rt/t/web/csrf.t

   1 use strict;
   2 use warnings;
   3
   4 use RT::Test tests => undef;
   5
   6 my $ticket = RT::Ticket->new(RT::CurrentUser->new('root'));
   7 my ($ok, $msg) = $ticket->Create(Queue => 1, Owner => 'nobody', Subject => 'bad music');
   8 ok($ok);
   9 my $other = RT::Test->load_or_create_queue(Name => "Other queue", Disabled => 0);
  10 my $other_queue_id = $other->id;
  11
  12 my ($baseurl, $m) = RT::Test->started_ok;
  13
  14 my $test_page = "/Ticket/Create.html?Queue=1";
  15 my $test_path = "/Ticket/Create.html";
  16
  17 ok $m->login, 'logged in';
  18
  19 # valid referer
  20 $m->add_header(Referer => $baseurl);
  21 $m->get_ok($test_page);
  22 $m->content_lacks("Possible cross-site request forgery");
  23 $m->title_is('Create a new ticket');
  24
  25 # off-site referer BUT provides auth
  26 $m->add_header(Referer => 'http://example.net');
  27 $m->get_ok("$test_page&user=root&pass=password");
  28 $m->content_lacks("Possible cross-site request forgery");
  29 $m->title_is('Create a new ticket');
  30
  31 # explicitly no referer BUT provides auth
  32 $m->add_header(Referer => undef);
  33 $m->get_ok("$test_page&user=root&pass=password");
  34 $m->content_lacks("Possible cross-site request forgery");
  35 $m->title_is('Create a new ticket');
  36
  37 # now send a referer from an attacker
  38 $m->add_header(Referer => 'http://example.net');
  39 $m->get_ok($test_page);
  40 $m->content_contains("Possible cross-site request forgery");
  41 $m->content_contains("If you really intended to visit <tt>/Ticket/Create.html</tt>");
  42 $m->content_contains("the Referrer header supplied by your browser (example.net:80) is not allowed");
  43 $m->title_is('Possible cross-site request forgery');
  44
  45 # reinstate mech's usual header policy
  46 $m->delete_header('Referer');
  47
  48 # clicking the resume request button gets us to the test page
  49 $m->follow_link(text_regex => qr{resume your request});
  50 $m->content_lacks("Possible cross-site request forgery");
  51 like($m->response->request->uri, qr{^http://[^/]+\Q$test_path\E\?CSRF_Token=\w+$});
  52 $m->title_is('Create a new ticket');
  53
  54 # try a whitelisted argument from an attacker
  55 $m->add_header(Referer => 'http://example.net');
  56 $m->get_ok("/Ticket/Display.html?id=1");
  57 $m->content_lacks("Possible cross-site request forgery");
  58 $m->title_is('#1: bad music');
  59
  60 # now a non-whitelisted argument
  61 $m->get_ok("/Ticket/Display.html?id=1&Action=Take");
  62 $m->content_contains("Possible cross-site request forgery");
  63 $m->content_contains("If you really intended to visit <tt>/Ticket/Display.html</tt>");
  64 $m->content_contains("the Referrer header supplied by your browser (example.net:80) is not allowed");
  65 $m->title_is('Possible cross-site request forgery');
  66
  67 $m->delete_header('Referer');
  68 $m->follow_link(text_regex => qr{resume your request});
  69 $m->content_lacks("Possible cross-site request forgery");
  70 like($m->response->request->uri, qr{^http://[^/]+\Q/Ticket/Display.html});
  71 $m->title_is('#1: bad music');
  72 $m->content_contains('Owner changed from Nobody to root');
  73
  74 # force mech to never set referer
  75 $m->add_header(Referer => undef);
  76 $m->get_ok($test_page);
  77 $m->content_contains("Possible cross-site request forgery");
  78 $m->content_contains("If you really intended to visit <tt>/Ticket/Create.html</tt>");
  79 $m->content_contains("your browser did not supply a Referrer header");
  80 $m->title_is('Possible cross-site request forgery');
  81
  82 $m->follow_link(text_regex => qr{resume your request});
  83 $m->content_lacks("Possible cross-site request forgery");
  84 is($m->response->redirects, 0, "no redirection");
  85 like($m->response->request->uri, qr{^http://[^/]+\Q$test_path\E\?CSRF_Token=\w+$});
  86 $m->title_is('Create a new ticket');
  87
  88 # try sending the wrong csrf token, then the right one
  89 $m->add_header(Referer => undef);
  90 $m->get_ok($test_page);
  91 $m->content_contains("Possible cross-site request forgery");
  92 $m->content_contains("If you really intended to visit <tt>/Ticket/Create.html</tt>");
  93 $m->content_contains("your browser did not supply a Referrer header");
  94 $m->title_is('Possible cross-site request forgery');
  95
  96 # Sending a wrong CSRF is just a normal request.  We'll make a request
  97 # with just an invalid token, which means no Queue=, which means
  98 # Create.html errors out.
  99 my $link = $m->find_link(text_regex => qr{resume your request});
 100 (my $broken_url = $link->url) =~ s/(CSRF_Token)=\w+/$1=crud/;
 101 $m->get_ok($broken_url);
 102 $m->content_like(qr/Queue\s+could not be loaded/);
 103 $m->title_is('RT Error');
 104 $m->warning_like(qr/Queue\s+could not be loaded/);
 105
 106 # The token doesn't work for other pages, or other arguments to the same page.
 107 $m->add_header(Referer => undef);
 108 $m->get_ok($test_page);
 109 $m->content_contains("Possible cross-site request forgery");
 110 my ($token) = $m->content =~ m{CSRF_Token=(\w+)};
 111
 112 $m->add_header(Referer => undef);
 113 $m->get_ok("/Admin/Queues/Modify.html?id=new&Name=test&CSRF_Token=$token");
 114 $m->content_contains("Possible cross-site request forgery");
 115 $m->content_contains("If you really intended to visit <tt>/Admin/Queues/Modify.html</tt>");
 116 $m->content_contains("your browser did not supply a Referrer header");
 117 $m->title_is('Possible cross-site request forgery');
 118
 119 $m->follow_link(text_regex => qr{resume your request});
 120 $m->content_lacks("Possible cross-site request forgery");
 121 $m->title_is('Configuration for queue test');
 122
 123 # Try the same page, but different query parameters, which are blatted by the token
 124 $m->get_ok("/Ticket/Create.html?Queue=$other_queue_id&CSRF_Token=$token");
 125 $m->content_lacks("Possible cross-site request forgery");
 126 $m->title_is('Create a new ticket');
 127 $m->text_unlike(qr/Queue:\s*Other queue/);
 128 $m->text_like(qr/Queue:\s*General/);
 129
 130 # Ensure that file uploads work across the interstitial
 131 $m->delete_header('Referer');
 132 $m->get_ok($test_page);
 133 $m->content_contains("Create a new ticket", 'ticket create page');
 134 $m->form_name('TicketCreate');
 135 $m->field('Subject', 'Attachments test');
 136
 137 my $logofile = "$RT::StaticPath/images/bpslogo.png";
 138 open LOGO, "<", $logofile or die "Can't open logo file: $!";
 139 binmode LOGO;
 140 my $logo_contents = do {local $/; <LOGO>};
 141 close LOGO;
 142 $m->field('Attach',  $logofile);
 143
 144 # Lose the referer before the POST
 145 $m->add_header(Referer => undef);
 146 $m->submit;
 147 $m->content_contains("Possible cross-site request forgery");
 148 $m->content_contains("If you really intended to visit <tt>/Ticket/Create.html</tt>");
 149 $m->follow_link(text_regex => qr{resume your request});
 150 $m->content_contains('Download bpslogo.png', 'page has file name');
 151 $m->follow_link_ok({text => "Download bpslogo.png"});
 152 is($m->content, $logo_contents, "Binary content matches");
 153
 154
 155 # now try self-service with CSRF
 156 my $user = RT::User->new(RT->SystemUser);
 157 $user->Create(Name => "SelfService", Password => "chops", Privileged => 0);
 158
 159 $m = RT::Test::Web->new;
 160 $m->get_ok("$baseurl/index.html?user=SelfService&pass=chops");
 161 $m->title_is("Open tickets", "got self-service interface");
 162 $m->content_contains("My open tickets", "got self-service interface");
 163
 164 # post without referer
 165 $m->add_header(Referer => undef);
 166 $m->get_ok("/SelfService/Create.html?Queue=1");
 167 $m->content_contains("Possible cross-site request forgery");
 168 $m->content_contains("If you really intended to visit <tt>/SelfService/Create.html</tt>");
 169 $m->content_contains("your browser did not supply a Referrer header");
 170 $m->title_is('Possible cross-site request forgery');
 171
 172 $m->follow_link(text_regex => qr{resume your request});
 173 $m->content_lacks("Possible cross-site request forgery");
 174 is($m->response->redirects, 0, "no redirection");
 175 like($m->response->request->uri, qr{^http://[^/]+\Q/SelfService/Create.html\E\?CSRF_Token=\w+$});
 176 $m->title_is('Create a ticket');
 177 $m->content_contains('Describe the issue below:');
 178
 179 undef $m;
 180 done_testing;