Consulta sobre Seguridad en Formularios

[gabyrsh]

Hola chicos, necesito impletementar seguridad para prevenir Evitar Cross-Site Request Forgeries en formularios.

Un codigo sencillo para evitarlo es el siguiente (en toda la web dice lo mismo):

Código:

   <?php  
   $marca = md5(uniqid(rand(), TRUE));  
   $_SESSION['marca'] = $token;  
   $_SESSION['tiempo_marca'] = time();  
    ?> 
    <form action="compra.php" method="POST"> 
    <input type="hidden" name="marca" value="<?php echo $marca; ?>" /> 
    Artículo: <input type="text" name="articulo" /> 
    Cantidad: <input type="text" name="Cantidad" /> 
   <input type="submit" value="Comprar" /> 
   </form>

Lo que no entiendo es lo siguiente, al generar un token, y dejarlo activo en sesion durante X tiempo, Alguien no podria agarrar, y copiar el token que esta en el campo del formulario, armar un propio formulario, e intentar hacer el ataque?
Total el token esta registrado en Session, y todavia no murio.

Nose si me explique, pero tengo esta duda y nose en donde preguntar.

Desde ya, muchas gracias.

[emiliodeg]

totalmente que si el token no es la solucion definitiva pero se acerca bastante

un form con token + una buena validacion de datos enviados es practicamente infalible

ademas se podrian hacer algunas otras cositas viendo la procedencia del script ya que para hacer estos atauqes se harian desde una url distinta a l anuestra pq la url nuestra es de un archivo en internet q no se puede modificar

hoy en dia con firebug esto se puede saltar rapidamente, pero como dije mas arriba con una buena validacion de dtaos y limpiando tags no queda mucho por donde puedan entrar

saludos

[gabyrsh]

tienes algun codigo ejemplo, donde apliques lo que me estas diciendo?

[GatorV]

Solo es necesario comprobar la variable $_SERVER['HTTP_REFERER'], aunque también puede ser enviada, en sí lo mejor es hacer lo que te dice emiliodg, limpiar las variables lo más posible.

Saludos.