草庐IT

php - 防止 cURL 引荐来源欺骗

coder 2023-06-14 原文

我们从开发人员那里收到了 PHP 代码，其中包含一个完全依赖于 $_SERVER['HTTP_REFERER'] 的网络统计脚本。使用 cURL，您可以按如下方式轻松伪造它:

curl_setopt($curl, CURLOPT_REFERER, "client website");

我正在寻找一种方法来防止它。这甚至可以由客户网站完成，以获得更高的统计数据。我正在寻找一种方法来防止这种欺骗。这可能吗？如果可以，如何实现？

最佳答案

不，没有确定 URL Referrer 的确定方法。

根据 HTTP spec , HTTP_REFERER 是可选的。一些防火墙包默认去掉这些，一些客户端不发送引用值，并且有很多方法(比如你在问题中显示的那个)来修改这个值。

简而言之，HTTP_REFERER 值是不可信的。总会有一些方法可以修改这些值。这在 PHP manual documentation for $_SERVER 中有所提及(强调我的):

The address of the page (if any) which referred the user agent to the current page. This is set by the user agent. Not all user agents will set this, and some provide the ability to modify HTTP_REFERER as a feature. In short, it cannot really be trusted.

回答您的问题:不，有 no 方法可以防止 HTTP_REFERER 值被更改。我建议您在使用之前仔细检查该值(可选地，在其上应用 htmlspecialchars() 以防止注入(inject))或根本不使用它。不幸的是，这是一个“要么接受要么回家”的交易。

关于php - 防止 cURL 引荐来源欺骗，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/21807604/

引荐cURLcodesectionHTTP_REFERERphpspoofing

有关php - 防止 cURL 引荐来源欺骗的更多相关文章

  1. ruby-on-rails - Rails 3.2 防止使用错误保存对象 - 2

    我有一个ActiveRecord对象，我想在不对模型进行永久验证的情况下阻止它被保存。您过去可以使用errors.add执行类似的操作，但它看起来不再有效了。user=User.lastuser.errors.add:name,"namedoesn'trhymewithorange"user.valid?#=>trueuser.save#=>true或user=User.lastuser.errors.add:base,"myuniqueerror"user.valid?#=>trueuser.save#=>true如何在不修改用户对象模型的情况下防止将用户对象保存在Rails3.2中

  2. ruby - 在 Ubuntu 14.04 中使用 Curl 安装 RVM 时出错 - 2

    我试图在Ubuntu14.04中使用Curl安装RVM。我运行了以下命令:\curl-sSLhttps://get.rvm.io|bash-sstable出现如下错误:curl:(7)Failedtoconnecttoget.rvm.ioport80:Networkisunreachable非常感谢解决此问题的任何帮助。谢谢 最佳答案 在执行curl之前尝试这个:echoipv4>>~/.curlrc 关于ruby-在Ubuntu14.04中使用Curl安装RVM时出错，我们在Stack

  3. ruby - 防止SQL注入(inject)/好的Ruby方法 - 2

    Ruby中防止SQL注入(inject)的好方法是什么？ 最佳答案 直接使用ruby？使用准备好的语句:require'mysql'db=Mysql.new('localhost','user','password','database')statement=db.prepare"SELECT*FROMtableWHEREfield=?"statement.execute'value'statement.fetchstatement.close 关于ruby-防止SQL注入(inject

  4. ruby-on-rails - 这个 C 和 PHP 程序员如何学习 Ruby 和 Rails？ - 2

    按照目前的情况，这个问题不适合我们的问答形式。我们希望答案得到事实、引用或专业知识的支持，但这个问题可能会引发辩论、争论、投票或扩展讨论。如果您觉得这个问题可以改进并可能重新打开，visitthehelpcenter指导。关闭9年前。我来自C、php和bash背景，很容易学习，因为它们都有相同的C结构，我可以将其与我已经知道的联系起来。然后2年前我学了Python并且学得很好，Python对我来说比Ruby更容易学。然后从去年开始，我一直在尝试学习Ruby，然后是Rails，我承认，直到现在我还是学不会，讽刺的是那些打着简单易学的烙印，但是对于我这样一个老练的程序员来说，我只是无法将它

  5. ruby - ruby 中等效的 curl 命令 - 2

    我有一个运行良好的curl命令，但我需要在ruby​​脚本中自动执行它，curl命令:curl-uusrname:pwd-XPOST--data"del=false&val=100"http://localhost:1111/sample/path我写了下面的代码:uri=URI::HTTPS.build(:host=>"localhost",:port=>1111)uri.path=URI.escape("/sample/path")client=Net::HTTP.new("localhost","1111")req=Net::HTTP::Post.new(uri.request_

  6. ruby-on-rails - 如何防止错误 "code converter not found (UTF-8)"？ - 2

    我在生产环境(CentOS5.6)中遇到此错误，但在开发环境(Ubuntu11.04)中运行良好。在这两种环境中，该应用程序都使用Ruby1.9.3和Rails3.0.9，并由passenger和nginx提供服务。我的Mechanizegem版本是2.3。未找到代码转换器(UTF-8)此代码的最后一行触发它:mech=Mechanize.newpage=mech.get("http://myurl.com/login.php?login_name=a&password=b")form=page.form_with(:name=>"loginForm")form.field_with(

  7. ruby - ruby 中的 400 个错误请求但不是 curl - 2

    我正在尝试在ruby​​中发出https发布请求，它在curl中工作，但我在ruby​​中收到400错误请求，我无法弄清楚原因。这是ruby代码:require'rubygems'require'net/https'require'uri'require'json'uri=URI.parse("https://api.parse.com/1/push")http=Net::HTTP.new(uri.host,uri.port)http.use_ssl=truehttp.verify_mode=OpenSSL::SSL::VERIFY_NONEreq=Net::HTTP::Post.ne

  8. ruby-on-rails - 防止为每个评论调用 upvote 模型 - 2

    我有三个模型:User、Comment和Upvote。User-to-Comment是一对多的关系，Comment-to-Upvote是一对多的关系，而User-to-Upvote是一对多的关系。我想做一些类似于在Stackoverflow上进行投票的事情。因此，当您投赞成票/反对票时，箭头将突出显示并保持突出显示状态，即使您在几天/几周后刷新页面或返回页面也是如此。目前我正在这样做:voted?方法在哪里:defself.voted?(user_id,comment_id)find_by(comment_id:comment_id,user_id:user_id).present?e

  9. ruby-on-rails - Rails 还是 Sinatra？ PHP程序员入门学习哪个好？ - 2

    按照目前的情况，这个问题不适合我们的问答形式。我们希望答案得到事实、引用或专业知识的支持，但这个问题可能会引发辩论、争论、投票或扩展讨论。如果您觉得这个问题可以改进并可能重新打开，visitthehelpcenter指导。关闭10年前。我使用PHP的时间太长了，对它感到厌倦了。我也想学习一门新语言。我一直在使用Ruby并且喜欢它。我必须在Rails和Sinatra之间做出选择，那么您会推荐哪一个？Sinatra真的不能用来构建复杂的应用程序，它只能用于简单的应用程序吗？

  10. ruby - 防止 ruby​​ sinatra 中的 session 固定 - 2

    ruby中的大多数session固定主题都与Rails相关。sinatra中是否存在任何session固定漏洞？在rails中，我们通常建议在分配session之前执行reset_session。我们如何防止sinatra中的session固定？ 最佳答案 Sinatra默认使用Rack::Protectiongem来防止许多常见漏洞。您可能对其session劫持保护特别感兴趣。这些是Rack::Protectiongem防止的一些事情:跨站请求伪造真实性token:如果给定的访问token与session中包含的token相匹配，

随机推荐