Подмена реферера - Referer spoofing

В HTTP сеть, как правило, на Всемирная паутина, подмена реферера (на основе канонизированного[1] орфографическая ошибка "реферер") отправляет неверный референт информация в HTTP-запрос чтобы предотвратить интернет сайт от получения точных данных о личности страница в Интернете ранее посещенный пользователем.

Обзор

Подмена реферера обычно выполняется для конфиденциальность данных причины, в тестирование или для запроса информации (без подлинных полномочий), которую некоторые веб-серверы может предоставлять только в ответ на запросы с определенными HTTP-референтами.

Чтобы улучшить их Конфиденциальность, индивидуальный браузер пользователи может заменить точные данные реферера неточными данными, хотя многие просто подавляют отправку их браузером любых данных реферера. Отправка информации без реферера технически не является спуфингом, хотя иногда также описывается как таковая.

При тестировании программного обеспечения, систем и сетей, а иногда и тестирование на проникновение спуфинг реферера часто является лишь частью более крупной процедуры передачи как точных, так и неточных, а также ожидаемых и неожиданных входных данных в HTTPD система тестируется и наблюдает за результатами.

Хотя многие веб-сайты настроены для сбора информации о реферере и обслуживания различного контента в зависимости от полученной информации о реферере, полагаясь исключительно на информацию о реферере HTTP для аутентификация и разрешение цели не является подлинным компьютерная безопасность мера. Информация о реферере HTTP может свободно изменяться и перехватываться, и не является пароль, хотя некоторые плохо настроенные системы воспринимают это как таковое.

Заявление

Некоторые веб-сайты, особенно многие сайты с изображениями, используют информацию о реферере для защиты своих материалов: изображения обслуживаются только браузерами, поступающими с их веб-страниц. Кроме того, сайт может захотеть, чтобы пользователи переходили по страницам с рекламой, прежде чем получить прямой доступ к загружаемому файлу - использование ссылающейся страницы или информации о ссылающемся сайте может помочь сайту перенаправить неавторизованных пользователей на целевую страницу, которую сайт хотел бы использовать.

Если злоумышленники узнают об этих утвержденных рефералах, что часто тривиально, поскольку многие сайты следуют общему шаблону,[2] они могут использовать эту информацию в сочетании с этим, чтобы эксплуатировать и получить доступ к материалам.

Спуфинг часто позволяет получить доступ к контенту сайта, где веб-сервер сайта настроен на блокировку браузеров, которые не отправляют заголовки рефералов. Владельцы веб-сайтов могут сделать это, чтобы запретить хотлинкинг.

Его также можно использовать для обхода элементов управления проверкой рефереров, которые используются для уменьшения Подделка межсайтовых запросов атаки.

Инструменты

Существует несколько программных инструментов, облегчающих подмену реферера в веб-браузерах. Некоторые из них являются расширениями популярных браузеров, например Mozilla Firefox или же Internet Explorer, который может предоставлять возможности для настройки и управления URL-адресами реферера для каждого веб-сайта, который посещает пользователь.

Другие инструменты включают прокси-серверы, которому человек настраивает свой браузер для отправки всех HTTP-запросов. Затем прокси пересылает различные заголовки на предполагаемый веб-сайт, обычно удаляя или изменяя заголовок реферера. Такие прокси-серверы также могут создавать проблемы с конфиденциальностью для пользователей, поскольку они могут бревно активность пользователя.

Смотрите также

Примечания

  1. ^ Горли, Дэвид; Тотти, Брайан; Сэйер, Марджори; Аггарвал, Аншу; Редди, Сайлу (27 сентября 2002 г.). HTTP: полное руководство. ISBN  9781565925090.
  2. ^ Сиеклик, Борис (март 2016 г.). «Оценка атаки TFTP DDoS с усилением». Кибер-академия, Эдинбургский университет Напьера.