2012年(272)
分类: 网络与安全
2012-06-26 17:11:14
在昨天写的blog里,提到了使用
这种形式来阻止浏览器发送referer
文中还有一句话:“典型的就是从 https 跳到 http 会被浏览器拒绝发送 referer,因为可能会导致敏感信息泄露。”
实际上这句话包含了另外一种阻止发送referer的通用方式,而且是不需要javascript支持的。
即:利用在https下的一个第三方提供redirect的接口,重定向到 http
的一个页面,是不发送referer的。
最著名最好用的就是google了。 harry说他一直用google的一个重定向,不过我没找到google的直接跳转的地方。
POC大致如下:
没有测试 从https 跳转到 https (跨域)时是否会发送referer。
这种方式也比较通用,但依赖于第三方的redirect服务,稳定性和性能都有要求。google的速度是很快,但是redirect也有网络延时上的损耗,不是吗?
选用哪种方案,孰优孰劣,就看具体应用场景了。
本来关于referer方面的利用、总结和各种在安全上的应用我是想写篇paper投递到webzine的,不过一直抽不出时间完善整个构思,且很多技巧都是别人发现的,所以就搁笔了。以后可能会陆续写到blog里。