Use global request tokens and automatically protect all POST requests

thomascube

2009-07-21 5499336feff22f682448dd99cc00a9b36701fcd1

 program/include/rcmail.php

@@ -35,6 +35,7 @@
  public $config;
  public $user;
  public $db;
  public $smtp;
  public $imap;
  public $output;
  public $plugins;
@@ -337,6 +338,20 @@
      $this->output = new rcube_json_output($this->task);
    
    return $this->output;
  }


  /**
   * Create SMTP object and connect to server
   *
   * @param boolean True if connection should be established
   */
  public function smtp_init($connect = false)
  {
    $this->smtp = new rcube_smtp();
  
    if ($connect)
      $this->smtp->connect();
  }
  
  
@@ -797,6 +812,8 @@
   */
  public function kill_session()
  {
    $this->plugins->exec_hook('kill_session');
    
    rcube_sess_unset();
    $_SESSION = array('language' => $this->user->language, 'auth_time' => time(), 'temp' => true);
    rcmail::setcookie('sessauth', '-del-', time() - 60);
@@ -840,12 +857,44 @@
      $this->imap->write_cache();
    }

    if (is_object($this->smtp))
      $this->smtp->disconnect();

    if (is_object($this->contacts))
      $this->contacts->close();

    // before closing the database connection, write session data
    if ($_SERVER['REMOTE_ADDR'])
      session_write_close();
  }
  
  
  /**
   * Generate a unique token to be used in a form request
   *
   * @return string The request token
   */
  public function get_request_token()
  {
    $key = $this->task;
    
    if (!$_SESSION['request_tokens'][$key])
      $_SESSION['request_tokens'][$key] = md5(uniqid($key . rand(), true));
    
    return $_SESSION['request_tokens'][$key];
  }
  
  
  /**
   * Check if the current request contains a valid token
   *
   * @param int Request method
   * @return boolean True if request token is valid false if not
   */
  public function check_request($mode = RCUBE_INPUT_POST)
  {
    $token = get_input_value('_token', $mode);
    return !empty($token) && $_SESSION['request_tokens'][$this->task] == $token;
  }
  
  
@@ -882,6 +931,8 @@
   */
  public function encrypt($clear, $key = 'des_key', $base64 = true)
  {
    if (!$clear)
      return '';
    /*-
     * Add a single canary byte to the end of the clear text, which
     * will help find out how much of padding will need to be removed
@@ -930,6 +981,9 @@
   */
  public function decrypt($cipher, $key = 'des_key', $base64 = true)
  {
    if (!$cipher)
      return '';
  
    $cipher = $base64 ? base64_decode($cipher) : $cipher;

    if (function_exists('mcrypt_module_open') &&