리퍼러같은건 조작 간단합니다 --;

세션체크는 어떨까요? 그것도 뚫릴 수 있나요?

세션만 사용하면 뚤리고않뚤리고를 떠나 문제는
로그인 한 사람일경우에는 소스를 그대로 볼수 있죠.
레퍼러를 사용한 이유가 
페이지에 삽입되서 사용될때만 정상적으로 스크립트를 동작하게 하고
직접 입력하거나 파일을 바로 다운받을때 정상적으로 동작하지 않게 하려고 한겁니다.
둘다 사용하면 되겠네요.

라이선스는.... ㅡㅡ;;;

밥먹으러 간다고 급하게 리플단다고 제생각을 제대로 말 못했군요.
그래서 리플 수정합니다.

//불친절한 코더
냉소적인 분이시군요.
잘못된게 있으면 지적을 해주십시오.
댁이 올린 비웃는듯한 리플들보면 과히 기분이 좋지 않습니다.

//앙골라해커
소스를 못보셨을때 레퍼러로 체크한다는거 아실수 있나요?
그리고 레퍼러+서버환경변수 혹은 get 으로 받은 변수를 뒤섞어서 인증해버리면
그것도 쉽게 알수 있으신지?
소스를 알면서 뚫지 못하는 프로그램이 얼마나 되는지요.

//낭망백수
글올리다 보니깐 라이센스머가 있길래 
라이센스 없는거 찾다보니 GPL 로 했습니다.
그것도 문제가 됩니까?

제가 저 소스 올려놓고 맘에 걸려하는 부분은 두가지입니다.
하나는 완전히 임시 인터넷 파일에 저장되지 않는것인지
그리고 하나는 처리되고 있는 자바스크립트를 분석 혹은 출력해주는 프로그램이 있는지
이 두가지입니다.
먼가 대단한건지 알고 오셨다가 실망들 하신것 같네요. 
이래가지고 겁나서 글올리겠습니까

웹서버의 인증은 거의다 리퍼러, 쿠키, 세션 이라고 생각합니다. 저도 뚫을때 저거 부터 조작하죠.
그래서 앙골라해커님이 말슴하신거 같네요. (인제 리퍼러보안은 보안측에도 못낍니다.)
와이즈번님 말씀대로 레퍼러+서버환경변수 혹은 get 으로 받은 변수를 뒤섞어서 인증하는 소스를
올려주셨으면 더 좋았겠습니다.  <script src='*.js' 로 해야된다는 고정관념&#46468;문에 (제가..) 
저렇게 하는 방법은 미쳐 생각 못했을수 있겠네요 . 센스 있는 팁입니다. 너무 화내지 마시길

감사합니다. ㅠㅡㅠ

리퍼러는 어떻게 뚫죠... 예전에 이와 비슷한 보안조치를 한 적이 있는데 궁금합니다.

와이즈번 // 앗... 진지하게 선택하신 거군요? 다른 게시물엔 없길래 어떻게 하셧는지 궁금했을 따름입니다.
꾸벅~!

죄송합니다. 괜한 화를 낸거 같네요.
글올릴때 보니깐 라이센스 관련해서
GPL,LGPL,GFDL,COPYRIGHT,PHPschool.com
선택하는게 있길래 라이센스 없는걸 찾다보니 그렇게 됬습니다.

아..한가지 생각나는게 있는데 웹서비스 관련 종사자들 중에서 어떻게 리퍼러 조작이 가능하죠? 라고 묻는 분들이 계십니다.  POST로 쏘면 다됩니다. 스쿨 찾아보셔도 나옵니다요.

현재로써, js, css를 보안하기는 많이 힘듭니다.

와이즈번님이 쓰신방법을 하더라도..

http://(script.php가 있는 홈페이지주소 및경로)/script.php

하면, js소스 다 나와요...

그리고, 만약 index페이지에서 script.php 파일을 사용해야 할 경우는 어떻하죠..?

그냥 접속하면 레퍼러가 없어서 js 소스 않나오도록 한건데 먼가 다른 방법이 있는지요?
index 에서도 그냥 
<script language="javascript" type="text/javascript" scr="script.php"></script>
이코드 넣으면 사용됩니다만?

아..그니깐.
index 페이지에서 (첫로딩페이지) script.php 에서 불러올 js 파일을 써야 할 경우가 생기자나요..
그리고, 비슷한 경우로..

http://와이즈번님사이트/Board/List.php 에서 script.php가 꼭 필요합니다.
그런데, 만약 접속자가..
url로 바로 접근해 버릴경우는요..?

ㅎㅎ;;

흐미.. 저 레퍼러를 그 레퍼러로 생각하셨네요.
하긴 다시보니깐 그럴수 밖에요. 아.. 이런.. ㅠㅡㅠ
script.php 에 쓰인 레퍼러 함수는요.
다른 페이지에서 script.php 로 이동해서 생긴 레퍼러가 아니구요.
test.htm 파일에 
<script src="script.php"></script>
코드가 들어 있으면요.
레퍼러가 test.htm 라고 찍히거든요.
그러니깐.. 부모창 주소가 찍힌다고 해야하나요?

아, 그렇군요~!

저는, script 에서 파일을 땡겨도...
본문 파일로 인식하는줄 알았거든요..

그니깐, include 처럼요..
근데, 직접 테스트 해보니, 그게 아니네요...

waiting.php
<script language="javascript" type="text/javascript" src="waiting1.php"></script> 

waiting1.php
<?
echo "document.write('" . $_SERVER["HTTP_REFERER"] . "');"; // http://127.0.0.1/waiting.php
?>

덕분에 좋은 꽁수 하나 배워갑니다~ㅎㅎ

^^ 저도 와이즈번님과 같은 방식으로 작업했던 적이 있었습니다.^^;

리퍼러 조작은
GET /script.php HTTP/1.1
Host: test.com
Referer: test.com

뭐 이런식으로 소켓 접속을 하시면 리퍼러를 조작이 가능합니다. ^^;
스펠이 맞는지 모르겠습니다.^^

무식한거 같아서 몇번 적었다 지웠다 한건데 이러면 어떨런지요?
src="script.php?key=<?=md5($_SERVER['HTTP_USER_AGENT'].(time()-2323))?>"

script.php
if($key != md5($_SERVER['HTTP_USER_AGENT'].(time()-2323)) || $key != md5($_SERVER['HTTP_USER_AGENT'].(time()-2324))) echo "나가";

덜덜덜..

정말 죄송합니다. ㅠㅡㅠ
제가 스크립트로 호출되는 파일 내에서 레퍼러를 찍으면
호출한 페이지 주소가 찍히는걸 이용해서
스크립트 파일이 같은 서버에 존재하고 반드시 페이지내에서 스크립트를 호출해야
정상적으로 처리가 되도록 의도한거였는데 다른분들께서는 페이지를 script.php 파일로 이동하는걸로
알고 계신거 같으네요. 정말 죄송합니다.
제가 다시 봐도 그렇게 보이네요.

제가 이용하고자 했던 부분은

test.htm 에
<script src="script.php"></script> 이고

script.php 파일내용이
document.write("<?=$_SERVER['HTT_REFERER']?>");

라고 했을때
test.htm 을 실행하면
test.htm 이라고 찍힙니다.

프레임으로 치면 자기를 호출한 부모창의 주소가 찍히는 거죠.
그리니 제가 의도했던 대로라면
<script ></script> 태그로 호출된 페이지만 정상동작 하게 하고자 만든거였습니다.

script.php 파일로 이동해서 실행시키려고 한게 아니구요 ㅠㅡㅠ

앗, 그러고 보니 오타있어요~
scr = 경로~

오타수정했습니다.

<script src="script.php"></script>  -> document.write("<?=$_SERVER[HTTP_REFERER]?>");
<iframe src="script.php"></iframe> -> echo $_SERVER[HTTP_REFERER];

이렇게 만드신후에 특정 페이지에 넣고 실행해보시면
저 태그를 호출한 부모페이지가 레퍼러에 찍힙니다. ㅠㅡㅠ

혹시나 하고.....
<img src="waiting1.php">
하고 해봤는데...

이것도 REFERER가.. waiting.php 로 찍히네요~!

허 그렇네요 링크되는 부분이 있으면 전부 다 나오네요.
그냥 프레임으로 연결해놔도 레퍼러 찍음 부모주소 나오더군요 ㅡㅡ;;

스크립트 보안방법 수정안입니다. ㅡㅡ;;
이정도면 쉽게 가져가기는 어려울듯 합니다.


<script language="javascript" type="text/javascript" src="script.php?key=<?=md5($_SERVER['REMOTE_PORT']."임이의문자열")?>"></script>

script.php 파일 내용은 
------------------------------------------------------------------------------------------ 
<?php 
// HTTP/1.1 
header("Cache-Control: no-store, no-cache, must-revalidate"); 
// HTTP/1.0 
header("Pragma: no-cache"); 

$key = $_GET['key'];
$auth_domain = array('허용할도메인'); 
$referer = parse_url($_SERVER['HTTP_REFERER']); 

if(!in_array($referer['host'],$auth_domain) || $key != md5($_SERVER['REMOTE_PORT']."임이의문자열")) exit; 
?> 
document.write('&#52573;오!!'); 
--------------------------------------------------------------------------------------------- 

레퍼러를 조작한다고 하더라도 엔코딩된 리모트 포트번호와 스크립트에서의 리모트 포트번호가 동일해야 합니다.
포트번호는 리프레시나 연결이 바뀌면 번호가 변경될수도 있으며
포트번호라는걸 알고 md5 로 인코딩 하고 포트번호를 동일하게 맞춘다고 하더라도
임이의 문자열을 알아야 비교 가능합니다.

이정도면 처리되는 스크립트를 출력해주는 프로그램이 존재하지 않는한은 확인하기 어렵다고 생각합니다.

글 잘 읽었습니다.

첫번째 읽을 때는 잘 읽힙니다.
그러나 말씀대로 계속 새로고침을 하다 보면 포트가 달라질 경우가 생기더군요.
그래서, 어쩔 수 없이 REMOTE_ADDR로 처리했습니다.

제가 이런식으로 체크해서 사용을 2년전부터 사용하고 있습니다.
스크립트파일의 확장자를 php로 하고 레퍼러를 체크하고 임시인터넷 파일에 저장되지 않게 했습니다.
그러나 스쿨에서 많은(?)분들께서 소스그대로 출력 해 낼수 있다고 하시더군요.
일반적인 숨기기정도로 생각하고 그냥 사용하고 있습니다.
만일 가져가거나 볼수 있다고 해도 쉽게 "소스보기"로 가져가거나 볼수 있는건 아니니까요.^^

뭐, 어떻게 하더라도 http protocol 을 캡쳐하면 다 나오는거 아니겠습니까 --;
그저 장난치려는 사람들 좀 귀찮게 해보려고 하는거죠
http://www.httpdetect.com/
http://tamperdata.mozdev.org/
이런것들을 이용하면, 일단 http로 오가는것들은 다 보입니다.

내말이~~

기본적으로 클라이언트 단에 보내지는 코드를 볼 수 없다면 디버깅도 안된다는 말이니까요.
얼마든지 캡쳐가능합니다
(브라우저와 1:1로 암호화/복호화 하는게 아닌한 불가능하다고 생각함)

꾸벅~!

리플 삭제 했을때까지만 해도 없었는데 보았군요.
와이즈번님 // 용서해주세요. 제가 잘못했어요. 다신 안 그럴게요! 흑흑

귀찮게 http protocol 캡춰까지 가지 않더라로 브라우저에서 해당 페이지를 다른 이름으로 저장해 버리면 script.php가 출력하는 내용이 그대로 로컬에 남아버리죠.

//진상코더씨님 
대화명 바꾸셨네요. 죄송합니다. 그때 기분이 좀 않좋아서요. ㅠㅡㅠ 

//찬솔부
다른이름으로 저장해도 저장않됩니다. 직접해보세요.

//sh.
넵. 저런게 있으면 어쩔수 없겠죠머. 
좋은 프로그램 알려주셔서 감사합니다.
어둠의 경로로 정판 구했습니다 ^^;

//낭망백수
넵 감사합니다
그래도 노력은 해보는게 ^^;;

리플이 31개네요 ㅡㅡ;

좋은 정보 ㄳ~

src=*.php 좋은 아이디어네요.. //찬솔부 님처럼 다른이름으로 저장하면 보일것 같았는데..
직접 해보니 역시 안보이는군요. 좋은 정보감사합니다.

감사합니다. ^_^; 좋은 정보네요 ㅋ;