Есть ли смысл защищать от CSRF кнопку «Выход»?

Question

[Котик Антон]

Всем доброго.

Случайно наткнулся на код защиты запроса logout'а пользователя: AccountController.php#L90-L99

Автор показывает форму подтверждения, и только после получения подтверждения разлогинивает пользователя, хотя можно было и проще:

<form src="/logout">
    <input type="hidden" value="csrf-token">
    <input type="submit" value="Выход">
</form>

Нужно ли защищать запрос разлогинивания пользователя от CSRF?
Как злоумышленник может экплуатировать эту уязвимость в данном случае?

Answer 1

[Назар Мокринский]

По-моему хорошей практикой является защита от CSRF всегда и везде

Comments

[Алексей Уколов]

Я согласен. Это, в конце концов, снижает ментальную нагрузку: зачем каждый раз принимать это решение заново? Есть форма - кинь токен.

[Котик Антон]

Алексей Уколов: Форма как раз появляется, если решаем добавить токен. Изначально, кнопка "Выход" может быть просто ссылкой (как на тостере). Вопрос в том, стоит ли превращать это:
<a href="/logout">Выход</a>
в это:

<form src="/logout">
    <input type="hidden" value="csrf-token">
    <input type="submit" value="Выход">
</form>

?

[Алексей Уколов]

Если смотреть с точки зрения REST, то это вообще должен быть DELETE запрос (убивает сессию), а для него форма необходима :)
Я обычно, в такие крайности не впадаю, но форму с POST и токеном делаю. Это же не ресурс, его по GET получить нельзя.

Answer 2

[Tark]

Эксплуатировать эту уязвимость очень просто: нужно на этом же сайте разместить "картинку" с адресом /logout. Или дать ссылку на страницу своего блога, где будет такая картинка. Каждый, кто её "посмотрит", будет принудительно выброшен из системы. Ничего такого, просто неприятность.

Пока в vk не сделали csrf повсюду, таким образом люди без своего ведома вступали в группы или голосовали в нужном голосовании за нужный результат.

Comments

[Алексей Уколов]

Автор вопроса прекрасно понимает, что такое csrf и зачем они нужны. Он спрашивает, что плохого может случиться после того, как злоумышленник разлогинит пользователя.

Answer 3

[D']

>Как злоумышленник может экплуатировать эту уязвимость в данном случае?
Найти багу на странице логина. Но чтобы ее эксплуатировать, нужно чтобы пользователь туда зашел. Следовательно нужно принудительно разлогинить пользователя, чтобы не ждать этого момента.
Или, например, не давать администратору сделать что-то (например забанить юзера) принудительно его выкидывая из системы...

Вообще это дело личной паранои. Не найдут CSRF тут, найдут другую ошибку в другом месте.

Answer 4

[Дядька Серёжа]

Например, у меня самописная программа под моей учеткой работает (ищет клиентов), мне было бы обидно если бы кто-то за меня выходил