¿La comprobación de encabezado de referencia ofrece alguna mejora de seguridad en el mundo real?

Respuesta corta: no .

Respuesta larga: depende .

Referer es un encabezado enviado y controlado por el cliente. No puede confiar en ningún dato que no esté marcado desde el cliente. Como han señalado otros, puede ser fácilmente manipulado. Puede contener cualquier cosa que el atacante quiera, así que no confíe en ello.

Si su URL contiene algún token de criptografía ( http://site.com/x.php?op=1&token=-random-data- ), podría ser marginalmente útil. Tendría que verificar el token con una variable de sesión para determinar si el encabezado no fue manipulado.

Pero incluso con un token, la comprobación del remitente solo funcionará hasta que un nuevo navegador / complemento / extensión / proxy comience a eliminar el encabezado del Referente por razones de privacidad.

Si es posible, puede intentar usar la dirección IP del cliente vinculada a los encabezados de huellas digitales del navegador ( User-Agent , Accept , Accept-Language ) para obtener más capas de seguridad. Al mantener esos encabezados en una variable de sesión, puede detectar si alguien robó las credenciales de su usuario, si alguien está tratando de evitar la autenticación y otros ataques.

Escogerá la fruta de baja altura, pero en general, no es difícil falsificar un encabezado. Yo diría que si ha causado problemas en el pasado, es más que probable que no valga la pena el riesgo para sus aplicaciones empresariales.

La mejor manera, probablemente, sería demostrarle a la administración qué tan fácil puede ser eludida esta medida de seguridad.

Puede usar, por ejemplo, el Proxy Burp ( enlace ) para interceptar y modificar / agregar el encabezado del remitente.

1. Descargue e instale el proxy Burp (hay una edición gratuita).
2. Configure su navegador para usar el proxy Burp.
3. Use el navegador para autenticarse en su aplicación.
4. Observe las solicitudes / respuestas en el Proxy Burp, es decir, la pestaña Proxy - > Pestaña de intercepción
5. Use un botón Reenviar para enviar una solicitud (puede agregar / modificar cualquier línea, incluido el encabezado del remitente).

Como otros ya han explicado, las referencias se pueden falsificar fácilmente. Además, según el estándar HTTP, son completamente opcionales. Hay configuraciones de privacidad y complementos para algunos navegadores que siempre suprimen las referencias y no hay nada malicioso en eso.

Por esa razón, le recomendaría que considere a no remitente como un remitente correcto y solo rechace la solicitud cuando el remitente señale explícitamente a un sitio web que no controla.