Uff was sind überhaupt csrf_token ? Ist eine Anwendung nicht sicher, wenn man die nicht verwendet? Ich hab bei mir die Season verariable automatisch mit der ip verknüpft wenn ein request plötzlich von einer anderen ip kommt, wird man automatisch abgemeldet. Zudem prüft ein JavascriptScript, ob die Seite über eine ProxyServer weitergelteitet wurde und korriegiert das gegebenfalls. Und da das ganze nicht direkt überprüft wird, die url also nirgendwo im klartext steht ist es unmöglich den proxyserver so zu konfigurieren, dass alle URLs replaced werden.

if(btoa(window.location.origin) !== "aHR0cHM6Ly9uYWRpcy1oYW5kbWFkZS5kZQ=="){
    window.location.href = atob("aHR0cHM6Ly9uYWRpcy1oYW5kbWFkZS5kZQ==")+window.location.pathname+window.location.search+window.location.hash;
}

Zitat von Syntafin

CSRF steht für Cross Site Request Forgery.

Ein einfaches Session an IP klemmen hilft dagegen nicht, gerade bei geteilten Anschlüssen wie es bei Vodafone der Fall ist, können Mal eben 400+ Haushalte die selbe IP aufweisen.

ahso verstehe. Aber trozdem ist es sehr unwahrscheinich, dass der hacker und das opfer dieselbe ip haben. und wer kauft sich einen geteiten anschluss???

Zitat von Syntafin

Du kaufst ihn dir nicht, das ist bei Vodafone Normalität.

Hier siehst du übrigens wie die Validierung abläuft:

https://github.com/laravel/framew…fyCsrfToken.php

Der gesammte Inhalt des Request ist asymetrisch verschlüsselt. der private key wird den browser zu beginn der season übermittelt. mit diesem schlüssel verschlüsselt er dann die nachrichten bevor er sie sendet. der server kann dann mit dn public key überprüfen ob die nachricht mit dem richtigen private key zertifiziert wurde.

Warum macht Vodofone das? Wenn man sich dann wie ich einen Server zuhause aufstellen möchte, hat man ein Problem. Dann kann man ja auch nicht so einfach Portweiterleitungen für beliebige ports erstellen.

Zitat von flyingtable07

Warum macht Vodofone das?

Mangel an IPv4-Adressen. Außerdem ist es billiger, viele Kunden per CGNat an eine IP zu hängen.

Zitat von martin

Mangel an IPv4-Adressen. Außerdem ist es billiger, viele Kunden per CGNat an eine IP zu hängen.

Wissen das die Kunden?

Zitat von ai3x

Ja, das ganze heißt bei denen DS Lite. Du hast eine gemeinsame IPv4. Eine IPv6 wird jedoch jedem Kunden separat zugewiesen und kann auch für Homeserver genutzt werden. Im Zeitalter von IPv6 also gar nicht mehr so das Problem.

naja die meistens clients bevorzugen immer noch ipv4. Ipv6 wird von vielen endbenutzern gar nicht unterstützt, wenn man etwas hostet das nur über ipv6 erreichbar ist könnte es zu verbindunsschwirigkeiten bei vielen kommen. Und ipv4 zu ipv6 gatewas für server kosten auch geld

Zitat von Syntafin

Einige meiner Server laufen komplett ohne öffentliche IP

und wie hast du das hingekriegt? über einen proxy im selben netzwerk?

Zitat von Syntafin

Für Worker, Cache und Datenbank Server brauchts keine IP.

Zudem liegt das ganze eh hinter einem Load Balancer der als einziges eine IPv4/6 hat

oha das klingt ja nach einer richtig großen Anwendung. Als ich mal versucht hab einen Load Balancer zu bauen hatte ich immer das Problem, die Login Seasons von allen Servern zu synchronisieren. Da hat auch keine geteilte Datenbank geholfen, weil alle Seasons direkt in die Datenbank zu speichern und von da zu laden so viel Netzwerk Traffik und Leistung gebraucht hätte, das es sinnvoller wäre einen einzelnen Server alles machen zu lassen und die Seasons wie gewöhnlich im Ram zu speichern. Nicht das ich je ein Projekt hatte das so ein System gebarucht hätte aber ich wollte das einfach mal ausprobieren.

Hallo Syntafin,

Zeig doch bitte wie du den Token aus den Meta Tags ausliest und wie du dise an den Server übermittelst.

Verwendest du AXIOS, als ich zuletzt damit gearbeitet hatte, hat AXIOS das csfr handling eingebaut gehabt. Daher musste man die Abfrage tatsächlich manuel aus seinen scripts entfernen, da sonst die werte sich gegenseitig überschreiben, 2x CSFR Reuqests zum server kommen, wodurch der Server das als array erkennt und nicht als string.

Dieses statische Variable setze ich in der Regel.

Axios.defaults.headers.common['X-CSRF-TOKEN'] = token;

lG

Syntafin Hast du einen AdBlocker installiert oder ein Browser Plugin, welches die Header vor dem Absenden verändert ?

lG