[ASP] Site geblokkerd tegen rippers

[Polderdijk]

Ik heb nu een manier ontworpen om met een ASP-script en een Acces db mijn site te beveiligen tegen site-rippers en dergelijke. Maar nu zijn alleen nog mijn afbeeldingen te pakken. Dus daarom vraag ik het volgende:

Ik heb in mijn database alle links van mijn afbeeldingen bewaard, maar nu wil ik graag de map /images op mijn server ALLEEN rechten geven, dus dat niemand vanaf buiten mijn imagesmap kan leeghalen, maar is het dan mogelijk om met een script de afbeelding naar het web te pompen. Dus als ik bijvoorbeeld www.mijnsite.nl/image.asp?img=10 typt dat de server uit de map images het bestand 10.jpg naar buiten stuurd. Misschien denken jullie nu "wat is die gozer van plan ", maar als ik dat weet kan ik VOLLEDIG mijn site dicht spijkeren tegen site-rippers en dergelijke. Als dit lukt dan zet ik natuurlijk hier de URL van mijn site, en dan mogen jullie proberen om materiaal van mijn site te plukken

Wat ik nu heb gedaan zodat site-rip-proggy's niet mijn html
kunnen rippen: "Beschrijf ik zodra ik ook mijn images beveiligt hebt"

Ik hoor graag jullie reacties

[Blue-eagle]

Print screen, Ctrl + V, uitknippen, opslaan, htmlen.

edit:
oke, het kan wel.
bij het laden van de pagina ga je de imgs uit een beveiligde directory copieëren naar een temp map. Daaruit haal je de plaatjes, en met een timout via javascript roep je in een hidden frame een asp pagina op die de temp map weer delete. De temp map zijn naam ligt aan de sessie van de gebruiker, die gewoon random is.

[Infinitive]

Je kan altijd iemands site rippen, want je schrijft de benodigde http-requests gewoon zelf... inclusief cookies, referer's.

Want als het via je brouwser kan, dan gaat het met een daarvoor geschreven computerprogramma al helemaal.

[Polderdijk]

Op vrijdag 15 februari 2002 20:32 schreef Blue-eagle het volgende:
Print screen, Ctrl + V, uitknippen, opslaan, htmlen.

edit:
oke, het kan wel.
bij het laden van de pagina ga je de imgs uit een beveiligde directory copieëren naar een temp map. Daaruit haal je de plaatjes, en met een timout via javascript roep je in een hidden frame een asp pagina op die de temp map weer delete. De temp map zijn naam ligt aan de sessie van de gebruiker, die gewoon random is.

Dat is zeker een goed idee, maar ik heb liever dat het ASP-script alle images uitspoeg, anders blijft het mogelijk (als je snel met je muis ben) om de pics te rippen! Ik weet dat het kan, want ik ben het al regelmatig tegen gekomen dat images worden opgeroepen met images.asp?98234.
Dus hoe moet ik dat creeren?

[Polderdijk]

Op vrijdag 15 februari 2002 20:36 schreef Infinitive het volgende:
Je kan altijd iemands site rippen, want je schrijft de benodigde http-requests gewoon zelf... inclusief cookies, referer's.

Want als het via je brouwser kan, dan gaat het met een daarvoor geschreven computerprogramma al helemaal.

Maar mijn database houd OOK de tijd bij hoe veel pages dat er op worden gevraagt, en als er bijvoorbeeld meer dan 5 per 10 seconde woord opgevraagt, dan geeft hij naar DAT IP adres alleen nog maar foutmeldings-pagina's. En de meeste site rippers gaan eerst de hele site indexeren naar links, en daarna gaat hij ze pas binnenhalen, en dat kan OOK niet bij mijn site, want een pagina kan maar één keer worden opgevraagt met de code, en daarna kan de zelfde pagina alleen worden opgevraagt met een andere link-code

Dus daar heb je niet gelijk in

[Blue-eagle]

Oja, je hebt ook nog de browser cashe. Dus mijn manier is dom en useless

[Polderdijk]

Op vrijdag 15 februari 2002 20:41 schreef Blue-eagle het volgende:
Oja, je hebt ook nog de browser cashe. Dus mijn manier is dom en useless

Daar ben ik ook voor aan het kijken dat hij zijn cashe niet gebruikt, maar dat hij ALLES direct van de server haalt en NIET opslaat op de schijf

[raptorix]

Beste manier om plaatjes te beschermen is om gebruik te maken van watermerken in je plaatjes, eventueel automatiseer je dit via een com object, je moet altijd maar aanhouden dat alles wat je via een browser kan zien ook te pakken is.

[Polderdijk]

Op vrijdag 15 februari 2002 20:55 schreef raptorix het volgende:
Beste manier om plaatjes te beschermen is om gebruik te maken van watermerken in je plaatjes, eventueel automatiseer je dit via een com object, je moet altijd maar aanhouden dat alles wat je via een browser kan zien ook te pakken is.

Maar ik wil het zou MOEILIJK mogelijk maken, en zeker dat site-rip proggy's NIET gaan werken

[terabyte]

Op vrijdag 15 februari 2002 20:37 schreef Polderdijk het volgende:

[..]

Dat is zeker een goed idee, maar ik heb liever dat het ASP-script alle images uitspoeg, anders blijft het mogelijk (als je snel met je muis ben) om de pics te rippen! Ik weet dat het kan, want ik ben het al regelmatig tegen gekomen dat images worden opgeroepen met images.asp?98234.
Dus hoe moet ik dat creeren?

Simpel:

Met response.binarywrite

[MisterData]

In PHP kun je zoiets doen door eerst je content-type in te stellen op image/gif en dan de hele inhoud van het .gif bestand uitspugen. Dus dan moet ut met ASP ook te doen zijn op die manier

Edit : Oeps dat stond dus hierboven al uitgebreid beschreven

[Polderdijk]

Op vrijdag 15 februari 2002 21:04 schreef terabyte het volgende:

[..]

Simpel:

Met response.binarywrite

Ga ut ff proberen....

[Infinitive]

Maar mijn database houd OOK de tijd bij hoe veel pages dat er op worden gevraagt, en als er bijvoorbeeld meer dan 5 per 10 seconde woord opgevraagt, dan geeft hij naar DAT IP adres alleen nog maar foutmeldings-pagina's. En de meeste site rippers gaan eerst de hele site indexeren naar links, en daarna gaat hij ze pas binnenhalen, en dat kan OOK niet bij mijn site, want een pagina kan maar één keer worden opgevraagt met de code, en daarna kan de zelfde pagina alleen worden opgevraagt met een andere link-code

Dus daar heb je niet gelijk in

Je hebt het nu over een algemeen webspider programma. Maar een specifiek programma/script geschreven voor je site kan het echter nog steeds. Voor de programmeur is het dan alleen nog de taak om achter de beveiligingsmaatregelen te komen (en dat kan natuurlijk wel eens wat tijd kosten, vooral om achter x-pagina's persecode => alleen maar foutmeldings pagina's te komen).

Het wordt overigens wel lastig als gebruik wordt gemaakt van patroonherkenning van de mens om bij bepaalde pagina's te komen (bijvoorbeeld wat altavasta.com had om je website aan hun index toe te voegen - moest je eerst een code gaan lezen van een plaatje vandaan met de letters in allerlei formaten, rotatie's, etc.).
Of java-script client-code die verwijzigen naar een volgende pagina aangeven waarbij het niet eenvoudig is om die gegevens die je daarvoor nodig hebt uit de java-script source te halen zonder deze te uit te voeren.

[Verwijderd]

misschien niet wat je zoekt, maar kijk eens hier

[4of9]

PHP != ASP

[Verwijderd]

Op zaterdag 16 februari 2002 02:05 schreef Atar het volgende:
misschien niet wat je zoekt, maar kijk eens hier

Dat is al helemaal eenvoudig om te "rippen". Als je zelf (== je eigen programmatje) de http request doet krijg je dus echt wel de broncode van die pagina; alleen dan nog wel in javascript vorm. Vervolgens zie je dat de html-broncode die wordt gebruikt om daadwerkelijk de pagina in beeld te brengen eenvoudig uit de java-scrip code te halen is. Dat is tenslotte de "niet ge-escapte" code tussen w(" en ");

Maar goed, ik zie dan nu ook niet echt het nut in om je html-code te beschermen. Wat is daar nu zo belangrijk aan?

[red_indian]

volgens mij heeft dit weinig zin...

iframe in design mode, control-a, control-c, control-v en klaar. complete site met plaatjes en alles. of wat dachten we van een save html page? of mis ik hier nu iets?

volgens mij is het per definitie niet mogelijk om iets te beschermen dat wel bekeken kan worden. of je moet je site streamen in asf of real media

(flash is ook wel aardig rip-bestendig)

[Crazy D]

Op zaterdag 16 februari 2002 12:10 schreef red_indian het volgende:
iframe in design mode, control-a, control-c, control-v en klaar. complete site met plaatjes en alles. of wat dachten we van een save html page? of mis ik hier nu iets?

Het is ook niet de bedoeling je site compleet dicht te gooien, dan kun je 'm net zo goed offline halen. 't Gaat erom dat siterip progjes het moeilijk wordt gemaakt. Uiteindelijk kun je 't altijd wel lokaal opslaan, maar als je daarvoor 500 pagina's via Save As, of op de manier die jij beschrijft, moet opslaan is de lol er gauw af

[Verwijderd]

al aan HTTP_REFERER gedacht? Veel websites gebruiken deze variabele om te achterhalen welke site de client op het moment van de request bezoekt. Ik kan me geen spider bedenken die hieraan denkt?

[Dennis]

Programma waar ik mee bezig ben is het in IE absoluut onmogelijk om de source te jatten, dus dat schiet al op

[intoxicated]

In PHP kan het doodsimpel:

PHP:

<?
$toegestane_referer = "http://mijnhost/mijnscriptje";
if ($HTTP_SERVER_VARS['HTTP_REFERER'] == $toegestane_referer)
{
   $plaatje = fopen("plaatje.jpg","rb");
   header( "Content-type: image/jpeg");
   fpassthru($plaatje);
};
?>

Uiteraard kun je dat script zelf helemaal uitbouwen (bijv. met een cookie checken of mensen zijn ingelogd op je site, of een cookie setten als ze op je site komen etc.). Zo kan je perfect voorkomen dat mensen traffic van je stelen, maar pas alleen even op dat je geen situaties krijgt, waarin een kwaadwillende jouw site even opent in een klein windowtje, waarbij jij jouw cookie set. Inloggen om plaatjes te mogen bekijken is dus een beter idee.

En je kunt natuurlijk een database maken waarin je de ID's van plaatjes opslaat, zodat je URL's kunt maken waar geen enkele logica in lijkt te zitten. Zoiets dus:
http://mijnserver/viewimage.php?ID=23rjkl234123a (random string).

Zo doe ik het dus in PHP, in ASP zullen vast wel synoniemen voor deze functies bestaan. Dit is alleen even om je een idee van de achterliggende gedachte te geven

[Verwijderd]

het is ALTIJD (lees, ALTIJD) mogelijk om een site te rippen.

gewoon omdat HTTP zo werkt. om een site te bekijken moet ie namelijk gedownload worden.

je kan het alleen wel zo moeilijk mogelijk maken, hetzij met javascript, hetzij met serverside script

check op ip zal niet werken, check op referer zou ik zeggen... ( en voor clientside, eventjes via javascript een encoded pagina laten unencoden en printen...voorbeeld ben ik helaas kwijt )

[nulkelvin]

Deel al je plaatjes op in 9 stukjes >:-) of nog meer, wordt het nog moeilijker :):):)

[martinvw]

Het is mogelijk om op useragent te checken, in php zijn hier kant-en-klare scriptjes voor te vinden. Ik neem aan dat je met asp ook iets kan maken/vinden wat ongeveer op het zelfde neer komt.

edit:

Hiermee wil ik dus zeggen dat rippers meestal een bepaalde user_agent achter laten en je deze dus een op foutmelding kan tracteren.

[raptorix]

Op zaterdag 16 februari 2002 22:17 schreef ddc het volgende:
Programma waar ik mee bezig ben is het in IE absoluut onmogelijk om de source te jatten, dus dat schiet al op

Alsof je source interessant zou zijn

[brammetje]

Op zaterdag 16 februari 2002 22:17 schreef ddc het volgende:
Programma waar ik mee bezig ben is het in IE absoluut onmogelijk om de source te jatten, dus dat schiet al op

* u bent de zwakste schakel, bedankt.

[raptorix]

Op zondag 17 februari 2002 13:13 schreef M4rt1nvW het volgende:
Het is mogelijk om op useragent te checken, in php zijn hier kant-en-klare scriptjes voor te vinden. Ik neem aan dat je met asp ook iets kan maken/vinden wat ongeveer op het zelfde neer komt.

edit:

Hiermee wil ik dus zeggen dat rippers meestal een bepaalde user_agent achter laten en je deze dus een op foutmelding kan tracteren.

En je dacht dat je die niet kon toevoegen in je headers?

[grhmpf]

En waarom al die moeite eigenlijk

[raptorix]

Op zondag 17 februari 2002 18:33 schreef grhmpf het volgende:
En waarom al die moeite eigenlijk

Inderdaad, deed me denken aan de tijd dat ik nogal bezig was met het maken van websites, ik belde een bedrijf op met de vraag of ze al een website hadden, ik vraag wat de url daarvan is, zegt ze, mijnheer wij gaan niet aan iedereen vertellen wat ons internet adres is, wat denkt u wel

[Jorn]

Ik denk dat je het beste als je er nog niet uit was de map met plaatjes kunt beveiligen met chmod, zodat alleen een script dat op de zelfde server staat het plaatje aan mag roepen.
En dan moet je een header(bestaan die in asp) geven met no-cache ofzo.

[intoxicated]

Op zondag 17 februari 2002 20:52 schreef raptorix het volgende:
Inderdaad, deed me denken aan de tijd dat ik nogal bezig was met het maken van websites, ik belde een bedrijf op met de vraag of ze al een website hadden, ik vraag wat de url daarvan is, zegt ze, mijnheer wij gaan niet aan iedereen vertellen wat ons internet adres is, wat denkt u wel

Whehe, LOL
Mensen die zulke reacties geven hebben vaak een adres als: http://www.geocities.com/2209/SiliconValley/2342/BlaatschaapBV/website/index.html

Natuurlijk voorzien van een prachtige in Frontpage gemaakte site ('prachtig' voor een kind van 3 ja), met veel <blink> tags

[brammetje]

Op zondag 17 februari 2002 21:46 schreef intoxicated het volgende:

Mensen die zulke reacties geven hebben vaak een adres als: http://www.geocities.com/2209/SiliconValley/2342/BlaatschaapBV/website/index.html

404, typo?

[Dope-E]

Op zondag 17 februari 2002 23:27 schreef brammetje het volgende:

[..]

404, typo?

Maar goed om het nog even aan te halen, waarom al die moeite

[Infinitive]

Nu moet je nog een manier vinden om je afbeeldingen te beschermen. Want stel dat er iemand met je zwaar gecomprimeerde jpeg's vandoor gaat