nicht angemeldet
Hi,
Ich habe eine form X auf meinem Server, ein böser User macht diese form nach und lockt einen Surfer auf diese nachgemachte form und es geschieht etwas böses. Wie verhindere ich das? Indem ich immer die sessionids mitgebe, die ich verwende. Damit öffne ich aber unter umständen Hijackern tür und tor.
es gibt da zwei Aspekte, der eine Aspekt ("Sicherheit implementieren") wurde ja schon ziemlich breitgetreten (RequestID fuer jede form, Authentifizierung u.s.w.), der andere Aspekt ist das von Dir als "Hijacken" Bezeichnete, so kann ein Nutzer dem Du Vertrauen schenkst, durchaus Deine form kopieren, unter einer anderen URL bereitstellen, den dortig zugreifenden Nutzer taeuschen und Daten in Dein System einspielen. (phishing ist aber noch was anderes.)
Gruss,
Ludger