Capfly

Was ist mit Vortäuschung der IP-Adresse?

__________________
MfG
~Capfly
Jetzt NEU! Cpix & Wbits Katahlan.de - Das Browsergame

Mister Ad

Dark Guardian

Dann steht der "Hacker" nach wie vor vor dem HTTP Loginverfahren.

Ich kann mir allerdings nicht vorstellen wie ein "vortäuschen" funktionieren soll. Die Pakete der HTTP Anfrage an Server B müssten die IP Adresse von Server A als Quelladresse enthalten, dementsprechend müsste der Server B an diese IP antworten, womit die Antwort bei Server A landen würde.

Klär mich ein findiger "Hacker" auf aber eine öffentliche IP doppelt zu belegen dürfte nicht zuverlässig funktionieren.

__________________
"Alles im Universum funktioniert, wenn du nur weißt wie du es anwenden musst".

WAY_KOW

Hallo

Es gibt ja noch ein Problem

Natürlich darf nur ein fremder Server zugreifen.
Aber "menschliche" Clients sollten natürlich auch zugreifen dürfen.
Auch diese treffen eine Auswahl auf dem Server die natürlich per Get oder Post übergeben werden muss.

Daher müssen GET und POST sowohl vom eigenen Server wie auch von einem bestimmten fremden Server mit fixer IP-Adresse möglich sein.

fab

Das ist nicht "natürlich" sondern widerspricht sich. Du kannst nicht zuverlässig unterscheiden ob der Zugriff von einem Mensch oder einer Maschine gemacht wird. Was genau willst du eigentlich verhindern?

__________________
PHP Blog + Library
CSS Effects + Tools

rudygotya

Wieso bietest du nicht einfach 2 Schnittstellen an? Eine für den Server, eine für die Clients.

__________________
++++ Wieder einer ins Netz gegangen: Phishers Fritz zufrieden ++++
Blog

WAY_KOW

Ich will verhindern das Angriffe von außen kommen - versteht sich doch.

Get und Post sind generell unsicher aber kein Script kann darauf verzichten.

Ich will denach erreichen, dass alle GET und POST nur von meinem Server herstammen und von einem anderen Server mit einer fester IP

Also sozusagen

if (NOT Client AND NOT Server X) ERROR

fab

Was denn jetzt, von deinem Server oder von Clients?

Hier beschreibst du ein Intranet
Und hier etwas was es nicht gibt. Wenn Server X auf Server Y zugreift, ist er in dem Moment genauso ein Client wie dein Browser oder Server Z.

Es scheint mir so als ob du aus einem diffusen Unsicherheitsgefühl heraus irgendetwas dicht machen willst. Was Angriffsvektoren über $_GET und $_POST betrifft, konzentriere dich darauf dass deine Skripte alle eingehenden Daten ordentlich validieren und an den relevanten Stellen passend escapen.

Vielleicht willst du aber auch tatsächlich etwas anderes (wie wir bisher angenommen hatten), dann hast du aber nicht geschafft, es verständlich rüberzubringen. Der Thread ist ein einziges Ratespiel...

__________________
PHP Blog + Library
CSS Effects + Tools

tr0y

Server to Server -> IP Tunnel ( VPN ) -> Eigener IP-Bereich ( 10.x.x.x ) restriktiv per Apache sichern -> Server API
Client to Server -> Global -> Alle IPs -> Client API / Website

Fettisch.

__________________
Lasse mir ohne Anwendung von Gewalt Dinge schenken, Amazon weiß darüber bald mehr.

achtelpetit

Warum googelst Du nicht einfach mal "IP-Adresse vortäuschen"? Da gibt es einige Aufklärung und einige Rezepte.

lstegelitz

Es ist nicht verhinderbar, das die Angriffe kommen, man kann sich nur dagegen wehren. Einziger Weg der Verhinderung wäre, den Server nicht (von extern) erreichbar zu machen oder das Netzwerkkabel rauszuziehen, dann stünde er allerdings isoliert da und wäre ziemlich nutzlos.
Ansonste siehe Vorschlag tr0y.
Das würde die Angriffsfläche schon erheblich reduzieren...

__________________
Über 90% aller Gewaltverbrechen passieren innerhalb von 24 Stunden nach dem Konsum von Brot.