Multiple tabs patch for 2.8.2

NorHei

Forum administrator

Offline

Posts: 485

Multiple tabs patch for 2.8.2

« on: May 16, 2011, 01:54:32 PM »

Here is the english thread:
http://www.websitebaker2.org/forum/index.php/topic,21527.0.html

Und extra für Maverik wink

Eigentlich ist das jetzt kein Modul sondern ein Core Replacement.

Aber egal, viel Leute haben sich darüber beschwert, das es nicht mehr möglich ist in mehreren Browser Tabs zu arbeiten, ohne das man eine "Sicherheitswarnung" bekommt.

Aus diesem Grund starteten verschiedene Leute Diskussionen darüber wie man diesen CSRF Schutz wieder entfernen könnte. Da CSRF heutzutage in den Top Ten der Angriffe auf Webseiten auf Platz 4 oder 5 steht halte ich das für sehr bedenklich. Deswegen beschloss ich einen Patch zur verfügung zu stellen, der beides bietet Sicherheit und Komfort.

Der Patch basiert auf :
http://stackoverflow.com/questions/2695153/php-csrf-how-to-make-it-works-in-all-tabs/2695291#2695291
(Thx to BlackBird for the link)

Alle Formulare bleiben jetzt valide bis man sie schließt, bis der voreingestellte Timeout greift oder die Session geschlossen wird. Das Ganze hat noch ein geändertes Browser fingerprinting und eine verbesserte funktion um die IP zu bestimmen obendrein gibt es noch mehrere möglichkeiten das ganze für Spezialfälle anzupassen. (Timeout, Fingerprinting An/Aus, IP check An/Aus .....)

Einfach den Patch runterladen und die Datei :
/framework/SecureForm.php
ersetzen.

Das sollte es schon gewesen sein. Da das hier eine Alpha Version ist habe ich die Originaldatei noch mit eingepackt damit man einfach alles wiederherstellen kann.

Eigentlich sollte alles Plug and Play sein, aber für Sonderfälle kann man die folgenden Zeilen einfach in die config.php kopieren und passend auskommentieren. Optional kann man auch einfach die entsprechenden Zeilen in der SecureForm.php auskommentieren.

Code:

# Secret can contain anything its the base for the secret part for the hash
#define ('WB_SECFORM_SECRET','whatever you like');
# shall we use fingerprinting true/false
#define ('WB_SECFORM_USEFP', true);
# Timeout till the form token times out. Integer value between 0-86400 seconds (one day)
#define ('WB_SECFORM_TIMEOUT', 3600);
# Name for the token form element only alphanumerical string allowed that starts whith a charakter
#define ('WB_SECFORM_TOKENNAME','my3form3');
# how many blocks of the IP should be used in fingerprint 0=no ipcheck, possible values 0-4
#define ('WB_SECFORM_USEIP',2);

Version 0.3.3 wurde nötig , weil ich beim Aufräumen dem Teil mit den IDKEYS zu wenig Aufmerksamkeit geschenkt habe.
Version 0.3.4 entfernt eine PHP Notice die bei einen Angriff ausgegeben wird.
Version 0.3.5 beseitigt Probleme Shuosin Patch für PHP der die srand() funktion blockiert
Version 0.3.6 wurde notwendig Aufgrund einiger nachträglicher Änderungen an der letzten SVN


« Last Edit: June 26, 2011, 10:02:57 PM by NorHei »	Logged

It is easier to change the specification to fit the program than vice versa.

maverik

Offline

Posts: 1568