[jahaa]

Ursprungligen postat av martine

Ja, nog är det browsern som skickar den (jag är inte särskilt insatt i hur HTTP funkar rent praktiskt), men om en angripare vet att du kollar och förväntar dig att rätt REFERER kommer med (jag kan inte tänka mig att den försvinner i brandväggen eftersom den är en del av requesten, men som sagt, inte mitt område). Angripare struntar nog ofta i att skicka någon REFERER men såvitt jag förstår skickar i alla fall webläsarna den.

Kanske du ska fundera på att kräva användarnamn och lösenord över https med alla requester som gör något dramatiskt. (jag vet inte hur du sköter inloggningen i övrigt men kräver man lösenord med samma request så borde det väl vara svårt att komma runt sålänge användarna inte är korkade nog att själva skriva in sin lösen på bluffsidan)

Referer går enkelt att tabort för "sekretessskäl".

Men alternativet man kan göra istället är att skapa en "egen" referer. dvs. mer eller mindre addera lite data (token) per http request i en cookie. Denna jämförs sedan med den som sparades på serversidan. Det negativa med detta är att det tar en del kraft.

Rekommenderar ej att använda IP-adress eller user-agent då dessa kan förändras genom att vissa ISP:er vill spara bandbredd(proxy servrar som cachar vanliga http requests el dyl. har inte riktigt koll på proceduren) och därmed skicka andra ip-adresser respektive user-agents. Vet inte riktigt hur vanligt detta är men det förekommer.

För dom som inte använder ett liknande verktyg så rekommenderar jag firefox tillägget "Tamper Data" vilket gör att ni kan testa era webbapplikationer enkelt.