Dotaz: kdo (odkud) zavolal php script ?

[Jeason]

mam http://domena.tld/aplikace.php
kde je nejaky vykonavany script a pomoci parameru mu predam udaje. abych ale osetril ze to pujde jen z povolenych URL


napr. http://nejakadomena.tld/registrace.php
kde to zavolam pomoci fopen("http://domena.tld/aplikace.php?a=b&c=d","r"); (asi je jedno zda readfile apod.)

tak z http://domena.tld/aplikace.php nepoznam odkud to bylo zavolane. a nemuzu za boha prijit jak tohle rozlousknout.
potrebuju proste zjistit odkud to bylo zavolane
 

ucelem je abych zjistil z jake url adresy byl volan kod uvedeny u registrace.php.

snazil sem se pouzivat beznej referer ale ten nefunguje.

znate nějáké řešení? (čistě php)

 za Vaše odpovědi a nápady na řešení děkuji.

Odpovědi

[Mige_Amour]

Referer obsahuje pouze adresu stránky, ze které bylo na script odkázáno. Vám by nejšpíš pomohlo $_SERVER["REMOTE_ADDR"].

[Jeason]

mi povi pouze IP adresu stroje ktery pristupoval k te adrese. nikoliv url ci jmeno domeny ze ktere to bylo.

[Messa]

To zjistit nelze. Když ti přijde TCP spojení, tak v něm je prostě jen informace o IP adrese a TCP portu. Adresu skriptu by sis tam musel předávat nějak sám, třeba v dalším parametru.

Maximálně bys mohl zkusit ident, ten by ti mohl prozradit, pod kterým uživatelem je ten připojující se skript spuštěn. Pokud je na tom stroji ident vůbec provozován.

[luky]

Spravna odpoved by byla, ze za timto ucelem se pouziva hlavicka referer, kterou php-fopen neposila a pro omezeni pristupu ani neni vhodna, protoze v ni kazdy muze poslat cokoliv. Jiste jste z te knihy pod stromeckem mel radost, ale v tuto chvili jsou Vase uvahy mimo misu

[Messa]

Za tímto účelem se používá referer? Za jakým účelem? Referer se posílá, když na stránce A kliknu na odkaz na B, tak se pošle v požadavku, že jsem přišel z A. Jakou hlavičku poslat, když jsem PHP skript, nikde jsem nebyl a jen tak si chci něco odněkud stáhnout, to fakt netuším, ale referer k tomu rozhodně neslouží.

Když si stahuju něco wgetem nebo PHP skriptem ručně spuštěným v CLI, tak se v refereru podle vás posílá nebo má posílat jako co - můj login, nebo snad aktuální adresář? Je to stejný nesmysl.

Já si za svou odpovědí stojím a posílání nějakého misinterpretovaného refereru je součástí onoho "předávat nějak sám, třeba v dalším parametru".

[luky]

Za ucelem predani adresy dokumentu, ze ktereho se na dotazovany objekt pristupuje. Pokud zadny takovy neni, nebo klient tuto informaci z jakehokoli duvodu nepredava, tak se neda nic delat, protoze se to jinak zjistit neda. Navic je to hodnota z principu pouze informativni a neduveryhodna.

Viz vyse, v takovem pripade neni duvod referer posilat a neposila se (teda podle klienta, voleb).

Ano, ta cast je v poradku, ale dalsi se mi zdalo jako nesmyslne odbocovani. Dosly mi cigarety, tak popichuju

[happy barney]

referer sa posiela v http hlavičke, tú fopen nenastaví. Skúste použiť curl. Btw, fopen na url je zlé, fuj a socdem

[Jeason]

bud to hlavicku neposila nebo to taky delam spatne ....

[AraxoN]

curl_setopt($ch, CURLOPT_REFERER, "http://www.example.com/");

[Zdenek]

Hlavne je to jako zabezpeceni na nic. Referer lze podvrhnout levou zadni. Pouzijte bud tu IP adresu (povolen jen pristup z localhostu) nebo jeste lepe, skript umistete mimo document root a nacitejte ho pomoci include.

[rADOn]

Pokud jen chces aby byl skript pristupny pouze z nekolika povolenych hostu, da se to jednodusse zaridit v konfiguraci apache.

Pokud je za tim nejaka dalsi logika ktera se neobejde bez php, pak potrebujes $_SERVER["REMOTE_ADDR"] a pouzit si IP adresu. IP adresa je jedine na co je spoleh. Muzes sice zavolat nejakou variantu gethostbyaddr() (php to urcite umi, co treba $_SERVER["REMOTE_HOST"] ?) ale to je mene spolehlive a da se to zneuzit k DOS utoku (po dobu provadeni dns dotazu je fakticky zablokovane worker vlakno apace). Na oddelenem intranetu bych si to lajznul, na internetu nikdy.

V kazdem pripade znas jen hosta, tedy IP nebo nejakadomena.tld. URI volajiciho (/registrace.php) zjistis pouze pokud se bude milostive obtezovat vyplnit hlavicku Referer nebo to oznami jinak, treba pridanim nejakeho GET parametru.

[Jeason]

dostanu vzdy informace od scriptu ktery je vykonavany, nikoliv o scriptu ktery tento script volá (registrace.php).

v podstate pomoci $_SERVER se da zjisti jen uzitecna vec a to je IP adresa stroje ze ktereho jde ten pozadavek. nic vic.

[rADOn]

Pomoci $_SERVER se da zjistit jen to, co zjistit lze. Zjistit URL volajiciho lze asitak stejne jako zjistit postovni adresu cloveka ktery vam vola telefonem. To co chcete zadnym primym zpusobem udelat nejde, da se leda vymyslet deset ruzne neprimych zpusobu.

Bez presnejsi specifikace o co se vlastne jde muzu poradit jen to co radim kazdemu novopecnemu php bastliri - nauc se zaklady TCP/IP, pak o trochu vic nez zaklady HTTP a pak muzes neco programovat. Do ty doby muzes jenom bastlit.

[Jeason]

oki, diky za tvuj nazor, ale je to uz o nicem... neresi to problematiku ale hafo kecu okolo....