ZaZa
Guest
Что проверка реферера это мёртвая технология.
Нет - достаточно много людей с пустым реферером. У меня БЫЛА эта защита, только с ПУСТЫМ реферером я ПОСЫЛАЛ - на первых же клиентах посыпались жалобы на то что их не пускают - я ставил думп данных в файл на каждый пост - реферер у них был пустой... Твой бы трюк прошёл на ура. У них стояли фаерволы какие то, прокси или глюки броузера - каждому не исправишь.
Ты думаешь хакер не знает об таких проверках? Просто может быть достаточно 1 что бы натворить такого, что результат будет ещё какой. Здесь с такой защитой - да - здесь народ образованный... Но ты вспомни - кто там сидит, на других форумах? Не каждый поймёт что там за попап и закроет его - а дело может уже сделано...
Дам тебе пример: PHP пропатчивает в определённых случаях(у клиента отрублены куки) линки сессиями, клиент на сайте sait.ru кликает на такую ссылку, которая ведёт на сайт hack.ru, реферер у нас от sait.ru с Ид сессии (допустим у нас идеальная ситуация) - hack.ru это ловит и формирует нужный пост на sait.ru с нужными реферерами и прочей лабудой и конечно чё там надо послати curlом посылает это всё... Потом редиректн на sait.ru. Да мы засветили свой ИП, но самое главное достигли - хаккнули...
Ваша защита как бы и оплашалась если к сессии проверка ИП не прикручена... От количества таких пользователей и посещаемости может зависить что получиться...
Можно пойти дальше имея СИД - считать форму и выловить даже какой то хеш, по которому субмитится информация... Но для этого надо хотябы 1 раз попасть внутрь системы...
Может теперь понятно, почему реферер мёртвый - его легче всего подделать.
А коль пошла такая пьянка - тут надо огромную FAQ писать на тему безопасности.
