Обратитесь к спуфингу
 | Эта статья нуждается в дополнительных цитатах для проверки . ( январь 2021 г. ) |
В HTTP сетях , обычно во Всемирной паутине , подмена реферера (на основе канонизированного [1] неправильное написание слова « реферер ») отправляет неверную о реферере информацию в HTTP-запросе , чтобы помешать веб-сайту получить точные данные об идентичности веб-страницы, ранее посещенной пользователем.
Обзор
[ редактировать ]Подмена реферера обычно выполняется из соображений конфиденциальности данных , при тестировании или для запроса информации (без подлинных полномочий), которую некоторые веб-серверы могут предоставлять только в ответ на запросы конкретных HTTP-рефереров.
Чтобы улучшить свою конфиденциальность , отдельные браузера пользователи могут заменять точные данные о рефералах неточными данными, хотя многие просто подавляют отправку любых данных о рефералах своим браузером. Отправка информации о реферере технически не является подделкой, хотя иногда ее также называют таковой.
При тестировании программного обеспечения, систем и сетей, а иногда и при тестировании на проникновение , подмена реферера часто является лишь частью более широкой процедуры передачи как точных, так и неточных, а также ожидаемых и неожиданных входных данных в HTTPD и наблюдения за результатами. тестируемую систему [2]
Хотя многие веб-сайты настроены на сбор информации о реферере и предоставление различного контента в зависимости от полученной информации о реферере, использование исключительно информации о реферере HTTP для целей аутентификации и авторизации не является настоящей мерой компьютерной безопасности . Информация HTTP-реферера свободно изменяется и перехватывается и не является паролем , хотя некоторые плохо настроенные системы рассматривают ее как таковую.
Приложение
[ редактировать ]Некоторые веб-сайты, особенно многие сайты хостинга изображений, используют информацию о реферале для защиты своих материалов: изображения обслуживаются только браузерами, пришедшими с их веб-страниц. Кроме того, сайт может захотеть, чтобы пользователи переходили по страницам с рекламой, прежде чем получить прямой доступ к загружаемому файлу — использование ссылающейся страницы или информации ссылающегося сайта может помочь сайту перенаправить неавторизованных пользователей на целевую страницу, которую сайт хотел бы использовать.
Если злоумышленники узнают об этих одобренных реферерах, что часто тривиально, поскольку многие сайты следуют общему шаблону, [3] они могут использовать эту информацию в сочетании с ней для использования материалов и получения доступа к ним.
Подмена часто позволяет получить доступ к содержимому сайта, если веб-сервер сайта настроен на блокировку браузеров, которые не отправляют заголовки реферера. Владельцы веб-сайтов могут сделать это, чтобы запретить использование хотлинков .
Его также можно использовать для обхода элементов управления проверкой рефереров, которые используются для смягчения атак подделки межсайтовых запросов .
Инструменты
[ редактировать ]Существует несколько программных инструментов, облегчающих подмену реферера в веб-браузерах. Некоторые из них представляют собой расширения для популярных браузеров, таких как Mozilla Firefox или Internet Explorer , которые могут предоставлять возможности для настройки и управления URL-адресами перехода для каждого веб-сайта, который посещает пользователь.
Другие инструменты включают прокси-серверы , на которые человек настраивает свой браузер для отправки всех HTTP-запросов. Затем прокси-сервер пересылает различные заголовки на целевой веб-сайт, обычно удаляя или изменяя заголовок реферера. Такие прокси-серверы также могут создавать проблемы конфиденциальности для пользователей, поскольку они могут регистрировать действия пользователя.
См. также
[ редактировать ]- Реферальный спам – вид спама, направленный на поисковые системы.
Примечания
[ редактировать ]- ^ Горли, Дэвид; Тотти, Брайан; Сэйер, Марджори; Аггарвал, Аншу; Редди, Сайлу (27 сентября 2002 г.). HTTP: Полное руководство . «О'Рейли Медиа, Инк.». ISBN 9781565925090 .
- ^ «Стандарт только для HTTPS — Введение в HTTPS» . https.cio.gov . Проверено 01 мая 2021 г.
- ^ Сиеклик, Борис (март 2016 г.). «Оценка усиления атаки TFTP DDoS». Киберакадемия Эдинбургского университета Нейпира .