http <-> https, sid, и т.н. ... параноя ...
11 отговора
534 прегледа
http <-> https, sid, и т.н. ... параноя ...
Нещо пак ме гони параноя 
Та, цялата ситуация, сайт с няколко нива на достъп от админски до анонимен. На определени нива им е разрешено да купуват, някои също се явяват и като продавачи в този сайт.
Схема за търговия:
1. Усер колектва нещата в карта
2. При чекаут се прехвърля в хттпс с сид-а си в гет.
3. формира му се ордер според сид-а който беше при пълнене на карта, киха кинти
4. връща се обратно в хттп и му възстановявам права които имал преди да отиде в хттпс.
Та параноята е следната ... ако някаква гад прихване УРЛ с което минава в хттпс тя след това без проблеми ще може да си присвои права на потребител и да се логне в сайта.
Кой как се оправя в подобна ситуация?
Та, цялата ситуация, сайт с няколко нива на достъп от админски до анонимен. На определени нива им е разрешено да купуват, някои също се явяват и като продавачи в този сайт.
Схема за търговия:
1. Усер колектва нещата в карта
2. При чекаут се прехвърля в хттпс с сид-а си в гет.
3. формира му се ордер според сид-а който беше при пълнене на карта, киха кинти
4. връща се обратно в хттп и му възстановявам права които имал преди да отиде в хттпс.
Та параноята е следната ... ако някаква гад прихване УРЛ с което минава в хттпс тя след това без проблеми ще може да си присвои права на потребител и да се логне в сайта.
Кой как се оправя в подобна ситуация?
Re: http <-> https, sid, и т.н. ... параноя ...
Не съм много сигурен че ще стане това ама ...
$sock = fsockopen("ssl://secure.example.com", 443, $errno, $errstr, 30);
fputs($sock, "Host: secure.example.com\r\n");
....
fputs($sock, "Set-Cookie: test=1");
fclose($sock);
Break The UnBreakable
$sock = fsockopen("ssl://secure.example.com", 443, $errno, $errstr, 30);
fputs($sock, "Host: secure.example.com\r\n");
....
fputs($sock, "Set-Cookie: test=1");
fclose($sock);
Break The UnBreakable
Re: http <-> https, sid, и т.н. ... параноя ...
ми то има разлика между http и https за тва ! ;-)
що не го сетнеш през фрейм ифрейм или с няколко редиректа бързи или с опън на new прозорец който проверява дали викащия го е активен и бла бла бла, ако ме разбираш
root@ro6avia#echo rm -rf * > /bin/seek_and_destroy
root@ro6avia#/bin/seek_and_destroy
що не го сетнеш през фрейм ифрейм или с няколко редиректа бързи или с опън на new прозорец който проверява дали викащия го е активен и бла бла бла, ако ме разбираш
root@ro6avia#echo rm -rf * > /bin/seek_and_destroy
root@ro6avia#/bin/seek_and_destroy