64903
Feb 22, 2011
6039
5
1
Referer manipulieren
Hallo,
welche Möglichkeiten gibt es einen Referer zu manipulieren?
Dabei denke ich nicht an Manipulationen am Browser wie z. B. Mozilla-Erweiterung: RefControl,
sondern direkt in z. B. einer JSP. (Ich hoffe sowas geht ohne PHP?!)
Bin für jeden Tipp dankbar!
Gruß
Olli
welche Möglichkeiten gibt es einen Referer zu manipulieren?
Dabei denke ich nicht an Manipulationen am Browser wie z. B. Mozilla-Erweiterung: RefControl,
sondern direkt in z. B. einer JSP. (Ich hoffe sowas geht ohne PHP?!)
Bin für jeden Tipp dankbar!
Gruß
Olli
Share on Facebook
Share on Twitter
Share on Reddit
Share on LinkedinPlease also mark the comments that contributed to the solution of the article
Content-Key: 161301
Url: https://administrator.de/contentid/161301
Printed on: April 24, 2024 at 10:04 o'clock
5 Comments
Latest comment
Hallo @64903,
Inwiefern möchtest du den denn manipulieren? Über einen (transparenten) Proxy oder direkt von deinem Webserver aus? Vllt. auch erst am Client?
Du könntest neben einem Proxy möglicherweise noch einen Dereferrer dazwischenschieben(z.B. Anonym.to). Dann ist der Referrer praktisch unbrauchbar für die aufgerufene Seite
Gruß
Snow
Inwiefern möchtest du den denn manipulieren? Über einen (transparenten) Proxy oder direkt von deinem Webserver aus? Vllt. auch erst am Client?
Du könntest neben einem Proxy möglicherweise noch einen Dereferrer dazwischenschieben(z.B. Anonym.to). Dann ist der Referrer praktisch unbrauchbar für die aufgerufene Seite
Gruß
Snow
Hallo Snow,
ich möchte eine bestimmte URL aufrufen und dabei einen festen Referer mitgeben.
Grund: Der Referer wird in diesem Fall zur Authentifizierung mitverwendet.
Deshalb dachte ich mir:
"Baue einfach eine JSP o. ä. und rufe darin die URL auf und gebe den festen Referer mit."
Gruß
Olli
ich möchte eine bestimmte URL aufrufen und dabei einen festen Referer mitgeben.
Grund: Der Referer wird in diesem Fall zur Authentifizierung mitverwendet.
Deshalb dachte ich mir:
"Baue einfach eine JSP o. ä. und rufe darin die URL auf und gebe den festen Referer mit."
Gruß
Olli
Kurz und einfach: LASS ES!
Wenn ich dich mal hierrauf verweisen dürfte: Wikipedia - Cross-Site Request Forgery: HTTP-Referrer-Prüfung.
Wieso keine Authentifizierung über eine SessionID o.ä.? Ist zwar auch relativ unsicher, aber doch sicherer, als sich auf den Referrer zu verlassen (wobei dieser bei manchen transparenten Proxies einfach rausgeschnitten wird).
Gruß
Snow
Wenn ich dich mal hierrauf verweisen dürfte: Wikipedia - Cross-Site Request Forgery: HTTP-Referrer-Prüfung.
Wieso keine Authentifizierung über eine SessionID o.ä.? Ist zwar auch relativ unsicher, aber doch sicherer, als sich auf den Referrer zu verlassen (wobei dieser bei manchen transparenten Proxies einfach rausgeschnitten wird).
Gruß
Snow
Also die Lösung mit der Authentifizierung ist bereits implementiert (durch einen Dienstleister!).
Dabei wird anscheinend tatsächlich der Referer mitverwendet, damit sichergestellt ist, dass
der Aufruf "von Intern" kam. Das funktioniert auch alles einwandfrei!
Nur leider ist es nicht möglich die Seite zu überwachen...!! Also kein Monitoring usw.
Hierfür suche ich nun nach einer Lösung...
Gruß
Olli
Dabei wird anscheinend tatsächlich der Referer mitverwendet, damit sichergestellt ist, dass
der Aufruf "von Intern" kam. Das funktioniert auch alles einwandfrei!
Nur leider ist es nicht möglich die Seite zu überwachen...!! Also kein Monitoring usw.
Hierfür suche ich nun nach einer Lösung...
Gruß
Olli
Zitat von @64903:
Nur leider ist es nicht möglich die Seite zu überwachen...!! Also kein Monitoring usw.
Hierfür suche ich nun nach einer Lösung...
Nur leider ist es nicht möglich die Seite zu überwachen...!! Also kein Monitoring usw.
Hierfür suche ich nun nach einer Lösung...
Ich dachte, du wolltest den Referrer als Authentifizierungswerkzeug verwenden. Jetzt zum Monitoring...
Wenn du selbst Zugriff auf die aufrufenden Sites und den authentifizierenden Server hast, dann könntest du alle Links, die eigentlich zu dem Authentifikation benötigenden Server auf eine andere Adresse verweisen, die von dort aus zu dem eigentlich Ziel weiterleitet. Hier muss der Zielserver allerdings alle Referrer einer bestimmten Domain (dein Ausgangs- und Umleitungsserver) akzeptieren.
Auf der zwischengeschalteten Umleitungsseite kannst du wiederrum mitprotokollieren (z.B. per Script oder über Zugriffslogs auf eine 1x1-Pixel Grafik), wer die Seite besucht hat (User bekommt vom Besuch nix mit, da er sofort weitergeleitet wird).
Problem hierbei: Öffnet jemand von außen deine Weiterleitungsseite, dann ist der Referrer für den Zielserver natürlich wieder akzeptabel. Insofern müsstest du diese Zwischenseite wieder absichern.
Ausgangssituation:
+------------------+
| Ausgansseite |
| (Start- +--------------------------------+
| server) | |
| [a.b.com] | |
+------------------+ |
|
|
+---+--------------+
| Zielseite |
| (Ziel- |
| server) |
| [checkt a.b.com] |
+------------------+Zielsituation:<code type="plain>+------------------+
| Ausgansseite |
| (Start- +-----------+ +----------------+
| server) | | | |
| [a.b.com] | | | |
+------------------+ | | |
+------+---+----+ |
| Zwischenseite | |
| (Start- | +---+--------------+
| server) | | Zielseite |
| [a.b.com] | | (Ziel- |
+---------------+ | server) |
´|` | [checkt a.b.com] |
| +------------------+
Enthält Monitoring bzw.
Logging-Mechanismus.
Gruß
Snow
