problem -> HTTP_REFERER

flash_back · 28. 01. 2007.

Pozdrav pre svega..

treba mi mala pomoc a neznam kome drugo da se obratim.. problem je sledeci, napisao sam kod za jednu anketu, cak uradio i ceo (100% ®) background sistem za istu (interesu je me bas sta rade ljudi na anketama i kako se ponasaju)..

i imam jedan banalan problem.. ne mogu da nateram online server da mi ispise $_SERVER['HTTP_REFERER'], dobijam empty value a s tim korakom kontam dali je u pitanju neki hack/napad..

dali neko ima neku ideju kako da se ovo izvede?

bluesman · 28. 01. 2007.

Glupo pitanje, ali nadam se da ne pristupaš direktno scriptu u kojem želiš da ispišeš HTTP_REFERER ?

flash_back · 28. 01. 2007.

Pa odgovor je i da i ne

Konkretno na post forme uporedjujem domen adresu sa predhodnim url-om, ako postoji match anketu karakterisem kao validnu i pravim zapis u bazi, sve suprotno karakterisem kao napad..

problem je u tome da nemogu da izvucem od servera HTTP_REFERER, dobijam konstantno praznu vrednost (ista je prica sa linkovima, bez posta forme)..

bluesman · 28. 01. 2007.

Ne mogu da ti kažem konkretno jer nemam sada strpljenja da gledam tuđi kod, ali evo probaj:

http://www.devprotalk.com/bluesman/b.php

kada klikneš na link izađe:

referer: http://www.devprotalk.com/bluesman/b.php

A to je na istom serveru na kojem je i tvoj sajt.

Ili klikni na http://www.devprotalk.com/bluesman/a.php
izaći će ova strana kao referer.

Peca · 28. 01. 2007.

mozda imas antivirus/firewall pa ti on blokira referer.

imaj na umu da postoje korisnici ciji browser ne ostavlja referer, sto zbog antivirusa/firewalla, sto zbog konfiguracije browsera...

ne mozes na referer da se oslanjas kao na 'sigurnu vrednost', jer em moze da ne bude set-ovana [av/fw/browser blokira], em moze i da se fake-uje [falsifikuje, podmetne referer kao da je sa tvog sajta, a zapravo uopste ne dolazi odatle]

flash_back · 28. 01. 2007.

je*em mu miša

evo kako kod mene izgleda taj a.php

HTML kôd:

<!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.01 Transitional//EN">

<html>
<head>
	<title>Strana A</title>
</head>

<body>

referer: 

</body>
</html>

čudno, nema šta! izgleda da je mozda problemčić u firewallu, sad ću da proverim...

---
e, sad sam snimio post

i da, firewall je bio u pitanju..

Citat:

Originalno napisao Peca

ne mozes na referer da se oslanjas kao na 'sigurnu vrednost', jer em moze da ne bude set-ovana [av/fw/browser blokira], em moze i da se fake-uje [falsifikuje, podmetne referer kao da je sa tvog sajta, a zapravo uopste ne dolazi odatle]

sta predlazes? mozda da nesto izvrtim preko sesije i kolacija? poznato mi je samo to da anketa nemoze biti validna ako je npr: $_SESSION['posete'] == 1

mozda mogu na tome nesto da poradim..

flash_back · 29. 01. 2007.

opusteno, snasao sam se

Po meni jedino logicno resenje je bilo da imam nesto u mojoj stranici sto ne moze da se generise iz neke druge... i nista, stvar je simple a koristi - imam $cist_kod random string, njega stavljam u jedno sakriveno polje a sha1 tog random stringa stavljam u kolacic.. i resto je puko uporedjivanje

PHP kôd:


			
if(isset($_COOKIE['OverheatCookie'])) {
if (sha1($_POST['kod']) == $_COOKIE['OverheatCookie']) {
$sigurnost = "ok";
} else {
$sigurnost = "****";
}
} else {
$kolacici = "****";
}

$vreme_kolacica = 86400 + time();
$cist_kod = mt_rand();
$sigurnosni_kod = sha1($cist_kod);
setcookie(OverheatCookie, $sigurnosni_kod, $vreme_kolacica);

ajd sad na anketu

Peca · 29. 01. 2007.

a ako browser blokira i cookies?

jedino sigurno resenje je preko sesija...
mada, procenat onih koji blokiraju cookies je jako mali, pa sto bi se zamlacivao sa tim...

Petar Marić · 29. 01. 2007.

A preko čega misliš da pratiš sesiju? SID možeš slati samo ili kroz cookie ili kroz URL, a ovo drugo ne savetujem - em ružno, em opasno.

Peca · 29. 01. 2007.

ali ako korisiku ne radi cookie, jedino ti ostaje URL.
web aplikacija bi sama trebala da izvali da li korisniku radi cookie ili ne...

28. 01. 2007.	#1
flash_back Banned Professional Datum učlanjenja: 23.04.2006 Lokacija: BG Poruke: 270 Hvala: 11 9 "Hvala" u 5 poruka	problem -> HTTP_REFERER Pozdrav pre svega.. treba mi mala pomoc a neznam kome drugo da se obratim.. problem je sledeci, napisao sam kod za jednu anketu, cak uradio i ceo (100% ®) background sistem za istu (interesu je me bas sta rade ljudi na anketama i kako se ponasaju).. i imam jedan banalan problem.. ne mogu da nateram online server da mi ispise $_SERVER['HTTP_REFERER'], dobijam empty value a s tim korakom kontam dali je u pitanju neki hack/napad.. dali neko ima neku ideju kako da se ovo izvede?

28. 01. 2007.	#2
bluesman Goran Pilipović Sir Write-a-Lot Datum učlanjenja: 18.05.2005 Lokacija: Beograd Poruke: 5.450 Hvala: 288 1.247 "Hvala" u 446 poruka	Glupo pitanje, ali nadam se da ne pristupaš direktno scriptu u kojem želiš da ispišeš HTTP_REFERER ? __________________ Goran Pilipović a.k.a. Ugly Fingers Bradley f.k.a. bluesman I don't always know what I'm talking about but I know I'm right!

28. 01. 2007.	#4
bluesman Goran Pilipović Sir Write-a-Lot Datum učlanjenja: 18.05.2005 Lokacija: Beograd Poruke: 5.450 Hvala: 288 1.247 "Hvala" u 446 poruka	Ne mogu da ti kažem konkretno jer nemam sada strpljenja da gledam tuđi kod, ali evo probaj: http://www.devprotalk.com/bluesman/b.php kada klikneš na link izađe: referer: http://www.devprotalk.com/bluesman/b.php A to je na istom serveru na kojem je i tvoj sajt. Ili klikni na http://www.devprotalk.com/bluesman/a.php izaći će ova strana kao referer. __________________ Goran Pilipović a.k.a. Ugly Fingers Bradley f.k.a. bluesman I don't always know what I'm talking about but I know I'm right!

28. 01. 2007.	#5
Peca Super Moderator Knowledge base Datum učlanjenja: 02.10.2006 Lokacija: Niš Poruke: 1.618 Hvala: 263 275 "Hvala" u 104 poruka	mozda imas antivirus/firewall pa ti on blokira referer. imaj na umu da postoje korisnici ciji browser ne ostavlja referer, sto zbog antivirusa/firewalla, sto zbog konfiguracije browsera... ne mozes na referer da se oslanjas kao na 'sigurnu vrednost', jer em moze da ne bude set-ovana [av/fw/browser blokira], em moze i da se fake-uje [falsifikuje, podmetne referer kao da je sa tvog sajta, a zapravo uopste ne dolazi odatle] __________________ Vesti \| MyCity \| Igrice \| Zaštita od virusa

29. 01. 2007.	#7
flash_back Banned Professional Datum učlanjenja: 23.04.2006 Lokacija: BG Poruke: 270 Hvala: 11 9 "Hvala" u 5 poruka	opusteno, snasao sam se Po meni jedino logicno resenje je bilo da imam nesto u mojoj stranici sto ne moze da se generise iz neke druge... i nista, stvar je simple a koristi - imam $cist_kod random string, njega stavljam u jedno sakriveno polje a sha1 tog random stringa stavljam u kolacic.. i resto je puko uporedjivanje PHP kôd: `if(isset($_COOKIE['OverheatCookie'])) { if (sha1($_POST['kod']) == $_COOKIE['OverheatCookie']) { $sigurnost = "ok"; } else { $sigurnost = "**"; } } else { $kolacici = "**"; } $vreme_kolacica = 86400 + time(); $cist_kod = mt_rand(); $sigurnosni_kod = sha1($cist_kod); setcookie(OverheatCookie, $sigurnosni_kod, $vreme_kolacica);` ajd sad na anketu

28. 01. 2007.	#3
flash_back Banned Professional Datum učlanjenja: 23.04.2006 Lokacija: BG Poruke: 270 Hvala: 11 9 "Hvala" u 5 poruka	Pa odgovor je i da i ne Konkretno na post forme uporedjujem domen adresu sa predhodnim url-om, ako postoji match anketu karakterisem kao validnu i pravim zapis u bazi, sve suprotno karakterisem kao napad.. problem je u tome da nemogu da izvucem od servera HTTP_REFERER, dobijam konstantno praznu vrednost (ista je prica sa linkovima, bez posta forme)..

29. 01. 2007.	#8
Peca Super Moderator Knowledge base Datum učlanjenja: 02.10.2006 Lokacija: Niš Poruke: 1.618 Hvala: 263 275 "Hvala" u 104 poruka	a ako browser blokira i cookies? jedino sigurno resenje je preko sesija... mada, procenat onih koji blokiraju cookies je jako mali, pa sto bi se zamlacivao sa tim... __________________ Vesti \| MyCity \| Igrice \| Zaštita od virusa

29. 01. 2007.	#9
Petar Marić Python Ambassador Master Datum učlanjenja: 06.06.2005 Lokacija: Novi Sad Poruke: 602 Hvala: 28 27 "Hvala" u 17 poruka	A preko čega misliš da pratiš sesiju? SID možeš slati samo ili kroz cookie ili kroz URL, a ovo drugo ne savetujem - em ružno, em opasno. __________________ Python Ambassador of Serbia

Alati teme
Pogledajte verziju za štampanje Pošaljite email-om ovu stranu
Način prikaza
Linearni prikaz Prebacite u hibridni prikaz Prebacite u prikaz po temama

Slične teme
Tema	Početna poruka teme	Forum	Odgovori	Poslednja poruka
Double float problem - resen, ali ima dodatni problem :0	ljtruba	(X)HTML, JavaScript, DHTML, XML, CSS	34	23. 08. 2008. 02:28
Prazan $_SERVER['HTTP_REFERER']	bluesman	PHP	26	11. 11. 2005. 13:43