Groups | Search | Server Info | Keyboard shortcuts | Login | Register [http] [https] [nntp] [nntps]


Groups > it.comp.www.php > #20632

Re: Una cosa curiosa.

From Alessandro Pellizzari <shuriken@amiran.it>
Newsgroups it.comp.www.php
Subject Re: Una cosa curiosa.
Date 2016-04-09 21:53 +0000
Message-ID <dmtbvdFa7ohU3@mid.individual.net> (permalink)
References <ndtbe7$2ucv$1@adenine.netfront.net> <dmrnfgFrmd1U2@mid.individual.net> <neakvf$akl$1@adenine.netfront.net>

Show all headers | View raw


Il Sat, 09 Apr 2016 12:19:28 +0200, Alex ha scritto:

> campi: $_SERVER["HTTP_X_FORWARDED_FOR"] oppure $_SERVER["REMOTE_ADDR"]
> o ancora $_SERVER["HTTP_CLIENT_IP"] che sono le aree dell' IP chiamante.

Tutti i campi HTTP_* sono facilmente modificabili.

L'unico modo che mi viene in mente è un possibile bug nel parser degli 
header di PHP. Per esempio, se un hacker aggiungesse un header tipo

^H^H^H^H^HREMOTE_ADDR: blablabla

(dove ^H è il control-code per "backspace")

e PHP lo trasformasse in 

$_SERVER['HTTP_^H^H^H^H^HREMOTE_ADDR'] = 'blablabla'

dopo che ha messo REMOTE_ADDR in quell'array, e interpretasse la stringa 
risultante, potrebbe sovrascrivere il valore vero.

È l'unico modo che mi viene in mente, e sono un po' terrorizzato al 
pensiero che possa essere vero. :D

Bye.


Back to it.comp.www.php | Previous | NextPrevious in thread | Next in thread | Find similar | Unroll thread


Thread

Una cosa curiosa. Alex <tommaso5ita@yahoo.it> - 2016-04-04 11:16 +0200
  Re: Una cosa curiosa. Alessandro Pellizzari <shuriken@amiran.it> - 2016-04-09 06:57 +0000
    Re: Una cosa curiosa. Alex <tommaso5ita@yahoo.it> - 2016-04-09 12:19 +0200
      Re: Una cosa curiosa. fmigliori <fmigliori@gmail.com> - 2016-04-09 06:40 -0700
        Re: Una cosa curiosa. Alex <tommaso5ita@yahoo.it> - 2016-04-10 11:15 +0200
          Re: Una cosa curiosa. Alessandro Pellizzari <shuriken@amiran.it> - 2016-04-10 09:44 +0000
            Re: Una cosa curiosa. Alex <tommaso5ita@yahoo.it> - 2016-04-11 13:10 +0200
      Re: Una cosa curiosa. Alessandro Pellizzari <shuriken@amiran.it> - 2016-04-09 21:53 +0000
        Re: Una cosa curiosa. Leonardo Serni <lserni@gmail.com> - 2016-04-10 00:36 +0200
    Re: Una cosa curiosa. g4b0 <email_sul_mio_sito@che_leggi_in.firma> - 2016-04-11 15:52 +0200

csiph-web