Security Lab



Поиск  Пользователи  Правила 
Закрыть
Логин:
Пароль:
Забыли свой пароль?
Войти  
Форум » Взлом и защита » Уязвимости
Страницы: 1
RSS
Определение IP через Java/javascript, Как изменить результат определения?
 
#1
Это нравится:0Да/0Нет
04.02.2008 18:36:29
Допустим, сайт проверяет принадлежность пользователя к ораниченной группе пользователей через Java/javascript. Допустим, известен список разрешённых IP-адресов. Каким образом можно заставить скрипт считать, что наш IP относится к списку разрешённых?
"Красота - как специи, которые хорошую еду делают ещё вкуснее, а без еды есть невозможно."
 
 
 
#2
Это нравится:0Да/0Нет
05.02.2008 10:06:43
1. по идеи Java script обрабытывается на клиенте а серверу отпровляет результат, ппробуйте отснифать трафик.
2. Иногда помогает подмена http загаловка Client-ip.
3. Вообше трудно сказать не видя код.
 
 
 
#3
Это нравится:0Да/0Нет
06.02.2008 09:04:15
Код не известен. Вычисленный IP и передача его на сервер может быть зашифрован.

Искать каким методом он там передаётся - не очень хорошая идея. Ведь интересует больше не следствие (вычисление IP клиента), а причина (как происходит вычисление). Может, есть универсальный способ подмены? Ведь наверняка функции вычисления IP стандартизированы
"Красота - как специи, которые хорошую еду делают ещё вкуснее, а без еды есть невозможно."
 
 
 
#4
Это нравится:0Да/0Нет
06.02.2008 13:55:04
Цитата
Shanker пишет:
Код не известен
Явы?!
 
 
 
#5
Это нравится:0Да/0Нет
06.02.2008 14:28:19
Насколько мне известно Java script выполняется на клиенете и исходник скрыть не реально, возможно вы спутали Javascript c Java.
Javascrip самая не надежная зашита из возможных.
Тут происходит так ваш браузер считывает данные о вашем ип с помошью Javascript затем передает их на сервер, возможно зашифорованные.
Изсходя из этого можно найти код который считывает данные по ип и отправляет запрос, затем составить потдельный запрос и средствами того же php + socket отправить поддельный.
Если вы в Javascrip не рубете есть и другой вариант, отснифайте что отпровляет ваш браузер серверу найдите там нужный запрос, Если Javascrip определяет ваш ip то он как то отправляет его серверу это точно, и подменить его не должно составить особого труда. Даже если запрос зашифрован то вы точно также можете зашифровать свой так как олгаритм шифрования вам доступен.

Возможно вы ошиблись и определение происходит не спомошью Javascript тогда есть такие варианты.
1. прокси
2. Подмена заголвков Cleint-ip
3. Подмена ip пакета в этом вам поможет perl + rawsocket В этом случае вы сможете отправить на сервер все что угодно но ответа не получите))
 
 
 
#6
Это нравится:0Да/0Нет
06.02.2008 18:33:08
Код не известен, т.к. сайта нет: просто привожу теоритическую ситуацию. Вспомнилось, что возможно определение через java/javascript. Вот и возникли вопросы: как там чё работает и как сфабриковать данные :)

Честно говоря, по javascript знания кое-какие есть, а про java - вообще ничего не знаю. Так что поправляйте меня, если я какую-нить ахинею скажу :)

Цитата
ZER0   пишет:
Изсходя из этого можно найти код который считывает данные по ип и отправляет запрос
А разве не может быть ситуации, когда код реализован в виде функций в отдельном файле типа test.js, который настройками web-сервера нельзя просматривать, можно только исполнять, когда обращаешься к странице, которая файл этот подгружает?
"Красота - как специи, которые хорошую еду делают ещё вкуснее, а без еды есть невозможно."
 
 
 
#7
Это нравится:0Да/0Нет
06.02.2008 22:15:00
Меня озадачивает сочетание "java/javascript"... Надеюсь автор темы всё-таки понимает, что это 2 разные вещи. И нельзя ли уточнить, если уровень абстракции позволяет, что имеется ввиду под "java"? Если апплеты - так это тоже клиентская технология (как и javascript), если же сервлеты или JSP (Java Server Pages)- то ip адрес там передаётся скорее всего через переменные окружения от сервера.
 
 
 
#8
Это нравится:0Да/0Нет
07.02.2008 10:50:28
Цитата
А разве не может быть ситуации, когда код реализован в виде функций в отдельном файле типа test.js, который настройками web-сервера нельзя просматривать, можно только исполнять, когда обращаешься к странице, которая файл этот подгружает?

повторяю еше раз Java script выполнятся на кленте - что это значит.
Это значит что ваш браузер выполняет Javascript код, чтобы его выполнить браузер должен получить этот код,
если браузер может получить этот код ты и вы можете его прочитать иначе быть не может ))
 
 
 
#9
Это нравится:0Да/0Нет
07.02.2008 18:24:27
ZER0,
Понял, спасиба

Цитата
Soldier of Fortune пишет:
Меня озадачивает сочетание "java/javascript"... Надеюсь автор темы всё-таки понимает, что это 2 разные вещи
Да, я понимаю, что это 2 разные вещи. Хотя про java web-кодинг ничего не знаю толком...

Цитата
Soldier of Fortune пишет:
Если апплеты - так это тоже клиентская технология (как и javascript), если же сервлеты или JSP (Java Server Pages)- то ip адрес там передаётся скорее всего через переменные окружения от сервера.
Ага, понял. Значит, если апплеты - можно тоже исходный код функций посмотреть и определить как они передаются. В противном случае определение через переменные окружения. В этом случае использовать прокси анонимный, который не выдаёт IP клиента. Всё верно я понял?
"Красота - как специи, которые хорошую еду делают ещё вкуснее, а без еды есть невозможно."
 
 
 
#10
Это нравится:0Да/0Нет
07.02.2008 20:30:30
Да. Но исходный код апплетов так просто не посмотришь - нужно осуществить декомпиляцию. Кроме того не думаю что ip-адрес будет передаваться с клиентской стороны будь то java-апплет или javascript - никто так не делает. К тому же сомневаюсь что средства javascript позволяют определить ip-про такое не слышал и не сталкивался. IP-адрес определяется веб-прложением (в данном случае сервлетом или jsp), которое выполняется на стороне сервера. Определение происходит через переменные окружения (предопределённые переменные или как там ещё в java это называется). Некоторые эти переменные можно подменить удалённо - смотря из какой берётся значения ip. Ну или прокси... Вообще рекомендую посмотреть как работает определение ip в каком-нибудь сервлете/JSP - всё станет ясно. На scriptsearch.com точно есть раздел по java (jsp и сервлеты в частности).
 
 
 
#11
Это нравится:0Да/0Нет
07.02.2008 21:28:19
Цитата
Soldier of Fortune пишет:
Кроме того не думаю что ip-адрес будет передаваться с клиентской стороны будь то java-апплет или javascript - никто так не делает
Ну почему же? Как раз для того, чтоб определить IP прям на машине пользователя - этим обойдётся обман, применяемый пользователями, когда они используют прокси. Во всяком случае, я слышал о таком, но не видел...
А то, что видел - там javascript получал данные из переменных окружения...
"Красота - как специи, которые хорошую еду делают ещё вкуснее, а без еды есть невозможно."
 
 
 
#12
Это нравится:0Да/0Нет
08.02.2008 11:33:21
Цитата
Ну почему же? Как раз для того, чтоб определить IP прям на машине пользователя - этим обойдётся обман, применяемый пользователями, когда они используют прокси. Во всяком случае, я слышал о таком, но не видел...
А то, что видел - там javascript получал данные из переменных окружения...

Тоже можно сказать и о Flash в смысле Action Script.
Самый простой выход отключать плагины, но вот с аджаксом тогда проблеммы будут )))
 
 
 
#13
Это нравится:0Да/0Нет
08.02.2008 11:42:26
Цитата
ZER0   пишет:
но вот с аджаксом тогда проблеммы будут )))
Вы про Ajax? Если да то проблемм не будет, так как в основном сейчас используетеся JsHttpRequest или XmlHttpRequest так что оного нужна только Javascript
 
 
 
#14
Это нравится:0Да/0Нет
08.02.2008 16:36:25
Цитата

Ну почему же? Как раз для того, чтоб определить IP прям на машине пользователя - этим обойдётся обман, применяемый пользователями, когда они используют прокси. Во всяком случае, я слышал о таком, но не видел...
А то, что видел - там javascript получал данные из переменных окружения...

Это не тянет даже на меру предосторожности, не то что на защиту - отключить javascript в настройках проще простого.

Цитата
так что оного нужна только Javascript
Точно.
 
 
 
#15
Это нравится:0Да/0Нет
08.02.2008 18:31:11
Цитата
Самый простой выход отключать плагины, но вот с аджаксом тогда проблеммы будут )))

Цитата
Вы про Ajax? Если да то проблемм не будет, так как в основном сейчас используетеся JsHttpRequest или XmlHttpRequest так что оного нужна только Javascript

Мне казалось что Javascript тоже плагин и его тоже можно отключить, после этого ajax работать перестанет ((
 
 
 
Страницы: 1
Читают тему