Avatar billede jensen2005 Nybegynder
19. oktober 2010 - 20:31 Der er 7 kommentarer og
2 løsninger

Fra intranet til internet

Hej Eksperter

Håber i vil hjælpe mig med den her:

0. På intranettet klikker brugeren på et link http://adgang.intranet.dk/adgang.aspx

1. adgang.aspx på  intranettet indeholder en kode noget lignende det her:
Response.Redirect("http://www.internet.dk/fil.aspx?id=hemmeligt_id"); (hemmeligt_id er nyt hver gang).

2. Ude på internettet "spørger" fil.aspx  om id=hemmeligt. Hvis ja laves en session Session["user"]="ok";  og  laver også Response.Redirect("sikkerside.aspx");

3. sikkerside.aspx tjekker at  Session["user"]="ok";  .

Kan bruger på nogen måde opsnappe siden(http://www.internet.dk/fil.aspx?id=hemmeligt_id)
med parameteren ?id=hemmeligt_id

Jeg kan ikke finde den i browser-history og sådan jeg har forstået det kan brugeren ikke opsnappe parameteren.

Venlig hilsen
Jensen2005
Avatar billede arne_v Ekspert
19. oktober 2010 - 20:39 #1
Brugeren kan sagtens opsnappe det id.

F.eks. med en netvaerks sniffer.
Avatar billede jensen2005 Nybegynder
19. oktober 2010 - 20:50 #2
Hej arne_v

Men det er ikke det man vil kalde "let" for en "almindelig" bruger eller?

Brugerne er i det her tilfælde ikke superbrugere. De skal bare for en god ordens skyld ikke kunne snuppe id'et og sende det videre.

Venlig hilsen
Jensen2005
Avatar billede arne_v Ekspert
19. oktober 2010 - 21:16 #3
Folk har smarte nevoer som ved alt om HTTP snifning.

Der er ogsaa andre metoder.

Jeg mener at man kan faa FireFox plugin som tracer den slags.

Hvis den anden redirect er meget langsom, saa kan de na at aflaese den manuelt.

O.s.v..

Det er en fundamentalt usikker maade.

Security by obscurity.

Jeg vil bestemt fraarde brugen af det.
Avatar billede bkp Nybegynder
19. oktober 2010 - 22:38 #4
Se her hvor nemt det er ;-)

http://www.youtube.com/watch?v=saD3zSnUwXM
Avatar billede jensen2005 Nybegynder
19. oktober 2010 - 22:50 #5
Hvordan vil man så gøre?

Tror jeg gemmer id'et i database så det kun kan bruges en gang.
Avatar billede arne_v Ekspert
20. oktober 2010 - 03:33 #6
At sætte det op så id kun kan bruges engang er en mulighed.

En anden er hvis der er logget ind på intranet serveren at lave et callback (gennem firewall) til intranet serveren og checke om brugeren er der og er den rigtige bruger.
Avatar billede jensen2005 Nybegynder
20. oktober 2010 - 07:59 #7
Tak for input - sæt et svar til point :-)
Avatar billede arne_v Ekspert
20. oktober 2010 - 15:21 #8
svar
Avatar billede arne_v Ekspert
20. oktober 2010 - 15:22 #9
Overvej ogsaa om hele ideen er umagen vaerd. Eller om folk bare kan logge ind paa det internet site.
Avatar billede Ny bruger Nybegynder

Din løsning...

Tilladte BB-code-tags: [b]fed[/b] [i]kursiv[/i] [u]understreget[/u] Web- og emailadresser omdannes automatisk til links. Der sættes "nofollow" på alle links.

Loading billede Opret Preview
Kategori
Kurser inden for grundlæggende programmering

Log ind eller opret profil

Hov!

For at kunne deltage på Computerworld Eksperten skal du være logget ind.

Det er heldigvis nemt at oprette en bruger: Det tager to minutter og du kan vælge at bruge enten e-mail, Facebook eller Google som login.

Du kan også logge ind via nedenstående tjenester