Form/type=\"hidden\" og hacking

Ja, hvis folk kigger direkte i din kode!!
Så kan de selv skrive stien...

- Anders

Men du kan vel bare validere hidden-felterne inden du kører det igennem scriptet!!

- Anders

Hvilket sprog er scriptet i?

- Anders

eks.

<form action=\"mailto:test@test.com\" method=\"post\">
<input type=\"text\" value=\"Navn\"  size=\"50\"><br><br>
<input type=\"hidden\" name=\"hemmelig\" value=\"dette er en hemmelig tekst\">

<input type=\"submit\" name=\"button\" value=\"OK\" class=\"button\">
</form>

Kan man ændre \"dette er en hemmelig tekst\" før man trykker OK?

Eller kræver det, at jeg har min egen browser, der kan ændre i formindeholdet før den sendes tilbage?

Jeg kan ikke lige se hvad det hemmelige i en e-mail er...

Eks.
<form action=\"script.php\" method=\"post\">
<input type=\"text\" name=\"felt1\"><br>
<input type=\"hidden\" name=\"felt2\" value=\"hemmelig\"><br>
<input type=\"submit\" value=\"Klik her\">
</form>

Så kan man kigge i din kode(vis kilde) og se hvad variablerne hedder. Udfra det kan man så sende sine egne...
Eks.
http://www.ditnavn.dk/script.php?felt=Hejsa&felt2=ikke-hemmelig-mere

Snakker vi forbi hinanden?

- Anders

Intet af det, der kommer \"ind\" i et ASP/PHP/Perl-script fra en bruger er
troværdigt på nogen måde. En rigtig hacker kan (og vil) selv sætte
en HTTP-request op - uafhængigt af nogen browser - som kan indeholde
hvad som helst. Du har ingen mulighed for at have kontrol over noget af det.
Det bedste du kan gøre, er at holde hemmelighederne på serveren, 100%,
og så i det omfang det er muligt, at verificere samtlige oplysninger.
Og kan du ikke det, er det den forkerte teknologi du anvender.

Hvis du køre POST og serverside, vil det være ret svært at \"hacke\" siden. Når du køre post, bliver alle variabler nemlig sendt serverside, og derved kan de ikke sendes direkte fra én server til en anden.....

Svært? Jeg laver da bare en kopi af hans form, og ændrer variablerne. Og hvis han så også
checker for navnet på den side det kom fra, fyrer jeg op i et lille Perl-script, der, som omtalt
ovenfor, kan gøre hvad som helst. ;-)

Så vidt jeg ved kan man da ikke sende request via POST fra én server til en anden. Man skal bare huske at bruge (i ASP) request.form, og ikke kun request... Jeg har svært ved at forstå hvad du mener med at kopiere hans form.

Jeg gemmer hans side som HTML, retter i variablerne, viser den i browseren, og
trykker på submit.

jek, det kan meget nemt ændres.

Den nemmeste måde (så HTTP_REFERRER også er den samme) er blot at gå ind på din side og skrive noget i retning af det følgende i adresselinjen:

java script:document.forms[0].hemmelig.value=\'Hehehe\';void(0)

/Thor

OK!

Jeg skal nemlig også igang med et projekt hvor jeg (med tilladelse self.) skal køre en batch til eksempelvis kurser, hvor der netop er en form med method Post imellem...Derfor er det lidt interessant for mig at vide.

Men man kan altså sagtens gøre som erik jacobsen siger - gemme siden på sin egen computer og trykke submit og så vil det virke selv om computerne ikke er de samme?.

Du skal bare validere felterne inden de kører igennem scriptet...! (hvis muligt)

- Anders

stoffer, alt hvad der ligger på klienten kan ændres ;)

/Thor

Tak for alle jeres svar/kommentar, det var til stor hjælp