Как можно перехватить POST запрос?

Question

[WebDev]

На одном из проектов в административной части делаются бэкапы БД, а другой сервер их раз в какое-то время скачивает. Чтобы не отдавать бэкапы всем, на первом сервере проверяется айпи адрес, с которого идет запрос и некий пост параметр, который представляет собой длинный хэш. То есть дамп отдадут только если постом пришел этот хэш.
В чем уязвимость такого подхода? Слышал что можно "перехватить" пост запрос. А как?

Answer 1

[Олег Красавин]

Если не используется HTTPS, то появляется возможность проведения MITM-атаки. Это когда хакер или какой другой нехороший человек получает доступ к маршрутизатору/проксе по которым идет обмен данными между двумя машинами. Но в вашем случае вероятность такого события чисто гипотетическая.

Для просмотра http-траффика подойдет любой HTTP-sniffer.

Comments

[WebDev]

Мне говорят, что такой подход - большая дыра. А по факту получается, что совсем не дыра? Что эксплуатировать эту "уязвимость" можно только если получить доступ к маршрутизатору?

[Олег Красавин]

kirill-93: еще не забывайте, что IP клиента - далеко не 100% достоверная инфа. Лучше конечно допилить скрипт бекапа и самому лить свежесозданный дамп по sFTP на нужный сервак.

[Stalker_RED]

Олег Красавин: только наверное не MYTM а MITM

[Stalker_RED]

kirill-93: А вы уверены, что маршрутизатор хорошо защищен, и на нем никогда не появится 0-day дыра, какая-нибудь? Или вас устраивает позиция "да никому эти базы данных и не нужны"?

[WebDev]

Stalker_RED Я это и пытаюсь понять. Просто не люблю когда говорят "это ненадежно", а почему именно не говорят. Складывается впечатление, что и сами не знают.

[Stalker_RED]

kirill-93: Это ненадежно, потому что нешифрованный http запрос можно перехватить. Вбиваете в гугл "как перехватить http" и прокачиваете паранойю.

[Олег Красавин]

Stalker_RED: да, конечно, исправил, спасибо.

Answer 2

[evnuh]

POST - заголовок, текстового формата. По HTTP передаётся в открытом виде. Чтобы его не подсмотреть нужно включить шифрование. то есть HTTPS.

Comments

[WebDev]

А подсмотреть как?

[evnuh]

kirill-93: какая ОС?

[WebDev]

CentOS 7

[evnuh]

kirill-93: wireshark?

Answer 3

[Александр]

Попробуйте Fiddler