Ich habe vor kurzem eine sicherheitslücke bei meinem Game gefunden!
Ein User hat auf einer Seite das Formular kopiert (also quellcode) dann die werte geändert und konnte das formular dann abschicken!
wie kann ich herrausfinden woher das formular kommt um sowas zu blockieren.
am besten ist es natürlich alles zu prüfen was geschickt wurde was ich auch bei den meisten sachen tu wollte aber trotzddem mal nachfragen ob es da ne möglichkeit gibt?
Nicht Automatisches Script aber lästig!
gepostet vor 18 Jahre, 7 Monate von General Crime
gepostet vor 18 Jahre, 7 Monate von Crafty-Catcher
Du kannst den Referrer überprüfen. Aber den kann jeder leicht fälschen.
Von daher gilt ALLE Werte die an deine Skripte übermittelt werden müssen geprüft werden und zwar immer Ich würde auch fast behaupten das macht einen großen Teil des Quellcodes aus zumindest ist dieser nicht vernachlässigbar klein.
Von daher gilt ALLE Werte die an deine Skripte übermittelt werden müssen geprüft werden und zwar immer Ich würde auch fast behaupten das macht einen großen Teil des Quellcodes aus zumindest ist dieser nicht vernachlässigbar klein.
gepostet vor 18 Jahre, 7 Monate von Nuky
du *MUSST* deinen code so aufbauen das er soviel scheiße eingeben kann was er will, es darf ihm nix helfen. einfach alles nochmal überprüfen..
gepostet vor 18 Jahre, 7 Monate von General Crime
ok werd ich machen!
ps wie überprüf ich den referrer?
ps wie überprüf ich den referrer?
gepostet vor 18 Jahre, 7 Monate von woodworker
refferer prüfung ist egal - kann jeder fläschen
aber so kleine kiddies könnteste damit aufhalten
aber so kleine kiddies könnteste damit aufhalten
gepostet vor 18 Jahre, 7 Monate von General Crime
und wie????
sorry wenn ich schon frage würde ich mich auch um eine antwort freuen!
sorry wenn ich schon frage würde ich mich auch um eine antwort freuen!
gepostet vor 18 Jahre, 7 Monate von Crafty-Catcher
gepostet vor 18 Jahre, 7 Monate von The-Winner
Wir hatten nen Zeitlang ne refererprüfung drin. Ist aber schlecht, da man 1. keine Lücken verhindert, nur die Ausnutzung erschwert und 2. sperrt man so viele user aus, da einige Firewalls oder Browser den referer blocken.
gepostet vor 18 Jahre, 7 Monate von HSINC
schreib doch dynamisch in jedes formular einen sich aller n minuten ändernden wert rein den du dann abprüfst
gepostet vor 18 Jahre, 7 Monate von Crafty-Catcher
Ob das viel hilft, weil so wie ich es verstanden habe geht es um z.B. folgendes Problem:
Formular enthält ne Auswahlliste wie z.B. Die Dauer des Urlaubsmodus 1,3,5,7 Tage.
Und nun geht jemand hin und ändert das in nem eigenen Formular auf 100 Tage füllt dann den sich minütlich ändernden Wert ein und sendet das an den Server.
Formular enthält ne Auswahlliste wie z.B. Die Dauer des Urlaubsmodus 1,3,5,7 Tage.
Und nun geht jemand hin und ändert das in nem eigenen Formular auf 100 Tage füllt dann den sich minütlich ändernden Wert ein und sendet das an den Server.
gepostet vor 18 Jahre, 7 Monate von BLUESCREEN
Original von General Crime
ps wie überprüf ich den referrer?
Wenn du einen Referer-Prüfung einbaust musst du aufpassen, dass du nicht zu viel blockierst. Wenn man z.B. im Browser das Senden des Referers abgeschaltet hat, dann wird auch keiner übermittelt und das darfst du dann auch nicht blockieren. Abgesehen davon gibt es nicht nur Programme, die den Referer blockieren, sondern auch noch ganz dumme, die den Referer durch einen Text wie "geblockt von xyz" ersetzen...
Ein weiteres Problem: Da du nicht vorhandene Referer zulassen musst verhinderst du damit auch nicht, dass jemand sich ein Formular lokal speichert und anschließend übermittelt. Dabei wird nämlich auch kein Referer gesendet.
gepostet vor 18 Jahre, 7 Monate von The-Winner
theoretisch kann man prüfen ob beim login ein gültiger referer (enthält url von Startseite) gesendet wurde, und dann die restliche session der referer prüfen. Wenn beim login keiner/ein ungültiger gesendet wurde, dann nicht.
Ist aber eh sinnlos, da du dadurch keine Sicherheitslücke schließt.
Ist aber eh sinnlos, da du dadurch keine Sicherheitslücke schließt.
gepostet vor 18 Jahre, 7 Monate von MagicForrest
Wie wärs wenn du das Formular einfach codiert sendest?!?!
Sind nur ein paar Zeichen, und das ganze ist schon viel schwerer zu umgehen.
Sind nur ein paar Zeichen, und das ganze ist schon viel schwerer zu umgehen.
gepostet vor 18 Jahre, 7 Monate von BLUESCREEN
Original von The-Winner
Ist aber eh sinnlos, da du dadurch keine Sicherheitslücke schließt.
Naja, wenn ein User mit deaktivierten Cookies eine URI, die dann seine Session-ID enthält, weitergibt, kann damit der Schaden eingedämmt werden.
Original von MagicForrest
Wie wärs wenn du das Formular einfach codiert sendest?!?!
Sind nur ein paar Zeichen, und das ganze ist schon viel schwerer zu umgehen.
Bringt doch nichts, da die Codierung auch clientseitig erfolgen muss...
gepostet vor 18 Jahre, 7 Monate von Chojin
Wer sagt den immer, dass man ein Formular lokal speichern muss um es zu verändern? Mit Powerband 2 kann ich zum Beispiel noch im IE Browserfenster ein Formular editieren (DOM manipulation) und dann auf absenden klicken... Der Referer ist dann nach wie vor ein Gültiger...
Bis auf Variabelprüfung hilft da garnichts.
reg4rds
chojin
Bis auf Variabelprüfung hilft da garnichts.
reg4rds
chojin