作者hirabbitt (兔子)
看板Ajax
标题[问题] 绕过JS
时间Mon Jun 14 20:09:01 2010
通常我们会使用一些JS
来检验使用者是否有按照规定来填表格
但是如果使用者从原始码之中
看透表格名称与action目标
自己写一个一模一样的form来执行
不就可以绕过js的检查了?
在有session的网站
也只要先登入让浏览器吃过session
再执行我们要偷渡的网页就好了
有没有什麽方法可以防止这种绕过JS的行为呢?
--
◤ __ ＼__◣
◢◤◢◤ ψhirabbitt
◢ ◤ ◢███◣
◢███◣
和你的约定 █████
█████ 不变心的约定
██
●█
● █▇███
是变心的约定 ██
╱╲ ●◥█████◣● 是我和自己的约定
◥
╱█
╱╱ ● ◥████ ˇ
--
※ 发信站: 批踢踢实业坊(ptt.cc)
◆ From: 163.13.127.91
1F：→ Kelunyang:1.你不应该相信前端的检查，後端本来就应该有对应 06/14 21:16
2F：→ Kelunyang:防止跨域登入还没想道该怎麽办XD 06/14 21:17
3F：→ j100002ben:只要是客户端传过来的东西一切不可信任..... 06/14 22:01
4F：→ TonyQ:可以啊，从Server 检查他资料有没有填写齐全就好。 06/14 22:06
5F：→ Kelunyang:可是照他的说法，我们是不是真的无法检查这个呼叫是不是 06/14 23:28
6F：→ Kelunyang:来自於自己的域名啊，刚刚想了一下没想到怎麽处理@@" 06/14 23:28
7F：→ TonyQ:来不来自自己的域名很重要吗？.？ 06/14 23:39
8F：→ TonyQ:重点是资料过来对不对而已啊 06/14 23:40
9F：→ TonyQ:要检查来源网址可以查refer，这个是纯js无法造假的， 06/14 23:40
10F：→ TonyQ:不过一般爬虫或机器人要造假refer倒是很容易。 06/14 23:41
11F：→ grence:CAPTCHA之类的？产生表单送至client端前做个记号 06/14 23:44
12F：推 IsfunHDS:资料是对的 但是是假的 怎麽办? 06/15 00:17
13F：→ chrisQQ:上面的这种情况… 没可能避免吧？ 06/15 00:30
14F：→ hirabbitt:刚刚查了一下php referer 感觉很难假造啊0.0 06/15 08:07
15F：→ hirabbitt:爬虫或机器人是怎麽做的? 06/15 08:08
16F：→ hirabbitt:CAPTCHA的答案也是存在後端吧? 06/15 08:22
17F：→ hirabbitt:资料是对的 但是是假的 这句真经典XDDD 06/15 08:26
18F：→ TonyQ:refer 是 client browser 送给 server的header... 06/15 10:33
19F：→ TonyQ:爱怎麽写就怎麽写...... 06/15 10:33
20F：→ hirabbitt:喔? 我试试 06/15 11:00
21F：→ wxyy:提供一个 Firefox add-ons 可以修改 referer: RefControl 06/15 11:07
22F：→ wxyy:我唯一用途是用在解除 wretch 挡外连图片限制....... 06/15 11:09
23F：→ chrisQQ:可以改 referer 的有 curl… 其他很多语言也都支援～ 06/15 12:53
24F：→ kenzou:不需要改啊 就header里assign一个referer就好，一般的 06/15 13:58
25F：→ kenzou:http request library referer default都是blank 06/15 13:58
26F：→ hirabbitt:所以根本不需要爬虫与机器人嘛0.0> 06/17 16:34