Ajax在返回客户端的途中被利用

时间:2019-03-26 17:06:03

标签: php ajax security


可以在从服务器返回的途中利用Ajax请求吗?据我所知,Ajax请求可以在通往服务器的途中被利用,它们何时从服务器返回又如何。以下是 从服务器返回的代码块:

echo '<div style="color: #26A65B"><span style="color: #26A65B" class="fas fa-check"></span>' .$user. ' Registered.' . '</div>';

$ user已被很好地清理。以此为前提,无论如何,有可能在从服务器返回的过程中利用此漏洞?

1 个答案:

答案 0 :(得分:1)

  

是否建议将Ajax和Jquery置于遗忘状态,然后进行纯PHP处理?

这取决于AJAX添加了一层PHP本身无法提供的交互性。

  

关于Ajax和Jquery命令的安全性,要注意什么?

进行检查以确保您的请求不会被欺骗:

  • 如果您需要登录才能发出请求,请确保每个AJAX端点均已锁定。
  • 您可以在每个请求中传递一个AJAX令牌,以确保该请求本身来自“受信任”源。
  • 您可以限制端点采取的请求数量,以防止滥用/暴力破解。
  

程序员是否坚持使用Ajax和Jquery来管理区域安全性非常重要,还是仅仅使用php和服务器端?

自以为是,无需回答。

  

在执行一些Ajax时,我没有遇到错误,任何潜在的黑客是否有可能发送一些恶意的Ajax命令,从而引发一些错误,因此,他将滥用在引发的错误中引发的信息(基于我将禁用错误抛出功能的前提)?

如果您阅读了我的第二点并正确锁定了端点,那么它的安全性将不亚于普通表单提交。对于他们尝试反向工程客户端代码的人来说,这是有可能的,但是经验法则是,永远不要信任您从客户端收到的数据,并在服务器端重新验证/重新处理它。

简单地说, 永远 信任用户输入,AJAX规则就不会改变。

阅读材料

Testing for AJAX Vulnerabilities (OWASP-AJ-001)