本篇內容介紹了“php表單安全中Token的實際應用”的有關知識，在實際案例的操作過程中，不少人都會遇到這樣的困境，接下來就讓小編帶領大家學習一下如何處理這些情況吧！希望大家仔細閱讀，能夠學有所成！

創(chuàng)新互聯(lián)建站長期為上千多家客戶提供的網(wǎng)站建設服務，團隊從業(yè)經(jīng)驗10年，關注不同地域、不同群體，并針對不同對象提供差異化的產品和服務；打造開放共贏平臺，與合作伙伴共同營造健康的互聯(lián)網(wǎng)生態(tài)環(huán)境。為博羅企業(yè)提供專業(yè)的成都網(wǎng)站制作、成都做網(wǎng)站，博羅網(wǎng)站改版等技術服務。擁有10多年豐富建站經(jīng)驗和眾多成功案例,為您定制開發(fā)。

0x1 抓包分析

 架起代理burpsuit開啟準備大干一場，首先找到了一個表單的提交頁面，表單主要采用Post方法進行提交，隨便填了點數(shù)據(jù)就提交了。

通過burpsuit攔截下來之后看一下各個參數(shù)    

通過Post提交到一個Task的action，看這么多參數(shù)萬一有過濾不嚴格的情況方法說不定能出現(xiàn)一些XSS或者sql注入的漏洞于是就稍微看了一下就發(fā)送到了scanner。    

 Proxy放過之后頁面卻出現(xiàn)了異常提示Token驗證不通過。

然后認真一看發(fā)現(xiàn)除了一些表單提交的參數(shù)外還有一個token=20e168c64ce1f1f98f89e4c8ff9e3aba的字段。表單提交之后response數(shù)據(jù)包當中也有一個新的token":"e40fe4b3afedc40f95903fef92eb79ed，這樣導致這一個請求包只能請求一次，Burpsuit Scanner基于原有請求包的參數(shù)測試的掃描模式就基本上沒有什么用了。

Token普遍有二個作用：    

1.防止表單重復提交

2.anti csrf攻擊（跨站點請求偽造）

 由于token具有較好的隨機性，不容易被猜測出來具有良好的安全性，于是看一下源碼當中的實現(xiàn)。

0x2 源碼分析 

通過請求的路徑找到對應的php文件，當請求這個表單的時候會自動執(zhí)行$label->token()這么一個方法

查看label.php的源碼，token這個方法構造hidden表單定義了一個token的變量后賦值Core\Func\CoreFunc::$token

繼續(xù)再查看CoreFunc的源碼，包含了對token生成的過程

 調用microtime生成毫秒數(shù)之后打散成數(shù)組增加隨機性，通過substr提取數(shù)字與隨機數(shù)相乘之后計算md5保證了token的不可預測性。

Token的隨機性取決于當前時間、rand隨機、md5散列算法

將生成的token存如session服務器會話當中

 提交的表單主要由task.php處理task類當中只是讀取了session中userid的字段，使用父類Content的 parent::action($jump, $commit)方法進行驗證通過之后再處理表單數(shù)據(jù)。    

一層又一層，感覺真復雜。Content類繼承了Controller中的checkToken()檢查

Token無論驗證是否通過都會刪除當前token的值保證了不會被重用

0x3 總結

session應用相對安全但也繁瑣，同時當多頁面多請求時必須采用多Token同時生成的方法，這樣占用更多資源，執(zhí)行效率會降低。但是對安全性的提升是明顯的，對于表單的重復提交、基于單個數(shù)據(jù)包的變形掃描、解決CSRF漏洞也不是一種不錯的方式。

“php表單安全中Token的實際應用”的內容就介紹到這里了，感謝大家的閱讀。如果想了解更多行業(yè)相關的知識可以關注創(chuàng)新互聯(lián)網(wǎng)站，小編將為大家輸出更多高質量的實用文章！