Корпорація Майкрософт надає нам вбудовану функціональність, яку ми використовуємо в нашому додатку з метою безпеки, тому ніхто не може зламати наш сайт або вторгнутись у критичну інформацію.
Використання ValidateAntiForgeryToken
Спробуємо на простому прикладі зрозуміти це поняття. Я не хочу робити це занадто складно, тому я збираюся використовувати шаблон програми MVC, вже доступний у Visual Studio. Ми зробимо це крок за кроком. Давайте розпочнемо.
Крок 1 - Створіть два програми MVC із шаблоном інтернету за замовчуванням та вкажіть ці імена відповідно CrossSite_RequestForgery та Attack_Application.
Тепер відкрийте веб-конфігурацію додатка CrossSite_RequestForgery та змініть рядок з'єднання з наведеною нижче, а потім збережіть.
`
<connectionStrings> <add name="DefaultConnection" connectionString="Data Source=local\SQLEXPRESS;Initial Catalog=CSRF;
Integrated Security=true;" providerName="System.Data.SqlClient" />
</connectionStrings>
Тепер натисніть Інструменти >> NuGet Package Manager, потім консоль диспетчера пакунків
Тепер запустіть наведені нижче три команди в консолі диспетчера пакунків, щоб створити базу даних.
Перше оновлення бази даних для додавання-міграції увімкнення
Важливі примітки. Я створив базу даних з кодом першого підходу, тому що я хочу зробити цей приклад у процесі роботи розробників. Базу даних також можна створити вручну. Це твій вибір.
- Тепер відкрийте контролер акаунта. Тут ви побачите метод реєстрації, тип якого - пост. Над цим методом повинен бути атрибут, доступний як [ValidateAntiForgeryToken]. Прокоментуйте цей атрибут. Тепер клацніть правою кнопкою миші на реєстрації та натисніть Перейти. Знову ви знайдете помічник html як @ Html.AntiForgeryToken (). Прокоментуйте також це. Запустіть програму та натисніть кнопку зареєструватися. URL-адреса буде відкрита як:
http: // localhost: 52269 / Рахунок / Реєстрація
Примітки. Я знаю, що зараз питання, що виникають у всіх читачах, полягає в тому, чому цих двох помічників потрібно коментувати, оскільки всі знають, що вони використовуються для перевірки запиту. Тоді я просто хочу повідомити всім, що це лише тому, що я хочу показати різницю після і перед застосуванням цих помічників.
Тепер відкрийте другу програму - Attack_Application. Потім відкрийте метод «Реєстрація» Контролера облікових записів. Просто змініть метод POST на простий, показаний нижче.
Реєстраційний формуляр
- @ Html.LabelFor (m => m.UserName) @ Html.TextBoxFor (m => m.UserName)
- @ Html.LabelFor (m => m.Password) @ Html.PasswordFor (m => m.Password)
- @ Html.LabelFor (m => m.ConfirmPassword) @ Html.PasswordFor (m => m.ConfirmPassword)
7. Тепер, припустимо, ви хакер і знаєте URL-адресу, звідки можете зареєструвати користувача в додатку CrossSite_RequestForgery. Тепер ви створили сайт підробки як Attacker_Application і просто вписали ту саму URL-адресу в метод публікації.
8.Запустіть цю програму зараз і заповніть поля реєстру та натисніть на регістр. Ви побачите, що ви зареєстровані в додатку CrossSite_RequestForgery. Якщо ви перевірите базу даних програми CrossSite_RequestForgery, ви побачите та введені вами записи.
- Важливо - Відкрийте додаток CrossSite_RequestForgery і прокоментуйте маркер у Контролері облікових записів та зареєструйте Перегляд. Спробуйте зареєструватися ще раз тим самим процесом. Тоді відбудеться помилка, як показано нижче.
Помилка серверу в програмі '/' ________________________________________ Немає необхідного файлу cookie "__RequestVerificationToken" для підробки.
Про це говорить концепція. Що ми додаємо у View, тобто @ Html.AntiForgeryToken () генерує __RequestVerificationToken під час завантаження та [ValidateAntiForgeryToken], доступний методом Controller. Зрівняйте цей маркер на час публікації. Якщо маркер такий же, це означає, що це дійсний запит.