Telnet to Apache - security question

[Timewind]

mi hat senc harc, ov a arnchvel???

Linux, Apache 2, standard config.

Telnet 123.211.111.156 80

Server: bla bla bla ....

you type GET "http://money.com/register.cgi?do=ok" HTTP/1.1 etc.etc.
(mi xosqov dzerov havaqum es amboxj zapros@, et tvum browser type, referer, etc.), kam script es grum vor inq@ tenc baner ani.

itogum money.com-i apache-i access.log-um tenum es vor 123.211.111.156 IP-ic attack a.

hima, vonc filtrel et zaprosner@????
vonc kareli a vsyo taki imanal Telnet-ov a kpnum, te iroq real browsern a???

thanx ahead.

[acid]

Variant chka. Ete telnetic xelqin mot zaprosa gnum, nman browseric ekoxin, voch mi dzev inchqan gitem chka. Kareli e menak entadrel.

[nm]

Originally Posted by Timewind

mi hat senc harc, ov a arnchvel???

Linux, Apache 2, standard config.

Telnet 123.211.111.156 80

Server: bla bla bla ....

you type GET "http://money.com/register.cgi?do=ok" HTTP/1.1 etc.etc.
(mi xosqov dzerov havaqum es amboxj zapros@, et tvum browser type, referer, etc.), kam script es grum vor inq@ tenc baner ani.

itogum money.com-i apache-i access.log-um tenum es vor 123.211.111.156 IP-ic attack a.

hima, vonc filtrel et zaprosner@????
vonc kareli a vsyo taki imanal Telnet-ov a kpnum, te iroq real browsern a???

thanx ahead.

1 вариант - забить ))
2 вариант - кормить браузер хитрой комбинацией какого-то random seed-a и хитрым js скриптом, который на этом seed-e + локально сгенерированое число умеет считать крипто функцию. далее отправлять это обратно на сервер. если та-же криптофункция на сервере дала другой результат - клиент посылается.
3 вариант - перевесить на SSL любителей telneta отсечет, а вот скрипты - фиг вам.


вариант 2 после reverse engineering-а javascript-а тоже никому нах не нужен. поэтому вариант 1 )))

[Timewind]

Originally Posted by acid

Variant chka. Ete telnetic xelqin mot zaprosa gnum, nman browseric ekoxin, voch mi dzev inchqan gitem chka. Kareli e menak entadrel.

indz el a tenc tvum, vonc mtacum em, chi linum.

miqich karecel em filtrem. mi hat module uni, dranov compile areci, conf-i mej avelacrel em, vor yerb anhajox REFERER kam USER_AGENT a tenum tshum a.
bayc mnacac@ anxusapeli a, chem karum. u yavni tenum em im mot-i access.log-i mej vor kpel en u cherez im apache urishnerin GET/POST zapros en uxarkel... isk iranq mtacum en te mer IPic en xaxer tali ...

[nm]

Originally Posted by Timewind

indz el a tenc tvum, vonc mtacum em, chi linum.

miqich karecel em filtrem. mi hat module uni, dranov compile areci, conf-i mej avelacrel em, vor yerb anhajox REFERER kam USER_AGENT a tenum tshum a.
bayc mnacac@ anxusapeli a, chem karum. u yavni tenum em im mot-i access.log-i mej vor kpel en u cherez im apache urishnerin GET/POST zapros en uxarkel... isk iranq mtacum en te mer IPic en xaxer tali ...

у тебя криво настроеный апач )))) если он через себя позволяет кому попало отправлять запросы.

нормальный апач говорит - пшел на 404 или 503 или еще куда. и юзер идет.
а с твоего сервера могут запрашивать все что угодно, вплоть до ввп.ру ))) , это интернет )))

[Timewind]

Originally Posted by nm

у тебя криво настроеный апач )))) если он через себя позволяет кому попало отправлять запросы.

нормальный апач говорит - пшел на 404 или 503 или еще куда. и юзер идет.
а с твоего сервера могут запрашивать все что угодно, вплоть до ввп.ру ))) , это интернет )))

himnakanum asum a 404, gde to 95%
bayc nayum em, mek u mej 200, 302 el a veradarcrel...

[nm]

Originally Posted by Timewind

himnakanum asum a 404, gde to 95%
bayc nayum em, mek u mej 200, 302 el a veradarcrel...

так, тебе чего нужно, еще раз объясни )
чтоб у тебя чужие урл-ы не запрашивали?
или чтоб не submitiли всякую хрень ?

кстати , хорошая защита от хрени - все хранить в сессии , передавать только необходимые данные (измененийа) обыкновенно