我可以使用cURL绕过我的服务器安全吗？

我有一个页面，我怕有人可以入侵。该页面本身使得如果您在没有正确的引用链接的情况下访问该页面，则会将其重定向回到带有该表单的页面。我可以使用cURL绕过我的服务器安全吗？

我试图使用卷曲，但它也重定向我，并给我“移动的对象”。

我的页面使用GET，所以我想我可以只使用curl，但它又重定向。这是一件好事，因为重定向而不是来自我想要的页面是我的“安全”的一部分。我不知道，虽然（技术）和cURL可能是错误的工具来尝试和打破它，但它有多弱。

该页面仅根据查询字符串返回订单。我相信我对sql注入很好，只是测试了最后一部分。 Ajax可能吗？

asp经典网页。

感谢您的任何帮助。

更新：我能使用此：How do I use cURL & PHP to spoof the referrer?

来源

2011-08-02 johnny

不要依靠引用来保证安全。欺骗非常容易。 –

Referer的仅仅是通过浏览器发送一个报头，因此它可能会被欺骗。从a manual on cURL：

REFERRER
HTTP请求有权选择以包括有关指实际的网页，其中地址信息。 Curl允许你指定在命令行中使用的引用。这是特别有用的愚弄或欺骗愚蠢的服务器或CGI脚本依赖于该信息可用或包含某些数据。
 curl -e www.coolsite.com http://www.showme.com/ 

NOTE: The Referer: [sic] field is defined in the HTTP spec to be a full URL. 

所以，在卷曲测试，使用-e开关与正确的Referer标头，看看会发生什么。

来源

2011-08-02 17:23:44 Andrew

我试过这个，但我继续得到Object Moved，我认为这是由于缺少正确的引用来源而导致的重定向。 – johnny

您可能很简单地拥有错误的推荐人。您可以考虑使用[Fiddler]（http://www.fiddler2.com/）之类的东西来获取来自浏览器的有效请求中发送的实际标题。 – Andrew

这不是本身的答案，而是Matt Ball对未来读者的评论的延伸。 不要依赖引荐安全：

维基百科上有一整篇文章：Referrer Spoofing

虽然许多Web站点都配置为收集来源信息，并且根据不同的服务内容所获取的推荐人信息，专门依靠HTTP引用信息进行身份验证和授权目的。不是[真正的最先进的计算机]安全措施，并且被描述为蛇油安全。 HTTP引用信息自由可变和可截取，而不是密码，虽然有些配置不当的系统对待它...

安德鲁的回答显示了如何将定制的推荐人，且卷曲。

快乐编码。

来源

2011-08-02 17:24:07

我可以使用cURL绕过我的服务器安全吗？

回答

相关问题