sigurno pozivanje skripti na serveru

^{10.08.2009. u 16:47 - pre 179 meseci}

Taj pristup je OK ako imaš VIP korisnike kojima osobno odobravaš autorizacije.Drugi problem je kad slučaj nije takav, neko se jednostavno registrira i ulogira i onda iz novopokrenute sesije vrši napad.Ima li tome lijeka? :)

Odgovor na temu

Milos911
Serbia

Član broj: 219127
Poruke: 1230
*.telenor.co.yu.

+303 Profil

Re: AJAX - sigurno pozivanje skripti na serveru

^{10.08.2009. u 20:17 - pre 179 meseci}

Vip ne vip, ti svakom novoregistrovanom korisniku dozvolis da radi sta ti hoces. Dakle nevazno da li je vip(ma sta ti to znacilo) ili nije. if ne pita da li je neko vip ili ne :) Ako ti njemu stavis

Citat:

if (korisnikJeUlogovan) {
echo "ne cackaj mecku-ima alarm";
if (korisnikcackmecku)
{
echo "Mars stoko jedna nevaspitana}
}
else
{
//ostatak koda
};
}

on ne moze cackati mecku pa cak i da mu je tata tadic... Nadam se da razumes sta hocu da ti kazem? :)

Odgovor na temu

b0ris
Boris Vujicic
Senior PHP programer
Beograd

Član broj: 126587
Poruke: 158
92.36.243.*

+2 Profil

Re: AJAX - sigurno pozivanje skripti na serveru

^{12.08.2009. u 22:59 - pre 178 meseci}

Citat:

često AJAXOM pozivamo nekaskripta.php koja vrši izmjene na bazi podataka

A zasto imas potrebu za azuriranjem baze podataka preko ajaxa? Ja obicno koritim ajax samo da bih uzeo neke podatke, nikad da iste smestam u bazu.
Standardno provuces sve te podatke, koji su poslani toj skripti, kroz sistem verifikacije i obezbedis query da radi neometano (u slucaju da nemas nikakvu verifikaciju).

---------------------------------------------------------------------
Just do it.

Odgovor na temu

zigizig

Član broj: 42968
Poruke: 167
82.117.198.*

+10 Profil

Re: AJAX - sigurno pozivanje skripti na serveru

^{13.08.2009. u 12:51 - pre 178 meseci}

Jos uvek je pitanje sta ti u stvari hoces da azuriras. Mozda ti je ideja potpuno pogresna. Mozda se to radi na potpuno drugaciji nacin.
Sa druge strane, bez obzira da li je korisnik vip ili ne, zastita uvek treba da postoji. Kako ces je implementirati zavisi i od toga sta azuriras i na koji nacin.
Bilo bi interesantno da napises o cemu se u stvari radi.

Odgovor na temu