Set Befehl per http über Browser an FHEM senden

[nerothos]

Hallo zusammen,

würde gerne ein set Befehl über einen Browser aufruf vom PC aus zum schalten eines Dummy nutzen. Habe per Suche gefunden das es generell geht und habe auch einige Beispiele die ich gefunden habe in verschiedenen Versionen ausprobiert, bekomme aber immer nur eine leer Seite zurück, nicht mal eine Fehlermeldung oder so. Evtl. ist es auch ein Problem das mein WebInterface Passwortgeschützt ist ? Dazu habe ich nichts gefunden gehabt. Bisher habe ich ausprobiert

Code Auswählen Erweitern

http://ip:8083/fhem?cmd.dummy=set%20dummy%20on&XHR=1

Code Auswählen Erweitern

http://ip:8083/fhem?cmd.dummy=set%20dummy%20on

Code Auswählen Erweitern

http://ip:8083/fhem?cmd=set%20dummy%20on

Jeweils alle auch zum test mal mit voran gesetztem user:pass@

Funktioniert aber alles nicht, jemand eine Idee ?

Danke

[CoolTux]

FHEM Weboberfläche öffnen, linke Seite unteres drittel Log anschauen. Das letzte was ausgegeben wurde steht immer an unterster Stelle.

[Ma_Bo]

Stichwort CSRF Token


Gesendet von iPhone mit Tapatalk

[Otto123]

Was sagt fheminfo?

Gruß Otto

[CoolTux]

Stichwort CSRF Token


Gesendet von iPhone mit Tapatalk

Ja das wird wohl das Problem sein. Aber lass ihn bitte erstmal lernen wie und wo er solche Fehlerinfos her bekommt. 

[Ma_Bo]

Ja das wird wohl das Problem sein. Aber lass ihn bitte erstmal lernen wie und wo er solche Fehlerinfos her bekommt. 

Mach ich doch, ist doch nur ein Hinweis nach dem er suchen soll.

Sonst hätte ich ihm doch geschrieben, dass er im LOG File nachschauen soll, dann steht dort der Fehler mit dem CSRF Token und dann kann er zu den zahlreichen Beiträgen, die es zu dem Thema gibt, sich etwas passendes raussuchen.

Ich hätte ihm ggfs. dazu geraten den CSRF Token über das attr <WEB> csrfToken zu deaktivieren (nein hätte ich doch nicht), dann hättest du geschrieben, dass es wesentlich bessere Methoden gibt als dem Einbrecher den Schlüssel in Geschenkpapier mit Blümchen zu präsentieren...


ABER ich habe ja nix davon geschrieben und somit muss er selber suchen...
So und jetzt Popcorn raus und ab dafür...

Grüße Marcel


##### Edit1
Ich möchte hier NIEMANDEM auf den Schlips treten, das ist lediglich Spaß und sollte keinesfalls angreifend auf irgendjemanden wirken.

##### Edit2
Edit1 wurde nur zur Sicherheit geschrieben.

[nerothos]

Er hat gelernt

Code Auswählen Erweitern

FHEMWEB WEB CSRF error: fhem_36141658639512.9 ne fhem_404723355188017. For detals see the csrfToken FHEMWEB attribute

-> https://forum.fhem.de/index.php?topic=67477.0

Code Auswählen Erweitern

attr WEB csrfToken none

-> success

Danke !

[nerothos]

 

[Ma_Bo]

So und jetzt du CoolTux

[CoolTux]

Mach ich doch, ist doch nur ein Hinweis nach dem er suchen soll.

Sonst hätte ich ihm doch geschrieben, dass er im LOG File nachschauen soll, dann steht dort der Fehler mit dem CSRF Token und dann kann er zu den zahlreichen Beiträgen, die es zu dem Thema gibt, sich etwas passendes raussuchen.

Ich hätte ihm ggfs. dazu geraten den CSRF Token über das attr <WEB> csrfToken zu deaktivieren (nein hätte ich doch nicht), dann hättest du geschrieben, dass es wesentlich bessere Methoden gibt als dem Einbrecher den Schlüssel in Geschenkpapier mit Blümchen zu präsentieren...


ABER ich habe ja nix davon geschrieben und somit muss er selber suchen...
So und jetzt Popcorn raus und ab dafür...

Grüße Marcel

Hallo Marcel,

Zu meiner Verteidigung möchte ich kurz anmerken das der Kollege auf den Du Dich beziehst die 8083 mit none konfiguriert hat. Das ist im Normalfall die Admin Webinstanz. Sonst hätte ich bisschen lockerer reagiert. 
Aber manchmal muss man die User erziehen. Es geht leider in bestimmten Fällen nicht anders. Hast ja bestimmt selber mit bekommen was gerade wegen CSRF hier los ist.


Grüße

[Ma_Bo]

Hallo Marcel,

Zu meiner Verteidigung möchte ich kurz anmerken das der Kollege auf den Du Dich beziehst die 8083 mit none konfiguriert hat. Das ist im Normalfall die Admin Webinstanz. Sonst hätte ich bisschen lockerer reagiert. 
Aber manchmal muss man die User erziehen. Es geht leider in bestimmten Fällen nicht anders. Hast ja bestimmt selber mit bekommen was gerade wegen CSRF hier los ist.


Grüße

Hab ich und das ganze sehe ich genau wie du !

Deshalb ist das hier auch alles nur als Spaß gemeint.

[CoolTux]

Er hat gelernt

Code Auswählen Erweitern

FHEMWEB WEB CSRF error: fhem_36141658639512.9 ne fhem_404723355188017. For detals see the csrfToken FHEMWEB attribute

-> https://forum.fhem.de/index.php?topic=67477.0

Code Auswählen Erweitern

attr WEB csrfToken none

-> success

Danke !

Ich kann verstehen das Du den leichten Weg gegangen bist. Aber bedenke. Gerade wegen solcher Geschichten wie du sie machst. Also Schaltbefehle aus dem Browser heraus würde dieser Token eingeführt. Du benutzt zum steuern die Hauptwebinstanz mit Vollzugriff. Einzig positive, Passwortschutz.

Vorschlag. Zweite Webinstanz, sich über allow informieren und wie man es am besten konfiguriert. Zusätzlich festen Token als minimale CSRF Sicherung.

[CoolTux]

Hab ich und das ganze sehe ich genau wie du !

Deshalb ist das hier auch alles nur als Spaß gemeint.

Kam auch so bei mir an. Alles schick.

[ArduPino]

Ich habe das nur für einen speziellen Fall. Mein Pi ist aber nicht im Internet frei gegeben. Ich habe einfach das fhem Passwort mit in den HTML Aufruf gepackt. Wenn ich das hier so lese, ist das bestimmt nicht so eine gute Idee? Aber wie gesagt, beide Geräte sind nur im eigenen Netzwerk.

Gesendet von meinem Wileyfox Swift mit Tapatalk

[CoolTux]

https://de.m.wikipedia.org/wiki/Cross-Site-Request-Forgery

Deine Entscheidung. Ich habe mein bestes getan.


Grüße