Hallo zusammen,

ein hoffentlich kurze Frage:

ich rufe per "TidHttp.Post" ein php Skript auf einem Server auf.

Ist es möglich das jetzt jemand hingeht und irgendwie an die Adresse und die Parameter kommt die ich übergebe, auch wenn ich das im Hintergrund mache und nichts davon anzeige?

Hintergrund: Ich progge ein kleines Onlinegame, das mit php-Skripten kommuniziert. Um zu vermeiden das jemand irgendwie diese Skripte aufruft um sich Vorteile zu verschaffen, sollte das ganze im Hintergrund stattfinden.

Also falls es möglich ist diese Adressen und Parameter zu bekommen, wie kann ich das verhindern?

MfG

Wenn jemand den Netverkehr snifft (z.B. mit Ethereal), sieht er den Skriptaufruf inklusive Parameter. Verwendest du SSL?

Bisher sieht das bei mir so aus:

markieren

Delphi-Quellcode:

procedure DatenSenden;
var
 data: TIdMultiPartFormDataStream;
begin
data:=TIdMultiPartFormDataStream.Create;
with data do
 AddFormField('Feld','Wert');
with IdHTTP1 do
  Post('http://www.zieladresse.de/skript.php',data);
end;

Also bis jetzt ohne SSL oder sowas. Wenn der User die URL, also einfach nur das Skript sieht ist das OK, er soll nur die Parameter in "data" nicht sehen können.

Mit einem guten Sniffer(z.B. auch Eye IRIS) und ein wenig Verständniss von TCP/IP wird er auch die Parameter mitlesen können, denn auch diese schickst Du ja über deine Netzwerkkarte/ISDN-Karte/Modem. Also habe das erst vor kurzem gemacht und es ist wirklich sehr einfach. In einem nicht geswitchtem Netzwerk kann man sogar die Packete von anderen Usern mitlesen.. z.B. ihre Mails die über SMTP rausgehen.

Was sind den das für Parameter, vielleicht kann man das einfach anders lösen?!

hab ich doch angegeben:

im Klartext würde die Zeile denk ich so aussehen:

"http://www.zieladresse.de/skript.php?Feld=Wert"

und das "Feld=Wert" soll man eben nicht bekommen können.

Zitat:

und das "Feld=Wert" soll man eben nicht bekommen können.

Dann verwende POST und SSL

und wie geht das?

Du übergibst die Werte über GET. Ich würde die Datenübgabe per POST machen, dann sind die Parameter nicht mehr Teil der URL. Um die Sicherheit zu erhöhen, kannst du dann von HTTP auf HTTPS (SSL), wenn es dein Webspace erlaubt.

einfach https anstatt http?

Zitat von mkinzler:

Du übergibst die Werte über GET. Ich würde die Datenübgabe per POST machen, dann sind die Parameter nicht mehr Teil der URL.

ich mach das nicht per "Get", wie du oben siehst mach ich das mit "Post"

Hab mich darauf bezogen:

Zitat:

http://www.zieladresse.de/skript.php?Feld=Wert"

So sieht eine Übergabe per GET aus, bei POST wird die gesamte Seite zurückgesendet.