error guestbookscript

[NBB Groningen]

Via het standaard guestbook script (cgi) van XS4ALL stuurt iemand al
meer dan een jaar naar tevredenheid wekelijks clubuitslagen in, tot een
week of 2 geleden.
Nadat hij een nieuwe computer had geinstalleerd kreeg hij bij het
inzenden
van een uitslag de volgende foutmelding:

Guestbook error. Sorry, your browser
does not support the REFERER field. You cannot add entries to this
guestbook. (Either that, or this script was not set up properly yet, in
which case the site owner should read the documentation.)

In meerder browsers kwam dezelfde foutmelding. Via bookmarks,
rechtstreeks de url intikken of via een website naar de URL toegaan:
het maakt niets uit, de fout blijft hardnekkig bestaan.

Als ik zelf op mijn pc de uitslagen invoer, gaat het goed.

Wie weet raad?

Bedankt alvast, Inge

[Rene Pijlman]

NBB Groningen:
>Guestbook error. Sorry, your browser
>does not support the REFERER field.
[...]
>In meerder browsers kwam dezelfde foutmelding.
[...]
>Als ik zelf op mijn pc de uitslagen invoer, gaat het goed.
>
>Wie weet raad?

Wat er aan de hand zou kunnen zijn is dat de persoon in kwestie
- bewust of onbewust - een firewall/proxy gebruikt die uit
privacy-overwegingen de Referer-header uit HTTP-requests
verwijdert.

--
René Pijlman

Wat wil jij leren? http://www.leren.nl

[NBB Groningen]

> NBB Groningen:
> >Guestbook error. Sorry, your browser
> >does not support the REFERER field.
> [...]
> >In meerder browsers kwam dezelfde foutmelding.
> [...]
> >Als ik zelf op mijn pc de uitslagen invoer, gaat het goed.
> >
> >Wie weet raad?
>
> Wat er aan de hand zou kunnen zijn is dat de persoon in kwestie
> - bewust of onbewust - een firewall/proxy gebruikt die uit
> privacy-overwegingen de Referer-header uit HTTP-requests
> verwijdert.
>

Ik weet toevallig dat hij Norton Internet Security heeft geinstalleerd,
wellicht is dat de boosdoener?

Groetjes, Inge

> --
> René Pijlman
>
> Wat wil jij leren? http://www.leren.nl

[Rene Pijlman]

NBB Groningen:
>Rene Pijlman:
>> Wat er aan de hand zou kunnen zijn is dat de persoon in kwestie
>> - bewust of onbewust - een firewall/proxy gebruikt die uit
>> privacy-overwegingen de Referer-header uit HTTP-requests
>> verwijdert.
>
>Ik weet toevallig dat hij Norton Internet Security heeft geinstalleerd,
>wellicht is dat de boosdoener?

Dat zou kunnen.
http://www.google.com/search?q=Norton+Internet+Security+referer
geeft wel wat aanknopingspunten, ook voor een oplossing trouwens
(1e hit, uiteraard).

Ik vind die Referer overigens inderdaad een potentiële
privacy-schender en server-side scripts zouden er m.i. niet van
afhankelijk moeten zijn.

Het is ook onzin, want de check op Referer beveiligt nergens
tegen. Een kwaadwillende client kan gemakkelijk een valse
Referer meesturen.

Puntje eraf voor Xs4all.

--
René Pijlman

Wat wil jij leren? http://www.leren.nl

[NBB Groningen]

> >> Wat er aan de hand zou kunnen zijn is dat de persoon in kwestie
> >> - bewust of onbewust - een firewall/proxy gebruikt die uit
> >> privacy-overwegingen de Referer-header uit HTTP-requests
> >> verwijdert.
> >
> >Ik weet toevallig dat hij Norton Internet Security heeft geinstalleerd,
> >wellicht is dat de boosdoener?
>
> Dat zou kunnen.
> http://www.google.com/search?q=Norton+Internet+Security+referer
> geeft wel wat aanknopingspunten, ook voor een oplossing trouwens
> (1e hit, uiteraard).
>
> Ik vind die Referer overigens inderdaad een potentiële
> privacy-schender en server-side scripts zouden er m.i. niet van
> afhankelijk moeten zijn.
>
> Het is ook onzin, want de check op Referer beveiligt nergens
> tegen. Een kwaadwillende client kan gemakkelijk een valse
> Referer meesturen.
>
> Puntje eraf voor Xs4all.

Terwijl ik er eigenlijk zo tevreden over ben. Dat script is heel flexibel,
qua vormgeving in ieder geval. Bedankt voor je hulp!

Groetjes, Inge

>
>
> --
> René Pijlman
>
> Wat wil jij leren? http://www.leren.nl

[Jan Ehrhardt]

NBB Groningen in nl.internet.www.server-side (Mon, 10 Mar 2003 22:26:16
+0100):

>Guestbook error. Sorry, your browser
>does not support the REFERER field. You cannot add entries to this
>guestbook. (Either that, or this script was not set up properly yet, in
>which case the site owner should read the documentation.)
>
>In meerder browsers kwam dezelfde foutmelding. Via bookmarks,
>rechtstreeks de url intikken of via een website naar de URL toegaan:
>het maakt niets uit, de fout blijft hardnekkig bestaan.

Probeer eens een
<INPUT TYPE=hidden NAME="referer"
value="http://www.jouwsite.nl/jouwgastenboek.html">
in de invoerpagina op te nemen. Bij het mail-a-form script van xs4all
werkt dat, dus dik kans dat het ook bij het guestbook werkt.

Jan
--
Dropdown and pushup menu's - http://cgi.monitor.nl/cms.html

[Rene Pijlman]

Jan Ehrhardt:
>Probeer eens een
><INPUT TYPE=hidden NAME="referer"
>value="http://www.jouwsite.nl/jouwgastenboek.html">
>in de invoerpagina op te nemen. Bij het mail-a-form script
>van xs4all werkt dat

Dit zal toch niet waar zijn? Wat zijn dat toch voor
nep-security/abuse-experts bij Xs4all?

Straks gaat iemand ons nog proberen wijs te maken dat de BVD
uitsluitend burgers mag afluisteren met toestemming van de
minister van BZK, en dan blijkt later dat een hidden field
Referer="bea" op het formulier ook wel genoeg is.

--
René Pijlman

Wat wil jij leren? http://www.leren.nl

[Jan Ehrhardt]

Rene Pijlman in nl.internet.www.server-side (Tue, 11 Mar 2003 00:29:14
+0100):

>Jan Ehrhardt:
>>Probeer eens een
>><INPUT TYPE=hidden NAME="referer"
>>value="http://www.jouwsite.nl/jouwgastenboek.html">
>>in de invoerpagina op te nemen. Bij het mail-a-form script
>>van xs4all werkt dat
>
>Dit zal toch niet waar zijn? Wat zijn dat toch voor
>nep-security/abuse-experts bij Xs4all?

Ze controleren vervolgens ook nog of dat referrer-bestand er echt wel
staat en de desbetreffende input tags bevat. Het resultaat: het wordt
bij mijn weten niet misbruikt.

Hoe zou jij anders een formmail willen beveiligen? Je zult toch een
manier moeten vinden of mail-a-form wel wordt aangeroepen vanaf een
XS4ALL-site. Hoe doe je dat?

Jan
--
Dropdown and pushup menu's - http://cgi.monitor.nl/cms.html

[Rene Pijlman]

Jan Ehrhardt:
>Ze controleren vervolgens ook nog of dat referrer-bestand er
>echt wel staat en de desbetreffende input tags bevat.

OK, dat is een redelijk geavanceerde benadering. Maar dat neemt
niet weg dat je nu via HTTP iedereen met zo'n formulier op zijn
site kunt bespammen.

[Referer-check in server-side script deugt niet]
>Hoe zou jij anders een formmail willen beveiligen?

Dat is een goede vraag.

Die kun je denk ik niet sluitend beveiligen.

Maar goed, het risico is nogal beperkt, want iemand die over
mail adressen van Xs4all beschikt kan ook direct via SMTP
dezelfde mails sturen. Het enige verschil is dat hij via HTTP
spamt i.p.v. via SMTP.

De enige praktische consequentie die ik me zo 1-2-3 kan
voorstellen is dat zoiemand een anonymizing webproxy kan
gebruiken om ontraceerbaar te blijven. Maar dat is ongeveer
vergelijkbaar met open relays in de SMTP-wereld.

>Je zult toch een manier moeten vinden of mail-a-form wel wordt
>aangeroepen vanaf een XS4ALL-site. Hoe doe je dat?

Dat kan volgens mij niet. Bij een web-request is er geen
gegarandeerde relatie met een "vanaf"-pagina, anders dan de
referer die de client op vrijwillige basis meestuurt en die door
kwaadwillende clients kan worden vervalst.

--
René Pijlman

Wat wil jij leren? http://www.leren.nl

[NBB Groningen]

[Referer-check in server-side script deugt niet]

Even voor mij in huis, tuin en keukentaal: welke consequenties kunnen
deze
formulieren hebben voor bezoekers van de site en/of gebruikers van het
formulier en/of voor mij als webmaster?

Is het door Jan Ehrhardt voorgestelde regeltje
<INPUT TYPE=hidden NAME="referer"
value="http://www.jouwsite.nl/jouwgastenboek.html">
nog steeds het toepassen waard?
Hoeft Norton Internet Security met dit regeltje niet meer aangepast te
worden?

Groetjes, Inge

[Jan Ehrhardt]

NBB Groningen in nl.internet.www.server-side (Tue, 11 Mar 2003 15:33:21
+0100):

>[Referer-check in server-side script deugt niet]
>
>Even voor mij in huis, tuin en keukentaal: welke consequenties kunnen
>deze
>formulieren hebben voor bezoekers van de site en/of gebruikers van het
>formulier en/of voor mij als webmaster?

Geen. Alleen moet jij als webmaster dat regeltje toevoegen. Het XS4ALL
mail-a-form script kijkt eerst of de browser een referer meegeeft. Is
die er niet, dan gaat het script op zoek naar een input veld met de naam
"referer" dat moet verwijzen naar de pagina waar het script wordt
aangeroepen.
Ik neem aan dat het guestbook script van XS4ALL ook zo werkt.

>Is het door Jan Ehrhardt voorgestelde regeltje
><INPUT TYPE=hidden NAME="referer"
>value="http://www.jouwsite.nl/jouwgastenboek.html">
>nog steeds het toepassen waard?
>Hoeft Norton Internet Security met dit regeltje niet meer aangepast te
>worden?

Probeer het. Baat het niet, dan schaadt het ook niet.

Jan
--
Dropdown and pushup menu's - http://cgi.monitor.nl/cms.html

[NBB Groningen]

> >[Referer-check in server-side script deugt niet]
>
> >Is het door Jan Ehrhardt voorgestelde regeltje
> ><INPUT TYPE=hidden NAME="referer"
> >value="http://www.jouwsite.nl/jouwgastenboek.html">
> >nog steeds het toepassen waard?
> >Hoeft Norton Internet Security met dit regeltje niet meer aangepast te
> >worden?
>
> Probeer het. Baat het niet, dan schaadt het ook niet.

Bedankt, ik heb 'm toegevoegd.

Groetjes, Inge

[Jan Ehrhardt]

NBB Groningen in nl.internet.www.server-side (Tue, 11 Mar 2003 17:45:21
+0100):

>> Probeer het. Baat het niet, dan schaadt het ook niet.
>
>Bedankt, ik heb 'm toegevoegd.

Met welk resultaat?

Jan - nieuwsgierig
--
Dropdown and pushup menu's - http://cgi.monitor.nl/cms.html

[NBB Groningen]

> >> Probeer het. Baat het niet, dan schaadt het ook niet.
> >
> >Bedankt, ik heb 'm toegevoegd.
>
> Met welk resultaat?

Ga ik maandag merken, wanneer er weer een uitslag voor die
club wordt ingevoerd. Ik laat het je weten.

Groetjes, Inge

>
>
> Jan - nieuwsgierig
> --
> Dropdown and pushup menu's - http://cgi.monitor.nl/cms.html