網頁安全性問題

房東：新手
發表時間：2007-03-16

上一篇「防止盜連」文章中，有說到防止網頁被直接POST資料偽造成績的解決方案，但這兩天看到上線中的萊德活動網頁又有人在鑽漏洞啦，後來查了一下才發現，原來Referer值是可以自行修改的，因為該值其實是由瀏覽器送出，以Firefox來說，可以安裝「RefControl」這個Extension達到，這麼一來檢查Referer的機制就失效啦...。
後來換了另一種方式，在首頁先建立一組Session ID，並紀錄其User Agent、IP，遊戲結束寫入成績資料之前，判斷這三組資料是否與首頁取得的相符。
main:

session_start();
$ip = getenv(REMOTE_ADDR);
$agent = $_SERVER['HTTP_USER_AGENT'];
$code = base64_encode($_SESSION[PHPSESSID].$ip.$agent);
if (!$COOKIE[encode]) {
setcookie('encode', $code);
}

before write score:

session_start();
$ip = getenv(REMOTE_ADDR);
$agent = $_SERVER[HTTP_USER_AGENT];
$sid = $_SESSION[PHPSESSID].$ip.$agent;
if (base64_decode($_COOKIE[encode]) != $sid) {
echo "";
exit();
}

贊助網站

廣利不動產-板橋在地生根最實在--新板特區指名度最高、值得您信賴的好房仲
完整房訊，房屋、店面熱門精選物件，廣利不動產優質仲介，房屋租賃、買賣資訊透明，交易真安心！
廣利不動產-新板特區指名度最高、值得您信賴的好房仲
您的托付,廣利用心為您服務

　共 0 人回應

姓名：

佈告內容：

其他選項: