[Office] 1.7.0 - улучшение безопасности

Привет, друзья!

Вдохновение от недавней MODXpo еще не прошло, зато появились сообщения о целенаправленной атаке на сайты с установленным дополнение Office.

Суть в том, что какие-то нехорошие люди шлют запросы напрямую на ajax коннектор с указанием email по списку и спамерским сообщением в пароле. Так как Office по умолчанию отправляет пароль и люди видят этот спам от имени сайта.

Сообщения такие появились пару дней назад, и должен признать, это очень остроумный способ рассылки.

Так как платные дополнения у меня в приоритете, я немедленно бросил все дела и выпустил новую версию, которая исправляет возможность делать подобные гадости аж двумя способами.

Во-первых, если пользователь указал в форме регистрации свой пароль (или спамерское сообщение), на почте он его не увидит. И правда, зачем это нужно, если он сам его указал — он же его знает, верно?

Автоматически сгенерированные пароли будут приходить, как и прежде. Не забудьте обновить чанк tpl.Office.auth.register, чтобы красиво прятать блок с паролем, при его отсутствии!

Во-вторых, я встроил CSRF токены, которые давно и успешно работают на modhost/modstore. Суть в том, что при отправке формы добавляется еще поле csrf со случайным кодом, который сравнивается со значением в сессии пользователя.

Отсюда 3 вывода:
— У юзера вообще должна быть сессия между запросами. Для робота это означает необходимость приёма и отправки сессионной куки.
— Юзер должен открыть страницу с формой входа, чтобы получить текущее значение csrf токена, просто долбиться на коннектор больше не выйдет.
— А после регистрации пользователя и сброса пароля, токен генерируется заново — так что нужно снова открыть страницу входа.

Конечно, можно написать робота, который будет соблюдать все эти правила, но это уже гораздо сложнее, чем просто слать POST запросы. А учитывая отключенную возможность отправить свой текст вместо пароля — и вовсе, бессмысленно.



Как мне кажется, заодно решается и вопрос с капчей, которую многие хотят встроить для защиты — CSRF должен помочь и с этим.

Если вдруг, по какой-то причине, новая функция вам помешает — её можно отключить системной настройкой office_check_csrf. Так что, друзья, срочно обновляем все свои сайты и радуемся!

Кстати, вот заметка от Володи, как почистить левые аккаунты.

// Check vk
$vk = trim(@$data['vk']);
if (!empty($vk)) {
    if (!preg_match('/https?:\/\/(www\.)?vk\.com\/([^\/].+)/', $vk)) {
        return $this->error($this->modx->lexicon('Неверная ссылка на ВКонтакте'));
    } 
}else{
    return $this->error('Вы не указали ссылку на ВКонтакте!');
}

$this->error('Ошибка поля VK', array('err' => 'vk'));

// Check vk
$vk = trim($_POST['vk']);
if (!empty($vk)) {
    if (!preg_match('/https?:\/\/(www\.)?vk\.com\/([^\/].+)/', $vk)) {
        $modx->error->addField('vk', 'Неверная ссылка на ВКонтакте.');
        $modx->event->output('Неверная ссылка на ВКонтакте.');
    } 
}else{
    $modx->error->addField('vk', 'Это поле не должно быть пустым.');
    $modx->event->output('Вы не указали ссылку на ВКонтакте!');
}

protected function _formatProcessorErrors(modProcessorResponse $response, $glue = 'br')
{
****
}
//заменив $glue = '< br >' - без пробелов

protected function _formatProcessorErrors(modProcessorResponse $response, $glue = '< br >')
{
****
}