Question

此处和其他各种网站上的答案通常都充满警告，不要信任HTTP Referrer标头，因为它们“很容易”被欺骗或伪造。

在我继续前进之前 - 不，我没有好处 - 但我确实想要进行一些与推荐人相关的测试。

虽然我不怀疑关于虚假推荐人的警告是否属实，但我无法找到关于如何可被操纵的详细信息。即使是Wikipedia article，也只是笼统地谈论它。

我即将玩FireFox的RefControl addin。

以编程方式（特别是在ASP.NET中）UrlReferrer是一个只读属性，所以如果我无法设置它，我不会看到如何使用伪引用数据触发请求？我真的必须手动完成吗？

我如何使用ASP.NET使用用户提供的变量向我的网站发送请求以填充引荐来源标头？

编辑：根据我在下面的评论，我理想地想要接收传入的请求，然后将引用数据进行操作，然后将请求传递到另一个页面，完整无缺。如果我可以通过从头开始构建一个新的并且复制原始属性来使看起来完好无损，那么这也很好。

Answer 1

我不知道这究竟是你想要的，但总的来说，你应该能够在UrlReferer中欺骗HttpContext.Current.Request属性的值（即使它是只读的）使用一点反思。

例如：

FieldInfo fi = HttpContext.Current.Request.GetType().GetField("_referrer", BindingFlags.NonPublic | BindingFlags.Instance);

string initialReferer = HttpContext.Current.Request.UrlReferrer.ToString();
if (fi != null)
    fi.SetValue(HttpContext.Current.Request, new Uri("http://example.com"));
string fakedReferer = HttpContext.Current.Request.UrlReferrer.ToString();

在VS上;这些是更改UrlReferrer之前和之后的值：

initialReferer
"http://localhost/Test/Default.aspx"
fakedReferer
"http://example.com/"

如果使用ILSpy打开System.Web程序集，您会注意到UrlReferrer属性如下所示：

public Uri UrlReferrer
{
    get
    {
        if (this._referrer == null && this._wr != null)
        {
            string knownRequestHeader = this._wr.GetKnownRequestHeader(36);
            if (!string.IsNullOrEmpty(knownRequestHeader))
            {
                try
                {
                    if (knownRequestHeader.IndexOf("://", StringComparison.Ordinal) >= 0)
                    {
                        this._referrer = new Uri(knownRequestHeader);
                    }
                    else
                    {
                        this._referrer = new Uri(this.Url, knownRequestHeader);
                    }
                }
                catch (HttpException)
                {
                    this._referrer = null;
                }
            }
        }
        return this._referrer;
    }
}

Answer 2

这可能不会让你得到你想要的东西。但是你可以编辑HttpWebRequest的Referror。我认为没有办法在上下文中编辑您的请求的引荐来源。

using System.Net;

HttpWebRequest Req= (HttpWebRequest)System.Net.HttpWebRequest.Create("http://somewhere.com/");
Req.Referer = "http://www.fakesite.com";

使用ASP.NET欺骗HTTP Referrer数据

2 个答案: