Untuk mencegah HTML hijacking kita dapat melalukan preventing dengan checking refferer dari alamat URL mana data/submission tersebut di kirim, sehingga nantinya kita dapat memastikan bahwa submission tersebut aman untuk diproses atau tidak, meskipun ini bukan menjamin aman dari HTML hijacking tapi setidaknya tingkat keamanan website anda sudah setingkat lebih tinggi
Fungsi dibawah ini akan melakukan filtering terhadap URL refferer dengan memberikan pattern URL yang valid dan akan mengembalikan nilai booelan True/False.
ASP Function Check Refferer
Function TestRef(sRef)
dim aURL, nCount, bAllowURL
dim strURL, nIndex
If InStr(sRef, “,”) > 0 Then
aURL = Split(sRef, “,”)
End if
bAllowURL = False
strURL = Request.ServerVariables(“HTTP_REFERER”)
If LCase(Left(strURL,7)) = “http://” Then strURL = Mid(strURL,8)
If LCase(Left(strURL,8)) = “https://” Then strURL = Mid(strURL,9)
nIndex = InStr( strURL, “/”)
If nIndex > 0 Then strURL = Left(strURL,nIndex-1)
If IsArray(aURL) Then
For nCount = 0 To UBound(aURL)
If strURL = aURL(nCount) Then bAllowURL = True
Next
Else
If strURL = sRef Then bAllowURL = True
End if
TestRef = bAllowURL
End Function
dim aURL, nCount, bAllowURL
dim strURL, nIndex
If InStr(sRef, “,”) > 0 Then
aURL = Split(sRef, “,”)
End if
bAllowURL = False
strURL = Request.ServerVariables(“HTTP_REFERER”)
If LCase(Left(strURL,7)) = “http://” Then strURL = Mid(strURL,8)
If LCase(Left(strURL,8)) = “https://” Then strURL = Mid(strURL,9)
nIndex = InStr( strURL, “/”)
If nIndex > 0 Then strURL = Left(strURL,nIndex-1)
If IsArray(aURL) Then
For nCount = 0 To UBound(aURL)
If strURL = aURL(nCount) Then bAllowURL = True
Next
Else
If strURL = sRef Then bAllowURL = True
End if
TestRef = bAllowURL
End Function
sRef = pattern valid URL anda, boleh lebih dari satu dipisahkan dengan koma “,”
If TestRef(“www.webanda1.com”,“www.webanda2.com”) Then
Response.Write(“valid”)
Else
Response.Write(“Not valid”)
End If
Response.Write(“valid”)
Else
Response.Write(“Not valid”)
End If
Nice posting, bagaimana jika REFERER header ini di-crafting oleh attacker, seperti meng-craftig USER_AGENT header, repot juga ya….
Regards,
Sony AK
http://m.mobitrek.com/