Forum PHP.pl

Pewnie dużo osób się zastanawiało jak zabezpieczyć się przed proxy. Dzisiaj jakoś mnie natchnienie wzięło i przeszukałem zmienną globalną $_SERVER i znalazłem kilka wpisów które różnią się od normalnego wejścia, a wejścia z proxy.
Kod pozwoli ci się zabezpieczyć przed proxy typu Hitfaker i HTTP.

[PHP] pobierz, plaintext 
$_SERVER['SERVER_PROTOCOL'] - pokazuje protokoł przeglądarki
$_SERVER['HTTP_CONNECTION'] - sam nie wiem
$_SERVER['HTTP_ACCEPT_LANGUAGE'] - zwraca język danej przeglądarki
$_SERVER['HTTP_ACCEPT_ENCODING']- zwraca szyfrowanie(ewentualnie)
[PHP] pobierz, plaintext 

To są te zmienne.
I teraz jak to zastosować w praktyce?
No tak! Możemy użyć prostych if'ów(zapytań).
Najpierw zamienimy zmienne globalne w lokalne i wszystko damy sobie w funkcje aby kod był bardziej przejrzysty.

[PHP] pobierz, plaintext 
function wykryj(){
$proto = $_SERVER['SERVER_PROTOCOL'];
$conn =  $_SERVER['HTTP_CONNECTION'];
$langua =  $_SERVER['HTTP_ACCEPT_LANGUAGE'];
$accept = $_SERVER['HTTP_ACCEPT_ENCODING'];
}
[PHP] pobierz, plaintext 

Teraz stworzymy jądro skryptu(ify).
No to najpierw zrobimy trudniejsze zapytanie. Zajmiemy się zmienną $_SERVER['HTTP_ACCEPT_ENCODING']

[PHP] pobierz, plaintext 
function wykryj(){
$proto = $_SERVER['SERVER_PROTOCOL'];
$conn =  $_SERVER['HTTP_CONNECTION'];
$langua =  $_SERVER['HTTP_ACCEPT_LANGUAGE'];
$accept = $_SERVER['HTTP_ACCEPT_ENCODING'];
$proxy = 0;
// zmienna która będzie zwracać funkcja
$aha = "gzip";
$strpos = strpos($accept,$aha);
// funkcja szuka w stringu jeżeli go nie znajdzie to zwróci false
if($strpos === false){
    $proxy = 1;
    }
}
[PHP] pobierz, plaintext 

To teraz dodamy zmienną $_SERVER['SERVER_PROTOCOL']. Na zwykłych przeglądarkach zwraca on HTTP/1.1 . Na proxy zwraca czasami HTTP/1.0 . Więc to już cos (IMG:style_emoticons/default/smile.gif)

[PHP] pobierz, plaintext 
function wykryj(){
$proto = $_SERVER['SERVER_PROTOCOL'];
$conn =  $_SERVER['HTTP_CONNECTION'];
$langua =  $_SERVER['HTTP_ACCEPT_LANGUAGE'];
$accept = $_SERVER['HTTP_ACCEPT_ENCODING'];
$proxy = 0;
// zmienna która będzie zwracać funkcja
$aha = "gzip";
$strpos = strpos($accept,$aha);
// funkcja szuka w stringu jeżeli go nie znajdzie to zwróci false
if($strpos === false){
    $proxy = 1;
    }
elseif($proto != "HTTP/1.1")
    {   
        $proxy = 1;
    }
}
[PHP] pobierz, plaintext 

Dobra, dodaliśmy 2 zabezpieczenia, zostały ostatnie 2. Zrobimy Connection(normalnie zwraca "Keep-Alive", na proxy albo nic nie zwróci lub "close") i LANGUAGE(Zwraca język przeglądarki).

[PHP] pobierz, plaintext 
function wykryj(){
$proto = $_SERVER['SERVER_PROTOCOL'];
$conn =  $_SERVER['HTTP_CONNECTION'];
$langua =  $_SERVER['HTTP_ACCEPT_LANGUAGE'];
$accept = $_SERVER['HTTP_ACCEPT_ENCODING'];
$proxy = 0;
// zmienna która będzie zwracać funkcja
$aha = "gzip";
$strpos = strpos($accept,$aha);
// funkcja szuka w stringu jeżeli go nie znajdzie to zwróci false
if($strpos === false){
    $proxy = 1;
    }
elseif($proto != "HTTP/1.1")
    {   
        $proxy = 1;
    }
elseif($conn == ""){
        $proxy = 1;
    }
    elseif($langua == ""){
        $proxy = 1;
        }
}
[PHP] pobierz, plaintext 

I można powiedzieć że to już koniec, jeszcze dodamy return i upiększymy trochę kodzik.

[PHP] pobierz, plaintext 
function wykryj(){
$proto = $_SERVER['SERVER_PROTOCOL'];
$conn =  $_SERVER['HTTP_CONNECTION'];
$langua =  $_SERVER['HTTP_ACCEPT_LANGUAGE'];
$accept = $_SERVER['HTTP_ACCEPT_ENCODING'];
$proxy = 0;
// zmienna która będzie zwracać funkcja
$aha = "gzip";
$strpos = strpos($accept,$aha);
// funkcja szuka w stringu jeżeli go nie znajdzie to zwróci false
if($strpos === false){
    $proxy = 1;
    }
elseif($proto != "HTTP/1.1")
    {   
        $proxy = 1;
    }
elseif($conn == ""){
        $proxy = 1;
    }
    elseif($langua == ""){
        $proxy = 1;
        }
return $proxy;
}
[PHP] pobierz, plaintext 

Pamiętajcie aby użyć elseif a nie dawać kolejne if'y. Zwykłymi ifami dałoby rade lecz po co sobie utrudniać życie.
To zostało nam tylko użyć naszej funkcji.

[PHP] pobierz, plaintext 
function wykryj(){
$proto = $_SERVER['SERVER_PROTOCOL'];
$conn =  $_SERVER['HTTP_CONNECTION'];
$langua =  $_SERVER['HTTP_ACCEPT_LANGUAGE'];
$accept = $_SERVER['HTTP_ACCEPT_ENCODING'];
$proxy = 0;
// zmienna która będzie zwracać funkcja
$aha = "gzip";
$strpos = strpos($accept,$aha);
// funkcja szuka w stringu jeżeli go nie znajdzie to zwróci false
if($strpos === false){
    $proxy = 1;
    }
elseif($proto != "HTTP/1.1")
    {   
        $proxy = 1;
    }
elseif($conn == ""){
        $proxy = 1;
    }
    elseif($langua == ""){
        $proxy = 1;
        }
//tutaj ew. można napisać co ma zrobić jak nie będzie proxy
$t = $_SERVER['REMOTE_ADDR'];
$cz = gethostbyaddr($_SERVER['REMOTE_ADDR']);
$temp = mysql_query("INSERT INTO `lnazwa bazy`.`nazwa tabeli` (
`SERVER_PROTOCOL` ,
`REMOTE_ADDR` ,
`HOST` ,
`HTTP_CONNECTION`,
`HTTP_ACCEPT_ENCODING`,
`HTTP_ACCEPT_LANGUAGE`,
`proxy`
)
VALUES (
 '$proto', '$t', '$cz', '$conn','$langua','$accept','$proxy'
);") or die(mysql_error());
 
return $proxy;
}
 
 
 
$wyk = wykryj();
if($wyk == 0){
    echo "Nie wykryto proxy";
}
else
{
    echo "WYKRYTO PROXY";
}
 
[PHP] pobierz, plaintext 

Można też zrobić tak(sposób Pawel_W)

[PHP] pobierz, plaintext 
function wykryj(){
$proto = $_SERVER['SERVER_PROTOCOL'];
$conn =  $_SERVER['HTTP_CONNECTION'];
$langua =  $_SERVER['HTTP_ACCEPT_LANGUAGE'];
$accept = $_SERVER['HTTP_ACCEPT_ENCODING'];
$proxy = 0;
// zmienna która będzie zwracać funkcja
$aha = "gzip";
$strpos = strpos($accept,$aha);
// funkcja szuka w stringu jeżeli go nie znajdzie to zwróci false
    if($strpos === false || $proto != "HTTP/1.1" || $p == "" || $s == ""){
    $proxy = 1;
    }
//tutaj ew. można napisać co ma zrobić jak nie będzie proxy
$t = $_SERVER['REMOTE_ADDR'];
$cz = gethostbyaddr($_SERVER['REMOTE_ADDR']);
$temp = mysql_query("INSERT INTO `lnazwa bazy`.`nazwa tabeli` (
`SERVER_PROTOCOL` ,
`REMOTE_ADDR` ,
`HOST` ,
`HTTP_CONNECTION`,
`HTTP_ACCEPT_ENCODING`,
`HTTP_ACCEPT_LANGUAGE`,
`proxy`
)
VALUES (
 '$proto', '$t', '$cz', '$conn','$langua','$accept','$proxy'
);") or die(mysql_error());
 
return $proxy;
}
 
 
 
$wyk = wykryj();
if($wyk == 0){
    echo "Nie wykryto proxy";
}
else
{
    echo "WYKRYTO PROXY";
}
 
[PHP] pobierz, plaintext 

Mój system na 3 240 proxy przepuścił tylko jedno, więc to już coś (IMG:style_emoticons/default/smile.gif)
Podziękowania dla Pigola który pomógł mi w tym temacie (IMG:style_emoticons/default/wink.gif) Temat: Szukanie w stringu danego tekstu
Zdjęcia bazy
(IMG:http://iv.pl/images/13259010426311640687.jpg)
(IMG:http://iv.pl/images/48001239593962469983.jpg)
A tutaj krótki filmik (IMG:style_emoticons/default/smile.gif)
http://www.youtube.com/watch?v=eLT1aJSyBiE
po chwili(rezultat bombardowania proxami)
http://www.youtube.com/watch?v=r-15YK5nAHw
Jestem nowy w php więc jeżeli coś jest nie tak to prosiłbym o poprawienie.
Fajnie gdyby temat został podpięty, mało osób wie jak się zabezpieczyć "porządnie" przed proxy.
Kod i tutka napisałem samemu, nie pozwalam na kopiowanie.

Ten post edytował jackraymund 4.07.2011, 11:27:43

nazwy zmiennych typu "iksde", mieszanie polskich nazw z angielskimi, porażka (IMG:style_emoticons/default/tongue.gif)

Mam taki nawyk by nazywać zmienne byle by się nie powtarzały. To też przez inne języki w których programowałem, w dodatku mam 14lat, to też robi swoje.
@down
no niby tak, lecz kto jej nie używa? testowałem na operze, ie, firefox i chrome
@down2
no tak też można by było zrobić lecz nie o to dokładnie mi chodziło przy utrudnianiu życia (IMG:style_emoticons/default/biggrin.gif) (chodziło o elseif'y a if'y)


Ten post edytował jackraymund 3.07.2011, 23:12:45

A tak z ciekawości, w jaki sposób sprawdziłeś skrypt w tych 3 tysiącach proxy? To jakiś program czy może strona? Podziel się jeśli możesz (IMG:style_emoticons/default/smile.gif)

Google -> hitfaker

@edit
Swoją droga robienie dodatkowych zmiennych global -> local jest bez sensu, bo gorzej zorientować się w kodzie.
Dodatkowo funkcja powinna zwracać typ boolean a nie int

Ten post edytował Fifi209 7.07.2011, 19:02:56

@jackraymund: Polecam specyfikację protokołu HTTP bo to co tutaj podałeś nie ma kompletnie nic wspólnego z proxy.

Jakiś czas temu też się nad tym zastanawiałem, ale tak na prawdę to taki sposób zadziała tylko częściowo. Bo nagłówki serwer proxy może sobie jak chce wysyłać i tak na prawdę nie musi ich wysłać wcale. A wtedy dostaniesz tylko adres IP serwera z którego przyszedł request. Musiałbyś mieć wtedy adresy IP wszystkich serwerów proxy. A co jeżeli ktoś na cel włamu do ciebie, postawi sobie serwer proxy na jakimś vps? Porzuciłem rozwiązanie problemu w taki sposób, to zwyczajnie jest to nie osiągalne. Nie możesz się opierać na nagłówkach, zwłaszcza tych które są opcjonalne, bo w tych nagłówkach czasami można wysłać wszystko, jak chociażby css, efektem czego takie triki: http://mathiasbynens.be/demo/css-without-html podejrzyj sobie źródło (IMG:style_emoticons/default/wink.gif)