Galera é possivel bloquear acesso curl ao meu servidor ? Exemplo eu tenho um site VIP com uma chave de segurança gerada por usuario e evitar que alguem logue pelo sistema via curl ? testei com captcha e ainda consigo logar via chave com Curl
-
Com captcha e mesmo assim consegues? Mostra o código sff, pode ser a verificação desse capcha do lado servidor que está mal. Estás a guardar o que é apresentado no captcha em sessão?– MiguelCommented 20/01/2017 às 15:05
-
parece que o problema não é bloquear curl... é um captcha mal implementado– Daniel OmineCommented 20/01/2017 às 16:12
1 Resposta
Se você tiver acesso ao arquivo htaccess adicione essa linha nele:
<IfModule mod_headers.c>
Header set Access-Control-Allow-Origin "www.seudominio.com"
</IfModule>
Caso não, você terá que adicionar isso manualmente nos seus arquivos PHP
header('Access-Control-Allow-Origin: www.seudominio.com');
o Access Control Allow Origin
vai fazer com que seu site aceite somente requisições dos domínios especificados, se você setar o valor com *
ele vai aceitar requisições de qualquer site. Faça o teste ai pra ver se funciona.
Caso o exemplo acima não funcione você pode verificar uma requisição através de uma hash, exemplo:
- Ao abrir a tela de login você cria uma Session com uma hash.
- Na pagina que recebe e valida os dados de login você verifica a existência dessa Session.
Não sei o quão seguro seria esse método, mas se for só para evitar requisições de scripts acredito que funcionará uma vez que o usuário não será validado se o post for feito via cUrl para a página PHP.
Você também pode dar uma olhada em funções como o CURLOPT_HTTPHEADER
dê uma olhada nessa questão: https://stackoverflow.com/a/9391270/6907051
-
Leo não deu certo eu ainda consigo burla o sistema via curl mesmo com os passos que me informou acima ! Commented 20/01/2017 às 15:52
-
Adicionei mais algumas opções, bloquear requisições de cURL é meio difícil, o melhor caminho seria criar um hash para validar o login Commented 20/01/2017 às 16:19
-
Obg amigo, parece que deu certo a primeira só que o curl não atualizou na hora. Commented 20/01/2017 às 17:22
-
Isso é insuficiente. A adição de uma hash irá bastar que o CURL capture a hash antes, ou seja CURL-1 pega o Hash e o CURL-2 usa a hash capturada e utiliza os mesmos cookies, simples assim. O
Access Control Allow Origin
apenas afeta o client-side, o CURL é executado fora do domínio de um site. A única forma (e mesmo assim complexa) seria de fazer um javascript que gerasse um código único de acesso no lado do cliente, mesmo assim não é tão eficientes, veja isso aqui.– InkelizCommented 21/01/2017 às 0:54