[PHP]Website beveiligen tegen download tools

[daank]

Zou het mogelijk zijn om een website te beveiligen tegen de zogenaamde download tools all offline explorer of mass downloader.

Ik weet dat je als agent alleen mozilla kan toelaten , alleen tegenwoordig (of eigenlijk al een behoorlijke tijd) geven die download tools zich uit als browser.

Het is de bedoeling dat ik dus een PHP site beveilig.

iemand een idee in welke richting ik moet zoeken?

[LuCarD]

Misschien zou je een counter kunnen maken die het limiteert het aantal pagina's per minuut?

Of iets in die richting?

[dev icey]

per ip 1 connectie toestaan, misschien?

[axis]

Je zou het ze misschien wel irritanter kunnen maken, maar nooit onmogelijk. Hoe ga jij het verschil zien tussen een browser en zo'n spider? De gebruiker van die spider kan ook elke 2 seconden 1 request doen over 1 enkele thread. Dan zie jij niets bijzonders.

Je zou wel bijvoorbeeld bepaalde hidden links kunnen verstoppen in je site die het ip meteen blocken als ze op de link 'klikken', maar daar wordt je ook niet veel wijzer van.

[daank]

aan het limiteren per tijd zat ik ook al aan te denken , alleen limiteer je daarmee de snelheid van de site , wat ook niet de bedoeling is.

axis schreef op 20 april 2004 @ 15:35:
Je zou het ze misschien wel irritanter kunnen maken, maar nooit onmogelijk. Hoe ga jij het verschil zien tussen een browser en zo'n spider? De gebruiker van die spider kan ook elke 2 seconden 1 request doen over 1 enkele thread. Dan zie jij niets bijzonders.

Je zou wel bijvoorbeeld bepaalde hidden links kunnen verstoppen in je site die het ip meteen blocken als ze op de link 'klikken', maar daar wordt je ook niet veel wijzer van.

hmmz .. zo een hidden link is eigenlijk wel een heel goed idee.
en om te zorgen dat er geen gebruiker gebruik van maakt zou die zich kunnen unblocken via een POST form ...
nice one

[Wirf]

Anders kun je misschien ook wel met cookies werken, voer een cookie aan diegene die download, kijk of later dat cookie nog de goede waarde heeft, zoniet, dan zal het vast wel een mass downloader zijn.

Op die manier is het haast onzichtbaar voor de gebruiker (geen rare POST forms die die moet invullen als ie geblokt wordt etc.)

(ik ga er vanuit dat die downloaders geen cookies ondersteunen, ik heb er zelf geen om het te controleren)

[daank]

Cookies is inderdaad ook een idee .. alleen zou ik het persoonlijk dan via een session doen , ik ben zelf niet zo een fan van cookies namelijk

[pagani]

In je pagina een soort login inbouwen met een gegenereerd plaatje. Gebruiker moet de code die in het plaatje staat intoetsen voor de rest van de pagina geparsed wordt.

[Verwijderd]

DaanK schreef op 20 april 2004 @ 15:57:
Cookies is inderdaad ook een idee .. alleen zou ik het persoonlijk dan via een session doen , ik ben zelf niet zo een fan van cookies namelijk

Je kan die check alleen uitvoeren via een cookie, session is serverside en heeft dus niets te maken met de mass-download-tool.

johnnyv.nl schreef op 20 april 2004 @ 16:07:
In je pagina een soort login inbouwen met een gegenereerd plaatje. Gebruiker moet de code die in het plaatje staat intoetsen voor de rest van de pagina geparsed wordt.

Juist dat is de goeie manier. Je maakt een sessie aan, in deze sessie sla je een random ID op (als MD5). Het random ID genereer je als plaatje (niet MD5 natuurlijk).
Bij het overtypen van het plaatje wat je dan doet en daarna de post(of get) kan je de ingevulde data vergelijken met de data in de session. Als de data goed is dan parse je met PHP (dus geen link/redirect naar de exe file) de file door naar de gebruiker.

[_Squatt_]

Wirf schreef op 20 april 2004 @ 15:44:
(ik ga er vanuit dat die downloaders geen cookies ondersteunen, ik heb er zelf geen om het te controleren)

Wget kan cookies meesturen. Dit maakt het dus ook alleen iets lastiger, niet onmogelijk.

[Verwijderd]

Je kan dit regelen door bijvoorbeeld een post formulier met buttons te plaatsen, wanneer iemand wat wil downloaden moeten ze een form versturen, dat doen dit soort offline downloaders namelijk niet.

dus er zijn 2 mogelijkheden.

1. werken met formulieren zodat de posting de download activeert
2. werken met een geheime code (zie hier)

Succes!

[Tom-Eric]

Op het moment dat je "automatische downloaders" gaat stoppen houd je ook zoekrobots tegen zoals google. Als je met hidden links gaat werken die de toegang tot de site limiteren, dan is de kans groot dat je ergens onderin de lijst komt, of totaal niet in de lijst.

[CrashOne]

De meeste search spiders die je site bezoeken doen in een kort tijds bestek (binnen een minuut) meerdere requests blijkt uit mijn logs. Dus Daar hoef je niet bang voor te zijn.

Wat je kan doen is als iemand binnen zoveel seconde je pagina meerdere keren op vraagt hem die sessie alleen nog maar lege pagina's te geven.

[Tom-Eric]

CrashOne schreef op 21 april 2004 @ 07:57:
De meeste search spiders die je site bezoeken doen in een kort tijds bestek (binnen een minuut) meerdere requests blijkt uit mijn logs. Dus Daar hoef je niet bang voor te zijn.

Wat je kan doen is als iemand binnen zoveel seconde je pagina meerdere keren op vraagt hem die sessie alleen nog maar lege pagina's te geven.

Ik denk niet dat wget zo in elkaar zit dat het de langst mogelijke wegneemt als je de --mirror optie gebruikt. Sterker nog, ik durf te zeggen dat de meeste website download tools zich hetzelfde gedragen als een search spider.

[daank]

Verwijderd schreef op 20 april 2004 @ 17:14:

Juist dat is de goeie manier. Je maakt een sessie aan, in deze sessie sla je een random ID op (als MD5). Het random ID genereer je als plaatje (niet MD5 natuurlijk).
Bij het overtypen van het plaatje wat je dan doet en daarna de post(of get) kan je de ingevulde data vergelijken met de data in de session. Als de data goed is dan parse je met PHP (dus geen link/redirect naar de exe file) de file door naar de gebruiker.

alleen is dat niet handig aangezien ik geen gebruiker registratie of iets dergelijks.
De content die op de website staat moet snel bekeken kunnen worden ... als men een code oid moet intypen zal dit ze afschrikken ben ik bang.

zoals het er nu naar uitziet gaat ik nog voor de blinde link die als ie getriggerd word het ip-nummer blocked.

[Verwijderd]

zet die dan op de index pagina boven de rest, waarschijnlijk is het verhaaltje dan gelijk klaar.
Tenminste, het is alleen maar lastiger maken. Je moet er vanuit gaan dat alles wat voor de buitenwereld te zien is, ook te rippen is. Het is een beetje hetzelfde als de mensen die wanhopig proberen plaatjes te beschermen.

[plakbandrol]

je kan helemaal aan het begin van de pagina iets zetten in de trent van

<a href="ipblock.php"></a>

die ipblock.php zorgt er dus voor dat je een totale ip ban krijgt (bijvoorbeeld voor 1 uur)

omdat de <a> tag gelijk weer wordt gesloten ziet de gebruiker het niet, maar zo'n mass downloader scanned de source voor href's en zal gelijk in deze valkuil trappen

[ Voor 12% gewijzigd door plakbandrol op 21-04-2004 14:45 ]

[Wirf]

Nog een: Javascript

HTML:

<script language=javascript>
document.write("<A H" + "ref=http://ww" + "w.blaaa" + "aat.nl/plaa" + "aaatje.jpg>" + "Klik hier voor 
het mooie plaatje dat (C) mij is en NIET GEKOPIEERD mag worden ;-)</a>");
</script>

offtopic:
mja, ik ben een beetje melig

[ Voor 18% gewijzigd door Wirf op 22-04-2004 00:53 ]