Frage zu Sicherheit

[DerDilettant]

Hallo!

Bin immer noch dabei, mein "Gästebuch" zu basteln. Die php-Seite, in der die Formulardaten ausgewertet werden und die Einträge in die MySQL-Tabelle vorgenommen werden, wollte ich so sicher wie möglich machen. Neben solchen Sachen wie mysql_real_escape_string() hatte ich noch folgende Idee um Cross-Scripting (nennt man das so?) zu verhindern:

$url=parse_url($_SERVER['HTTP_REFERER']);

if($url["path"] != "http://www.meineseite.de/gb/formular.php")
{die ("Ein Direktzugriff auf diese Seite ist nicht möglich!");} 

Wie sicher ist sowas um zu gewährleisten dass der Aufruf der Auswertungs-Datei nur über die Eintragsformular-Seite erfolgen kann? Und macht das an sich überhaupt Sinn?

vielen Dank für eure Antworten,

der Dilettant

[penizillin]

hat keinen sinn und keine wirksamkeit.
hat wenig mit cross site scripting (xss) zu tun.

wenn direktzugriff verhindern, dann versuche es mit einer session.

[Arni]

ich schliesse mich an

Session ist immer gut, vorallem wen diese noch in der DB gespeichert wird.

[wahsaga]

Original geschrieben von Arni
Session ist immer gut, vorallem wen diese noch in der DB gespeichert wird.

OffTopic:

---

diese art von unbedarftem "doppelt hält besser"-unfug kann ich langsam auch nicht mehr hören ...

---

[Shurakai]

Original geschrieben von Arni
ich schliesse mich an

Session ist immer gut, vorallem wen diese noch in der DB gespeichert wird.

Ne, ist nicht immer das beste, weil vermutlich nicht so performant.

@topicstarter: Du solltest einfach checken ob die Eingaben legal sind bzw. der Besucher Zugriff auf die Seite hat (wenn es Situationen gibt in denen er keinen hat).
Das ist aber ansich kein XSS. Schau mal hier: http://www.heise.de/security/artikel/38658/0

[jahlives]

if($url["path"] != "http://www.meineseite.de/gb/formular.php")

Das dürfte überhaupt nicht helfen, denn wer oder was hindert mich daran
mir ein Form zu basteln und die Daten mit einem gefälschten Referer an dein Script zu senden ?
Ich schliesse mich allen Vorpostern an und denke auch das die
praktikabelste Lösung die Verwendung von Sessions sein dürfte. Allerdings
muss die Session, wenn keine Cookies aktzeptiert werden, an den Client
übermittelt werden --> könnte also ersnifft werden.

Gruss

tobi

[wahsaga]

Original geschrieben von jahlives
Allerdings muss die Session, wenn keine Cookies aktzeptiert werden, an den Client übermittelt werden --> könnte also ersnifft werden.

das könnte der keks genauso ...

[penizillin]

<exaggerate>...drum nehme man ssl...</exaggerate>

soll's online-banking werden, oder doch nur ein gästebuch?