comment ASP.NET valide-t-il le jeton anti-falsification?

Je me demande comment ASP.NET vérifier si une anti-faux jeton est valide ou pas? Comme où est ASP.NET le stockage de ces jetons? Et comment sont-ils stockés?

source d'informationauteur Steve

  1. 24

    La version courte est que un jeton généré est stocké dans 2 endroits: (a) témoin (b) forme cachée de la valeur. Lorsque le formulaire est soumis, ces 2 valeurs sont comparées les unes contre les autres afin de déterminer si elles sont valides. Pour en savoir plus:

    http://www.asp.net/web-api/overview/security/preventing-cross-site-request-forgery-(csrf)-les attaques
    http://www.codeproject.com/Articles/793384/ASP-NET-Anti-Forgery-Tokens-internals

  2. 6

    Un pas à pas d'explication qui est plus clair que l'on a accepté de répondre à mon humble avis (de https://docs.microsoft.com/en-us/aspnet/web-api/overview/security/preventing-cross-site-request-forgery-csrf-attacks)

    1. Le client demande une page HTML contenant un formulaire.
    2. Le serveur comprend deux jetons dans la réponse. Un jeton est envoyé en tant que témoin. L'autre est placé dans un champ de formulaire masqué. Les jetons sont générés de façon aléatoire, de sorte que l'adversaire ne peut pas deviner les valeurs.
    3. Lorsque le client soumet le formulaire, il doit envoyer à la fois des jetons sur le serveur. Le client envoie le cookie jeton comme un cookie, et il envoie le formulaire de jeton à l'intérieur de la forme de données. (Un client de navigateur automatiquement ne présente lorsque l'utilisateur soumet le formulaire.)
    4. Si une demande n'inclut pas les deux jetons, le serveur rejette la demande.
  3. 0

    La description ci-dessus n'est pas tout ce qui est fait, en cas de AjaxRequest la antiforgery, plus précisément dans les requêtes get, n'aura généralement pas envoyer le Formulaire avec la valeur cachée des fins de comparaison, au lieu de cela, vous devez définir une valeur d'en-tête avec le même contenu du cookie en javascript.. le nom d'en-tête que vous devez définir par défaut est X-XRF-Jeton-tête [à angularjs] ... bien sûr, vous devrez désactiver la SCRO ou de l'activer uniquement pour des domaines spécifiques pour protéger l'Api, SAMEORIGIN doivent également être précisés pour éviter le détournement de clics ..