网站是否可以欺骗引用标头

Question

显然，客户端，任何Extension / AV /防火墙/浏览器设置等都可以欺骗请求标头......

我的问题是：
网站所有者bad.com可以创建iframe mywidget.php，我会看到一个欺骗性的引用标题good.com。

欺骗将由网站所有者完成，例如：服务器，而不是顶部列出的实际客户端软件。

两点：

1. 我说的是一个不同的引用者good.com，而不是一个空的。
2. 显然排除 ajax请求。
3. 如果实际可行 - 内容安全策略，可以是一个解决方案。但我不想将每个域添加到它的标题值中。

感谢。

Answer 1

是的，遗憾的是，这种可能性确实存在，并且很多网站很难解决这样的问题。

想象一下，由于某些原因，＆＃34; good.com＆＃34;有一个重定向网关，用于统计或其他合理的目的。例如，这允许＆＃34; good.com＆＃34;衡量用户访问不同网站的次数。

现在正在＆＃34; bad.com＆＃34;用户会看到一个iframe，或只是一个按钮以某种方式导航到这样的网址：good.site.example/redirect?to=www.thirdparty.com。并且URL上的该页面会以保留Referer的方式将用户重定向到www.thirdparty.com。

基本上是的，Referer HTTP标头在安全性方面并不依赖。

Answer 2

不是恶搞，但如果您的网站上有open redirect vulnerabilities，那么他们可以通过这些请求传递请求（Andrew Sklyarevsky points out）。

要注意的另一件事是解析错误。

e.g。如果你使用糟糕的URL解析技术检查referer为http://good.example.com，那么攻击者可以尝试从他们的页面请求

http://bad.example.com?http://good.example.com

到您的页面，以满足您的验证。

另请注意，某些用户启用了隐私权扩展程序，会隐藏referer标头，这可能会阻碍您的安全检查，并使其易受攻击或无法使用您的网站，具体取决于您的实施方式。