[benn8922]

Gdzieś dzwoni ale nie wiem w którym kościele. Z pomocą Postmana wygenerowałem sobie skrypt, który działa ale nie daje mi spokoju.

curl --location --request POST 'https://jakas_strona.pl/api/?function=jakas_funkcja&APIkey=xxxxx' --header 'Content-Type: application/x-www-form-urlencoded' --data-urlencode 'jakies_dane'

Czy tak może wyglądać POST? Bo mnie to trochę stroi na GETa prez ten fragment ?function=jakas_funkcja&APIkey=xxxxx. Druga kwestia, dzięki HTTPS czy to POST czy to GET to jedyne czego pan groźny cyberprzestępca, który czai się gdzieś między mną a serwerem jest się w stanie dowiedzieć to to, że próbuje połączyć się z jakas_strona.pl, dobrze mi się kojarzy?

#pytanie #pytaniedoeksperta #kiciochpyta #informatyka #programowanie #bezpieczenstwo #cyberbezpieczenstwo #security #itsecurity

[bruuh]

@benn8922:

?function=jakas_funkcja&APIkey=xxxxx

to to samo co

--data-urlencode 'function=jakas_funkcja' --data-urlencode 'APIkey=xxxxx'

jaki to request świadczy parametr --request

[mackarr]

@benn8922: 1) Może tak wyglądać POST. Po prostu inny sposób przesyłu danych (JSON, FormData, QueryParams).
2) HTTPS najpierw ustanawia bezpieczne połączenie z serwerem jakas_strona.pl (tu może by DNS leak) a dopiero potem przesyła HTTP GET z query paramami.

[benn8922]

@bruuh: @mackarr: Dzięki za odpowiedzi.

jaki to request świadczy parametr --request

Tak podejrzewałem, ale wolałem zapytać.

DNS leak

Nie chodziło może o spoofing/poisoning? Pobieżnie przeczytałem o tym leaku i akurat w tym wypadku (być może niesłusznie) się o niego nie martwię, nie korzystam do tego połączenia z VPNa, jakas_strona.pl to nie jest adres, który koniecznie chciałbym ukryć przed moim dostawcą.

potem przesyła HTTP

Ale wszystko zaszyfrowane kluczem, zgadza się?

[mackarr]

@benn8922: Jeśli nie chcesz ukrywać że łączysz się z jakas_strona.pl to nie ma problemu. Problem może być związany ze spoofowaniem IP przez atakującego, ale wtedy nie będą się zgadzać certyfikaty SSL (No chyba że NSA cię atakuje, ale wtedy to RIP). Co do przesyłania requesta, to tak. Będzie on już zaszyfrowany wynegocjowanym kluczem.

[benn8922]

@mackarr: Dobra, to już chyba wiem wszystko co chciałem wiedzieć, jeszcze raz dzięki.