Ist es möglich, dass eine Website Referer-Header

So offensichtlich ein Request-Header fälschen kann über Client-Seite gefälscht werden, indem eine beliebige Erweiterung/AV/Firewall/Browser-Einstellungen etc ...Ist es möglich, dass eine Website Referer-Header

Meine Frage ist:
Can ein Website-Besitzer bad.com kann einen iframe mywidget.php erstellen, und ich werde sehen, eine gefälschte Referer Header good.com.

Das Spoofing wird vom Websitebesitzer durchgeführt, zB: Server, und nicht von einer tatsächlichen Client-Software, die oben aufgeführt ist.

Zwei Punkte:

Ich spreche von einem diffrent referer good.com und nicht einem leeren.
Offensichtlich auszuschließen Ajax Anfragen.
Wenn es tatsächlich möglich ist - Content Security Policy, kann eine Lösung sein. aber ich möchte nicht jede einzelne Domain zu ihrem Header-Wert hinzufügen.

Danke.

Quelle

2016-08-17 yosiweinreb

Letztendlich entscheidet der * client * welcher Header gesendet werden soll, der Seitenbetreiber hat absolut nichts zu sagen. Das heißt, die Frage ist, ob ein Site-Besitzer einige clevere Weiterleitungen einrichten könnte, die den Client dazu veranlassen würden, sich für einen unerwarteten Referer zu entscheiden. – deceze

Ja, leider existiert eine solche Möglichkeit und viele "good.com" -Kinder Websites haben Schwierigkeiten, ein solches Problem zu beheben.

Stellen Sie sich vor, dass "good.com" aus irgendwelchen Gründen ein Redirect-Gateway für statistische oder andere gut durchdachte Zwecke hat. Zum Beispiel ermöglicht dies "good.com" zu messen, wie oft die Benutzer auf verschiedene Websites gehen.

Jetzt auf einem "bad.com" Benutzer sieht eine iframe, oder nur eine Schaltfläche, die irgendwie navigiert sie zu einer URL wie folgt: good.site.example/redirect?to=www.thirdparty.com. Und diese Seite auf einer URL leitet Benutzer auf www.thirdparty.com auf eine Weise um, die einen Referer erhält.

Also im Grunde ja, der Referer HTTP-Header ist nicht etwas in Bezug auf Sicherheit abhängen.

Quelle

2016-08-17 12:37:22

Danke, Nur um sicher zu sein, meintest du, dass "www.thirdparty.com" meine Domäne ist, wie in der Frage 'mywidge.php' – yosiweinreb

Ja,' www.thirdparty.com.com ist Ihre Domain, 'good.com' ist ein großes Webportal, wahrscheinlich mit benutzergenerierten Inhalten, und' bad.com' möchte, dass Sie den Benutzer so sehen, als kämen sie von 'good.com'. –

Nicht spoof, aber wenn es open redirect vulnerabilities auf Ihrer Website gibt, dann könnten sie die Anfrage durch diese (als Andrew Sklyarevsky points out) übergeben.

Die andere Sache zu beachten ist Parsing Bugs.

z.B. wenn Sie für referer als http://good.example.com mit einer schlechten URL Parsing-Technik überprüft, dann kann ein Angreifer versuchen, eine Anforderung von ihrer Seite wie

http://bad.example.com?http://good.example.com

auf Ihrer Seite, die die Validierung erfüllt.

Beachten Sie außerdem, dass einige Benutzer Privacy-Erweiterungen aktiviert haben, die den Referer-Header zurückhalten, was Ihre Sicherheitsprüfungen behindern und sie anfällig machen oder Ihre Site je nach Implementierung nicht verwenden kann.

Quelle

2016-08-24 16:21:53 SilverlightFox

Ist es möglich, dass eine Website Referer-Header

Antwort

Verwandte Themen