Simulacija POST metode

[ivanhoe]

ma referrer header salje browser, imas extenziju za npr firefox kojom mozes da setujes sta god zelis u headeru, ukljucujuci i referrer... a postoje i skripte koje namestis kao proxy i onda one rade search & replace headera po zelji (obicno se koristi zarad privatnosti, ali moze i da se zloupotrebi).

Osnovno pravilo sigurnosti na netu je da nikad ne verujes podacima koji ti dolaze od korisnika... uvek treba imati i mehanizam da se ti podaci nekako provere...

[misk0]

Naravno, nisam ni htio objasnjavati to rjesenje gdje samo saljes username i refer

Mislim, ovaj URL sa GET parametrima se fakticki ne vidi (vjerovatno se moze nekako i usnifati, na lokalnom compu, ali taj user ga je i unio tako da nema potrebe da snifa to sto je poslao), ali i POST se moze usnifati, mislim, nema tu neke razlike, ni jedan ni drugi nisu kriptovani.

[dee]

ma je, al moze ga vidjet npr onaj u kafeu pored njega... ili nakon njega...ili kolega s posla u drugoj smjeni... i opet ista stvar...

zato ono sa 1X1 img...

[misk0]

Originalno napisao dee

ma je, al moze ga vidjet npr onaj u kafeu pored njega... ili nakon njega...ili kolega s posla u drugoj smjeni... i opet ista stvar...

Ne moze, ta medjustranica na koju ode i ne vidi se buduci da server ne stigne da posalje nista osim headera tako da i nemas tu stranicu (ili cak nekoliko njih) u history.
Ako zelis, mogu ti poslati link da se uvjeris

[dee]

ma nije stvar da se uvjerim, vjerujem ti ja nego me zanima, jbg...

aj daj bas da vidim

[misk0]

Evo, pogledaj

http://ibm.palija.net/logforum.html

Vidjeces gdje ces zavristi, a ako pogledas action tag i link koji se nalazi u njemu, vidjeces da si ulogovan.
Isto tako, ako si vec ulogovan pa se pokusas logovati zavrsices na trecem sajtu

A onda pogledaj nakon svega, sta imas u history

[dinke]

Samo da pomenem da si sa curl-om mogao sve relativno lako zavrsiti (slanje post requesta, snimanje cookia i sl.). Ja imam jednu curl klasu koju koristim vec neko vreme za slicne stvari, postavicu je za koji dan (kad je malo jos nabudzim) na phpclasses, pa ces moci da vidis i probas.

Inace, ako phpbb koristi js redirekciju, onda ti nema spasa nego da nakon login-a rucno parsujes stranu koju vrati i odradis redirekciju.