הוסטס - פורום אחסון האתרים הגדול בישראל - [PHP] כיצד ניתן לבדוק מהיכן טופס נישלח?

הוסטס - פורום אחסון האתרים הגדול בישראל (https://hosts.co.il/forums/index.php)

- פורום תיכנות (https://hosts.co.il/forums/forumdisplay.php?f=14)

- - [PHP] כיצד ניתן לבדוק מהיכן טופס נישלח? (https://hosts.co.il/forums/showthread.php?t=34583)

-VladK-

13-11-06 08:13

[PHP] כיצד ניתן לבדוק מהיכן טופס נישלח?

היי.

מרוב שיעמום ואחרי סיגריה עלה לי מן חשש כזה שמשהו יחליט לשלוח טופס כלשהו שנמצא באתר שלי ושלוח אותו דרך מחשב המחשב או שרת אחר...

לאדע למה אבל זה קצת מרגיז אותי...

אז...כיצד אני יכול לבדוק שהטופס שלי נשלח משרת שלי ולא משרת אחר?

עריכה:

אה ועוד משהו האם אני יכול לתת לקישור שם שימש אותי בPOST?

כלומר נגיד יש לי INPUT...אני יכול להגדיר לו שם ואז לבדוק אם הוא קיים וזה... דרך:

PHP קוד:


		
			
if(isset($_POST['inputname']))

האם אני יכול לתת לקישור גם שם כדי שאני יוכל לבצע את בדיקה הזאת?

עריכה 2:
האם אני יכול לבדוק שכל האותיות בטופס מסויים הם באנגלית?
אם כן, איך?

CoCa	13-11-06 08:41

בקשר לאותי באנגלית אפשר, אבל יש לי דרך מסורבלת טיפה לבדוק את זה... אז זה הולך ככה:

PHP קוד:


		
			
$string=$_POST['name'];

$i=0;

$error=="";

while (($string[i]!="")&&($error==""))

{

if ((($string[i]>'a')&&($string[i]<'z'))||(($string[i]>'A')&&($string[i]<'Z')))

$i++;

else

$error="כל האותיות חייבות להיות באנגלית";

}

יש לי הרגשה שיש שם טעות קטנה אבל זה אלגוריתם מסורבל שאמור לעבוד(אם יש פונקציה שעושה את זה לבד אני אשמח לשמוע).

sUP	13-11-06 12:22

בנוגע לבדוק אם זה שלח מהשרת אתה יכול להציב קוד רנדומלי ולבדוק אם הוא נכון בעזרת סשן

העריכה הראשונה שלך לא הבנתי (עם ה POST)

בנוגע לאותיות באנגלית

PHP קוד:


		
			
preg_match('/^[A-Z]*$/', $text)

תקנו אותי אם משו פה לא נכון חח

-VladK-

13-11-06 13:45

ציטוט:

נכתב במקור על ידי sUP

PHP קוד:


		
			
preg_match('/^[A-Z]*$/', $text)

תקנו אותי אם משו פה לא נכון חח

preg_match בודק לפי ביטוי רגולרי? בקשר לPOST...אני ישנה את השאלה...האם קישור, יכול לתפקד כINPUT מסוג SUBMIT? עצם השליחה שלו אני יכול לבצע בעזרת JS...אבל אני רוצה להגדיר לקישור שם כמו שאני מגדיר שם לINPUT...במילים אחרות... האם NAME יכול לפעול בתוך קישור? או שמה יש משהו אחר שיכול להגדיר לקישור שם? (אני לא מדבר על ID)

sUP	13-11-06 13:55

לא חושב שאפשר.. אבל למה להגדיר לקישור name ?

-VladK-

13-11-06 14:15

ציטוט:

נכתב במקור על ידי sUP

לא חושב שאפשר.. אבל למה להגדיר לקישור name ?

בגלל שיש לי קישור שמשמש אותי בשליחה במקום INPUT...ואני רוצה לעשות בדיקה אם אכן נשלח דרך אותו קישור...בקיצור...תתעלמו מהשאלה הזאת...אני ישמח אם תענו לי על השאלה העיקרית....כי לא הכי הבנתי מה אני עושה...

רגע אני ינסה לעקל...בעמוד של ההרשמה עצמה...אני יוצר סשן...ושם אני כותב...אהההם...לא הבנתי...

ובשליחה אני פשוט בודק אם הסשן שלי קיים?

sUP	13-11-06 16:08

ממ כן.. אבל תקע לסשן שם קשה..

tnadav

13-11-06 16:33

ציטוט:

נכתב במקור על ידי sUP

PHP קוד:


		
			
preg_match('/^[A-Z]*$/', $text)

תקנו אותי אם משו פה לא נכון חח

תתקן ל- :

PHP קוד:


		
			
preg_match('/^[A-Z]*$/i', $text)

4ior	13-11-06 16:37

או שאתה פשוט בודק אם הרפרר הוא האתר שלך;)
$_SERVER['HTTP_REFERER'];

RS324

13-11-06 17:17

בכדי לבדוק אם זה לא מהשרת שלך אתה יכול לבדוק לפי ה REFER...
החלטתי לעשות לך חיים מאד קלים ולתת לך קוד שעובד ב 100 %

בבקשה :

PHP קוד:


		
			
if (strtoupper($_SERVER['REQUEST_METHOD']) == 'POST')

{

    if ($_SERVER['HTTP_HOST'] OR $_ENV['HTTP_HOST'])

    {

        $http_host = ($_SERVER['HTTP_HOST'] ? $_SERVER['HTTP_HOST'] : $_ENV['HTTP_HOST']);

    }

    else if ($_SERVER['SERVER_NAME'] OR $_ENV['SERVER_NAME'])

    {

        $http_host = ($_SERVER['SERVER_NAME'] ? $_SERVER['SERVER_NAME'] : $_ENV['SERVER_NAME']);

    }

    if ($http_host AND $_SERVER['HTTP_REFERER'])

    {

        $referrer_parts = parse_url($_SERVER['HTTP_REFERER']);

        $http_host = preg_replace('#^www\.#i', '', $http_host);

        $http_port = intval($referrer_parts['port']);

        $refhost = $referrer_parts['host'] . (!empty($http_port) ? ":$http_port" : '');



        if (!preg_match('#' . preg_quote($http_host, '#') . '$#siU', $refhost))

        {

            die('We Dont take POST requests (only from localhost) From other hosts.');

        }

    }

}

tnadav

13-11-06 17:53

ציטוט:

נכתב במקור על ידי RS324

PHP קוד:


		
			
if (strtoupper($_SERVER['REQUEST_METHOD']) == 'POST')
{
    if ($_SERVER['HTTP_HOST'] OR $_ENV['HTTP_HOST'])
    {
        $http_host = ($_SERVER['HTTP_HOST'] ? $_SERVER['HTTP_HOST'] : $_ENV['HTTP_HOST']);
    }
    else if ($_SERVER['SERVER_NAME'] OR $_ENV['SERVER_NAME'])
    {
        $http_host = ($_SERVER['SERVER_NAME'] ? $_SERVER['SERVER_NAME'] : $_ENV['SERVER_NAME']);
    }
    if ($http_host AND $_SERVER['HTTP_REFERER'])
    {
        $referrer_parts = parse_url($_SERVER['HTTP_REFERER']);
        $http_host = preg_replace('#^www\.#i', '', $http_host);
        $http_port = intval($referrer_parts['port']);
        $refhost = $referrer_parts['host'] . (!empty($http_port) ? ":$http_port" : '');

        if (!preg_match('#' . preg_quote($http_host, '#') . '$#siU', $refhost))
        {
            die('We Dont take POST requests (only from localhost) From other hosts.');
        }
    }
}

חשוב לציין שתוכנות כמו Norton Internet Security מוחקות את הרפרר וקל מאוד לזייף אותו

ככה ש- Session זה הפיתרון הכי טוב

-VladK-

13-11-06 20:56

ציטוט:

נכתב במקור על ידי tnadav

חשוב לציין שתוכנות כמו Norton Internet Security מוחקות את הרפרר וקל מאוד לזייף אותו

ככה ש- Session זה הפיתרון הכי טוב

SESSION דווקא הוא לא הכי טוב...שמעתי שיש תוכנה או משהו שמאפשרת למחוק סשנים =/

RS324

13-11-06 21:06

אז תעשה SESSION וקוד רנדומלי ומה שהבאתי לך...
בתכלס...למה ?? אתה צריך כזאת רמה של אבטחה ?

לגבי המשתמש שמעליי....כמה אנשים כבר משתמשים באינטרנט סקיורטי ? וכמה מתוכם באמת ירצו לפרוץ את האתר שלו ?

אז בוא נדבר תכלס...כל עוד אתה לא צריך אבטחה מטורפת, תשתמש במה שהבאתי לך ותגמור עניין.

תמיד תזכור שאין כספת שאי אפשר לפרוץ...
פשוט צריך להיות הפורץ המתאים...

-VladK-

13-11-06 21:07

ציטוט:

נכתב במקור על ידי RS324

תודה רבה לך !

ואגב אהבתי את המשפט |קורץ|

tnadav

13-11-06 21:11

ציטוט:

נכתב במקור על ידי RS324

הכוונה היא שזה פשוט לא יעבוד להם.. כי אין להם רפרר, אז הם לא יכולו להשתמש באתר, וחוץ מזה, אם בכזאת קלות אפשר לפרוץ את זה, אז למה סתם להשקיע את המאמץ בלבדוק רפרר?

אז יש משהו שמאפשר למחוק סאשנים, מי שהפעיל את זה הפעיל את זה בכוונה וזה לא יעבוד לו ;P סאשנים פשוט מוחקים את העוגיה שיש שם את המידע או מה- URL...

הקטע הוא כזה:
סאשן אפשר למחוק, אך ורק מידיעת המשתמש, ואז זה לא יעבוד לו..
רפרר לפעמים נמחק ללא ידיעה, ואז זה לא יעבוד לו והוא לא יידע למה ויתחיל להציף אותך בשאלות..

זאת הייתה הכוונה שלי שיש תוכנות שמוחקות את זה..

-VladK-

13-11-06 21:20

ציטוט:

נכתב במקור על ידי tnadav

עיבדתה אותי קצת...אתה אומר שיש תוכנות אשר מבטלות רפרר...מה שיגרום למשתמש לא לראות את האתר...אז מה הקטע של התוכנות האלא? או שפשוט לא הבנתי אותך (דאמט יש לי בלוק על הראש...לא יכול לחשוב על היום =/)

עריכה קטנה:
אההההם הרגע עשיתי בדיקה קטנה בנושא של האותיות באנגלית...הוא מחזיר לי ערך של אמת רק אם האותיות ABC ולא abc ...

PHP קוד:


		
			
if(!preg_match('/^[A-Z]*$/', $username))

tnadav

13-11-06 21:28

ציטוט:

נכתב במקור על ידי Pilmen

מה לעשות, יש תוכנות כמו Norton Internet Security, כמו שאמרתי מקודם, שככל הנראה ללא ידיעת המשתמש, מסיבה שאני ממש לא יודע למה (יותר מאובטח? :-/8-*) מוחקות את הערך ברפרר, יש אפילו דפדפנים מסוימים שעושים את זה, ואז, אותם משתמשים לא יוכלו להיכנס לאתר כי הגישה נחסמה.

רפרר זה מידע יותר מידי לא אמין, את הרפרר הלקוח שולח, והשרת אוכל אותו בלי מלח. זה לא כמו IP, שיותר מסובך לזייף, מכיוון שהשלקוח שולח, והשרת שולח ל- IP שהלקוח אמר לו, אז זה יותר מסובך.. אבל אפשרי. פה, אין שום קושי בלעבוד על השרת ואי-אפשר לעשות עם זה כלום, וכמו שאמרתי יש תונכות שמוחקות את זה.. בגלל זה, לדבר כל-כך חשוב לא מומלץ להאמין במידע הזה.

מה שעוד יותר מפחיד, זה שבלי SSL אפשר בקלות ליירט את מה שהמשתמש כתב אבל זה לא קשור לנושא

אגב, לא מניסיון אישי.. זה מה שאמרו לי ששאלתי על רפרר, ולאותו אחד היה ניסיון אישי

-VladK-

13-11-06 21:33

ציטוט:

נכתב במקור על ידי tnadav

אהא...אוקיי תודה רבה...(אז עכשיו מה אני יעשה? |: )...אגב ערכתי את ההודעה שם...(הקודמת שלה הגבתה...)

RS324

13-11-06 22:05

אוקי 2 דברים....

קודם כל.

לגבי השאלה הראשונה ב PREG_MATCH תעשה
[A-Za-z]
וזה יקלוט גם אותיות קטנות

עכשיו נדב אתה עשית בלבול אחד גדול (מצטער אבל אפילו לא טרחתי לכתוב את כל ההודעות שלך)
מה שאני עשיתי זה פשוט מאד
אתה בודק אם ה POST הגיע ממקום מסויים... אם אתה בתוך אתר אחר ומישהו עשה POST משרת אחר אז ה REFER עובר בין השרתים (לא בטוח - צריך לבדוק את זה לעומק ככה,אני דיי עייף כרגע) ככה שלא קשור לדפדפן שלך או לתוכנות שהתקנת במחשב.... HTTP_REFER פשוט בודק אם הגעת מאתר מסויים...אם מישהו הפנה אליך עשה לך POST משרת אחר וכד'.
אני עשיתי שם בדיקה נוספת אם יש לך WWW כלומר הגעת מאתר - אבל אם תוריד את הטופס ותשים על המחשב ותעשה פוסט... זה יעבוד...
וזה המטרה של זה בעצם...שלא יעשו POST מאתרים אחרים...
לא מאמין לי ? אתה מוזמן לנסות ולראות לבד...

tnadav

13-11-06 23:00

ציטוט:

נכתב במקור על ידי RS324

אין, יש תוכנות שחוסמות לגמרי רפרר

עירכה לעריכה :D
תנסה:

PHP קוד:


		
			
if(!preg_match('/^[A-Z]*$/i', $username))

בניה	14-11-06 15:03

ב"ה

אפשר לזייף כל חלק שנשלח בHTTP.
אם האדם שמנסה לזייף מתוחכם הוא יצליח כי זה באמת לא קשה.
אם אתה מפחד שהוא ישלח תווים מסוכנים פשוט תעשה הגנות בצד שרת.

tnadav

14-11-06 16:43

ציטוט:

נכתב במקור על ידי בניה

הגנות כמו מה? כל הדיון זה איך להגן..

רפרר קל לזייף
סאשן דווקא לא ממש, ואם אתה פרנואיד אפשר להגביל את הסאשן ל- IP

בניה	14-11-06 18:06

ציטוט:

נכתב במקור על ידי tnadav

הגנות כמו מה? כל הדיון זה איך להגן..

רפרר קל לזייף
סאשן דווקא לא ממש, ואם אתה פרנואיד אפשר להגביל את הסאשן ל- IP

הגנות נגד תווים מסוכנים, זה מה שאמרתי.
פשוט או שמבריחים אותם או מחליפים בערך ascii שלהם וזהו.
שישלח את הטופס מאיפה שהוא רוצה, הוא לא יוכל להזיק איתו.

tnadav

14-11-06 18:57

ציטוט:

נכתב במקור על ידי בניה

אתה עד כדי כך סומך על הפורץ שהוא פראייר?

RS324

14-11-06 19:01

הפורץ לא יכול לשנות את מה שמוגדר בצד שרת...ככה שמהבחינה הזאת הוא דיי חסום (זה לא אומר שאין דרכים אחרות)

ולגבי כל מי שאמר IP....אפשר להשתמש ב PROXY וגם ה 400 כאלה

אז כל מה שתגידו לו פה...תמיד יהיה תשובה נגדית, השאלה היא
כמה זה חשוב לו מהבחינה הזאת (האבטחה המטורפת)

-VladK-

14-11-06 19:33

ציטוט:

נכתב במקור על ידי RS324

זה חשוב מבחינה שאני לא רוצה שיעשו מה שבא לאנשים למסד שלי...אנשים משועממים יכולים להתחיל לפוצץ לי את המסד...וממש לא בא לי שזה יקרה...קרה לי מקרה כזה...אין לי מושג איך אבל הצליחו לרשום לי 4000 (קצת יותר) רשומות :-/

tnadav

14-11-06 19:33

ציטוט:

נכתב במקור על ידי RS324

פרוקסי לא יעזור.

כאשר שולח הטופס שולח טופס מהמקום שאנחנו רוצים הוא יהיה בוא, הוא מקבל סשן בשם מסוים עם ה- IP שלו, ככה שמי שיגנוב סשן אחר, יגנוב סשן עם IP אחר, אז דבר ראשון הוא צריך לדעת מה יש ב-סשן, וזה בעיה כי זה בצד שרת, ואז, הוא צריך לסייף את ה- IP שלו ל- IP שהוא גנב..

איך אתה עושה את זה?

RS324

14-11-06 19:40

ציטוט:

נכתב במקור על ידי tnadav

אם אני כזה פורץ מהולל ויש לי את האיפי שצריך אז אני פורץ למחשב של הבן אדם עם האיפי ומפעיל דרכו דברים...

אבל אם כבר אני כזה פורץ מהולל אז למה שבמקום לריב עם אתר מסכן..אני פשוט יפרוץ לשרת ויקבל גישה למסד ולקבצים שלו ויעשה מה שאני רוצה איתם

אז בואו נדבר תכלס...
נגד ילדים.. הוא צריך לשים הגנות סבבה...לא להשתגע...
לעשות הגבלה של איפים ליום או דברים כאלה ואחרים כמו תמונה וכד'.

-VladK-

14-11-06 19:44

ציטוט:

נכתב במקור על ידי RS324

אוקיי יש לי רעיון קטן ... הגבלה של הIP כמו שאמרתה...ו...אהההם...עם הרפרר...קיצור...תודה רבה רבה ! (אבל עדין מעניין אותי איך הוא עשה את זה :-/)

tnadav

14-11-06 20:53

ציטוט:

נכתב במקור על ידי Pilmen

אני ממליץ לא להשתמש ברפרר, אבל כרצונך.

Alon.R

14-11-06 21:33

ציטוט:

נכתב במקור על ידי tnadav

אני ממליץ לא להשתמש ברפרר, אבל כרצונך.

מה הבעיה עם רפרר?

-VladK-

14-11-06 22:14

ציטוט:

נכתב במקור על ידי Alon.R

מה הבעיה עם רפרר?

מומלץ לקרוא תגובות קודמות

בניה	14-11-06 23:32

ב"ה

אם אתה מפחד מהצפות תגביל לפי IP.
כמה כבר פרוקסים יהיו לו?

RS324

15-11-06 00:47

ציטוט:

נכתב במקור על ידי בניה

ב"ה

אם אתה מפחד מהצפות תגביל לפי IP.
כמה כבר פרוקסים יהיו לו?

אם אני רוצה ממש לזבל מערכת..אני יכול להשיג יותר מ 400 בשקט...

sUP	15-11-06 01:40

עוד לא הבנתי למה לעזאזל הוא צריך כזאת אבטחה לטופס..
כולה פאקינג טופס

בניה	15-11-06 10:34

ב"ה

ז"א 400 הודעות.
וגם הוא יכול לחסום פרוקסים שלא עובדים באנונמיות מלאה.

RS324

15-11-06 13:38

ציטוט:

נכתב במקור על ידי בניה

ב"ה

ז"א 400 הודעות.
וגם הוא יכול לחסום פרוקסים שלא עובדים באנונמיות מלאה.

אפשר לבנות פרוקסים שיעבדו על פורט אחר מ 80... ואני יכול להשתמש בזהות של המחשב ממנו הפרוקסי מופעל...

בניה	15-11-06 13:48

ציטוט:

נכתב במקור על ידי RS324

אפשר לבנות פרוקסים שיעבדו על פורט אחר מ 80... ואני יכול להשתמש בזהות של המחשב ממנו הפרוקסי מופעל...

ב"ה

לא קשור לפורט, יש פורוקסים שמוסיפים עוד הדרים לבקשת HTTP.
ואם יש לו 400 פוקסים מושלמים אז בעצם אין מה לעשות כי את הסשנים ושאר הדברים אפשר לזייף.

tnadav

15-11-06 14:06

ציטוט:

נכתב במקור על ידי בניה

ב"ה

אם אתה מפחד מהצפות תגביל לפי IP.
כמה כבר פרוקסים יהיו לו?

2 דברים:
1) איך מגבילים IP? אני מציע להשתמש בסשן... על זה כל הויכוח פה, האם סשן זה מוגזם או לא.
2) http://www.programmingtalk.com/showt...oto=nextoldest

כל הזמנים הם GMT +2. הזמן כעת הוא 16:22.