Socket HijackingUnfortunately, cros

Socket Hijacking
Unfortunately, cross-site request forgery attacks are not limited to the HTTP protocol. WebSocket hijacking (sometimes known as CSWSH) is a commonly overlooked vulnerability in most realtime applications. Fortunately, since Sails treats both HTTP and WebSocket requests as first-class citizens, its built-in CSRF protection and configurable CORS rulesets apply to both protocols.
You can prepare your Sails app against CSWSH attacks by enabling the built-in protection in config/csrf.js and ensuring that a _csrf token is sent with all relevant incoming socket requests. Additionally, if you're planning on allowing sockets to connect to your Sails app cross-origin (i.e. from a different domain, subdomain, or port) you'll want to configure your CORS settings accordingly. You can also define the authorization setting in config/sockets.js as a custom function which allows or denies the initial socket connection based on your needs.

ผลลัพธ์ (ไทย) 1:

ไฮแจ็คซ็อกเก็ตอับ โจมตีด้วยขอข้ามไซต์ได้ไม่จำกัดโพรโทคอล HTTP WebSocket ไฮแจ็ค (บางครั้งเรียกว่า CSWSH) มีช่องโหว่ในโปรแกรมเรียลไทม์ส่วนใหญ่โดยทั่วไป overlooked โชคดี ตั้งแต่เซลส์จัดคำขอ HTTP และ WebSocket เป็นพลเมืองชั้นหนึ่ง CSRF ภายในป้องกันความกำหนด CORS rulesets กับโพรโทคอทั้งสองออกคุณสามารถจัดเตรียม app ของเซลส์โจมตี CSWSH การเปิดใช้งานป้องกันตัวใน config/csrf.js และการบริการที่ส่งไป ด้วยทั้งหมดที่เกี่ยวข้องเข้าเบ้าคำขอโทเค็น _csrf นอกจากนี้ ถ้าคุณกำลังวางแผนในการให้ปลั๊กเชื่อมต่อของคุณเซลส์ app ข้ามต้นกำเนิด (เช่นจากโดเมนอื่น โดเมนย่อย หรือพอร์ต) คุณจะต้องกำหนดค่าการตั้งค่า CORS ตาม คุณสามารถกำหนดค่าการตรวจสอบใน config/sockets.js เป็นฟังก์ชันที่กำหนดเองที่อนุญาตให้ หรือปฏิเสธการเชื่อมต่อซ็อกเก็ตเริ่มต้นตามความต้องการของคุณ

ผลลัพธ์ (ไทย) 2:

หักหลังซ็อกเก็ต
แต่น่าเสียดายที่การร้องขอข้ามไซต์โจมตีปลอมแปลงไม่ จำกัด โปรโตคอล HTTP จี้ WebSocket (บางครั้งเรียกว่า CSWSH) เป็นช่องโหว่ที่มองข้ามกันโดยทั่วไปในการใช้งานมากที่สุดในเรียลไทม์ โชคดีที่ตั้งแต่ Sails ถือว่าทั้ง HTTP และร้องขอ WebSocket ในฐานะพลเมืองชั้นแรกของมันในตัวป้องกัน CSRF และ rulesets ล ธ ที่กำหนดนำไปใช้กับโปรโตคอลทั้งสอง.
คุณสามารถเตรียมความพร้อมการตรวจสอบใบเรือของคุณจากการโจมตีด้วยการทำให้ CSWSH ในตัวป้องกันใน config / csrf.js และมั่นใจว่าเป็นสัญลักษณ์ _csrf ถูกส่งซ็อกเก็ตที่มีการร้องขอเข้ามาเกี่ยวข้องทั้งหมด นอกจากนี้หากคุณกำลังวางแผนในการช่วยให้ซ็อกเก็ตเพื่อเชื่อมต่อกับแอพพลิเค Sails ของคุณข้ามกำเนิด (เช่นจากโดเมนที่แตกต่างกันย่อยหรือพอร์ต) คุณจะต้องการการตั้งค่าของคุณล ธ ตาม นอกจากนี้คุณยังสามารถกำหนดตั้งค่าอนุญาตใน config / sockets.js เป็นฟังก์ชั่นที่กำหนดเองซึ่งจะช่วยให้หรือปฏิเสธการเชื่อมต่อซ็อกเก็ตเริ่มต้นขึ้นอยู่กับความต้องการของคุณ

ผลลัพธ์ (ไทย) 3:

ซ็อกเก็ตจี้
น่าเสียดาย ขอข้ามเว็บไซต์ปลอมแปลงโจมตีไม่ได้ จำกัด เฉพาะ HTTP โปรโตคอล websocket การจี้ ( บางครั้งเรียกว่า cswsh ) คือ มักมองข้ามความเสี่ยงในการใช้งานปัจจุบันมากที่สุด โชคดีที่ได้ปฏิบัติทั้ง HTTP และ websocket คำขอเป็นพลเมืองชั้นหนึ่ง คุ้มครองและกำหนดคุณสมบัติในตัว rulesets Cors ใช้ทั้ง
โปรโตคอลคุณสามารถเตรียมการ app ของคุณจากการโจมตี cswsh ใช้คุ้มครองตัวใน config / csrf.js และมั่นใจว่า _csrf สัญญาณถูกส่งเข้ามาทั้งหมดที่เกี่ยวข้องกับซ็อกเก็ตที่ร้องขอ นอกจากนี้ ถ้าคุณกำลังวางแผนในการอนุญาตให้มีการเชื่อมต่อของคุณข้ามประเทศ ( เช่น app ใบเรือคนละโดเมน , โดเมนย่อยหรือพอร์ต ) คุณจะต้องการปรับแต่งการตั้งค่า Cors ของคุณตามนอกจากนี้คุณยังสามารถกำหนดสิทธิ์ในการกำหนดใน config / sockets.js เป็นฟังก์ชันที่กำหนดเองที่ช่วยให้หรือปฏิเสธการเริ่มต้นการเชื่อมต่อซ็อกเก็ตตามความต้องการของคุณ