Защита скрипта от данных из локальной формы

[phpfun]

Защита скрипта от данных из локальной формы

Читал статью как начинающим хакерам предлагают взламывать скрипты в которые передаются данные методом POST через копию формы которая располагается на тачке взломщика ! Когда то слышал что можно такой скрипт защитить проверкой одной из переменных окружения , кто то знает какой именно и какие еще есть методы проверки пришли ли данные из сгенерированной скриптом формы или из искуственно созданной кульными умельцами ?

 

[Paxan]

Re: Защита скрипта от данных из локальной формы

Originally posted by phpfun
Читал статью как начинающим хакерам предлагают взламывать скрипты в которые передаются данные методом POST через копию формы которая располагается на тачке взломщика ! Когда то слышал что можно такой скрипт защитить проверкой одной из переменных окружения , кто то знает какой именно и какие еще есть методы проверки пришли ли данные из сгенерированной скриптом формы или из искуственно созданной кульными умельцами ?

Проверять надо данные, поступающие в скрипт, а не то, откуда форму засабмитили.

 

[phpfun]

Это не ответ ! Данные я проверяю , но мне важен именно этот момент откуда пришли данные !

 

[neko]

это как раз единственно правильный ответ
ты вообще соображаешь где форма находится?

 

[phpfun]

Почему же тогда если в этом нет никакого смысла для защиты сайта рекомендуют все данные передавать через postы

 

[neko]

не заливай
я тебе такого не рекоммендовал

 

[Paxan]

Originally posted by phpfun
Почему же тогда если в этом нет никакого смысла для защиты сайта рекомендуют все данные передавать через postы

Еще одна глупость. Что мешает через допустим простой пхп-скрипт сделать пост запрос?

 

[phpfun]

neko а я тебе и не предъявлял !

 

[Фанат]

phpfun
ты читал очень глупые статьи. обе. и про проверку - откуда форма пришла, и особенно - про рекомендацию делать постом. Выбор метода определяется совсем другими критериями. Они описаны здесь: PHP FAQ: Самые основы. Способы общения браузера с сервером.
Далее, тебе следует понять, что сказанное тебе - официальная позиция форума. И если ты с ней не согласен, то имеешь полное право идти за советами туда, где ты читал свои гениальные статьи.

В первой рекомендации - проверке того, откуда отправлена форма, есть небольшая доля правды, но к взлому сайта она отношения не имеет. проверяй HTTP_REFERER, если он не пустой, чтобы в нем был HTTP_HOST