एक अलग php फ़ाइल भेद्यता करने के लिए एक ajax अनुरोध बदलने, संभावित स्पष्टीकरण

Question

शोषण मैं एक आवेदन है कि एक ajax कॉल (jQuery) स्वीकार करता है और वेबसाइट के लिए मान्य उपयोगकर्ता एक प्रवेश टोकन रिटर्न बनाने रहा हूँ।

कहते हैं, उदाहरण के लिए ajax checkAuth.php कहा जाता है और इस निर्देशिका में अन्य सभी php फ़ाइलें हैं। checkMail.php को

var xmlRequest = $.ajax({ 
    url: "checkAuth.php", 
    processData: false, 
    data: xmlDocument 
}); 

परिवर्तन यूआरएल और साइट में एक जोखिम बनाने के लिए: जे एस बदलते उदाहरण के लिए checkMail.php की तरह एक और फ़ाइल सत्यापित करने के द्वारा?

var xmlRequest = $.ajax({ 
    url: "checkMail.php", 
    processData: false, 
    data: xmlDocument 
}); 

हालांकि परिणाम एक अलग वस्तु वापसी होगी लेकिन ऐसा करने से यह एक "खुला दरवाजा" बन जाएगा द्वारा शायद जहां दुर्भावनापूर्ण उपयोगकर्ता आदेश एक्सेस करने के लिए अनुरोध भेजने रखना चाहते हैं? मैं समझता हूं कि उपयोगकर्ता को यह जानना होगा कि PHP फ़ाइल मौजूद है, हालांकि मुझे यह सुनिश्चित नहीं है कि मेरी निर्देशिका संरचना को बनाए रखने के दौरान यह सुरक्षित रूप से कैसे संसाधित किया जाए। कृपया ध्यान दें कि यह मेरा वास्तविक कोड नहीं है और मैं इन अन्य पदों के साथ उत्तर को स्पष्ट नहीं कर सकता हूं या मैं इसे सही ढंग से समझ नहीं रहा हूं।

संपादित करें: इसके अलावा - क्या इसका मतलब यह होगा कि jquery का उपयोग करने वाली कोई भी साइट सर्वर से किसी भी फ़ाइल का अनुरोध करने और भेद्यता बनाने का प्रयास करने में सक्षम होगी?

How to authenticate an AJAX request to a PHP file?

Question regarding Ajax Hacking

Ajax Security questions

How to send secure AJAX requests with PHP and jQuery

Answer 1

सामान्य तौर पर, जो http अनुरोध के माध्यम से सुलभ ब्राउज़र पता के रूप में उपयोगकर्ता प्रकार पूर्ण URL के रूप में की तरह सभी फाइलों को एक्सेस कर सकते हैं किसी भी AJAX अनुरोध।

तो, आपको PHP-स्क्रिप्ट की शुरुआत में सुरक्षा टोकन या कुछ और जांचना होगा।

आप फ़ोल्डर्स या फ़ाइलें .htaccess का उपयोग करने के उपयोग को सीमित देखते https://stackoverflow.com/a/11729748/3325396