防盜鏈基本原理（web安全測試實例二）

• 假設B站點作為一個商業網站，有很多自主版權的圖片，自身展示用於商業目的。而A站點，希望在自己的網站上面也展示這些圖片，直接使用：

<img src="http://b.com/photo.jpg"/>

這樣，大量的客戶端在訪問A站點時，實際上消耗了B站點的流量，而A站點卻從中達成商業目的。從而不勞而獲。這樣的A站點着實令B站點不快的。如何禁止此類問題呢？

目前是這樣處理的：

一類是：站內跳轉時，referer請求為空，另一類是：與合作網站A的交互，referer傳網站A地址，除開這兩類情況，referer中其他來源的訪問，均被攔截，請求不進行響應

 

• HTTP Referer是header的一部分，當瀏覽器向web服務器發送請求的時候，一般會帶上Referer，告訴服務器該網頁是從哪個頁面鏈接過來的，服務器因此可以獲得一些信息用於處理。

功能：計算網頁上的鏈接訪問量

參照：

1.https://baike.baidu.com/item/HTTP_REFERER/5358396   HTTP Referer

2.https://cloud.tencent.com/developer/article/1054615           防盜鏈 

=======================================================

實例如下：

在fiddler 中，在composer tab中模擬請求，在Raw復制抓包到的header信息，並修改referer為外鏈接地址，執行請求，查看是否能正常響應（期望：不能訪問目標頁面）

或者，抓包后，進行請求攔截，在發送數據包前，將header中的referer修改為外鏈地址。

方法一、

 方法二、

 

 

 

 訪問后，返回的404頁面，滿足預期（這是整改后的效果）

========================================================

跨域訪問，需要再了解、學習