php - フレームを使用するときに投稿データを改ざんすることは可能ですか？

Question

フレームを使用しているサイトがあります。誰かがアドレスバーを使用してフレームの1つの投稿データを作成することはブラウザからまだ可能ですか？2つのフレームは静的で、もう1つのフレームにはpostを使用して通信するphpページがあります。そして、それは可能ではないようですが、私は確信したかったのです。

Answer 1

いいえ、アドレスバーからデータをPOSTすることはできません。そこからGETリクエストを開始するには、URLにパラメータを追加する必要があります。POST本文はこの方法では接続できません。

これに関係なく、フレーム内のページに対してPOSTリクエストをWebサーバーに送信することは非常に可能です。HTTPは、ブラウザとWebサーバーが相互に通信するためのプロトコルにすぎません。HTTPはフレームやHTMLについて何も知りません。フレーム内のページには、他のページと同じようにURIがあります。リンクをクリックすると、ブラウザはサーバーにそのURIに何かがあるかどうかを尋ねます。サーバーは、そのURIに何かがあるかどうかを確認し、それに応じて応答します。しかし、それが何を返すかはわかりません。

Firefox用のTamperDataやIE用のFiddlerなどのツールを使用すると、誰でもサーバーに送信されるHTTPリクエストを簡単にいじることができます。

Answer 2

アレイ内のデータは$_REQUEST、ソースや環境に関係なく、同等に武装していて危険であると見なす必要があります。これには、、、$_GETおよび$_POSTが含まれ$_COOKIEます。

Answer 3

POSTデータをアドレスバーに追加することはできません。

誰でもすべてのページにデータを投稿できるため、PHPコードで取得したすべてのデータを常にチェックしてサニタイズする必要があります。

ページ外のデータを信用しないでください。それをきれいにして、それをチェックしてください。

Answer 4

はい、Firebugのようなツールや、Gordonによってリストされているような、より特殊なツールを使用すれば、絶対に可能です。さらに、サイトのブラウザでそれを実行できなかった場合でも、いつでも独自のフォームを作成したり、スクリプトツールやコマンドラインツールを使用して投稿データを送信したりできます。

セキュリティをクライアントに頼ることは絶対にできません。

Answer 5

ブラウザからではないかもしれませんが、burpプロキシなどのツールを使用して、リクエストをキャッチし（いじくり回して）、提供された宛先に転送することができます。

Answer 6

質問に答えるには：いいえ、アドレスバーを使用して投稿データを送信することはできません。

ただし、投稿データを任意のURLに簡単に送信することは可能です。たとえば、cURLまたはFirefox拡張機能を使用します。したがって、POST、GET、UPDATEなどに関係なく、受信するすべてのデータを確認してサニタイズするようにしてください。

これはiFrameまたはphp固有ではないため、すべてのWebアプリケーションで考慮する必要があります。特にユーザーが送信する場合は、誰かが送信するデータが正しく、有効で、安全であることに決して依存しないでください。