0

Galera é possivel bloquear acesso curl ao meu servidor ? Exemplo eu tenho um site VIP com uma chave de segurança gerada por usuario e evitar que alguem logue pelo sistema via curl ? testei com captcha e ainda consigo logar via chave com Curl

2
  • Com captcha e mesmo assim consegues? Mostra o código sff, pode ser a verificação desse capcha do lado servidor que está mal. Estás a guardar o que é apresentado no captcha em sessão?
    – Miguel
    Commented 20/01/2017 às 15:05
  • parece que o problema não é bloquear curl... é um captcha mal implementado Commented 20/01/2017 às 16:12

1 Resposta 1

3

Se você tiver acesso ao arquivo htaccess adicione essa linha nele:

<IfModule mod_headers.c>
    Header set Access-Control-Allow-Origin "www.seudominio.com"
</IfModule>

Caso não, você terá que adicionar isso manualmente nos seus arquivos PHP

header('Access-Control-Allow-Origin: www.seudominio.com'); 

o Access Control Allow Origin vai fazer com que seu site aceite somente requisições dos domínios especificados, se você setar o valor com * ele vai aceitar requisições de qualquer site. Faça o teste ai pra ver se funciona.

Caso o exemplo acima não funcione você pode verificar uma requisição através de uma hash, exemplo:

  1. Ao abrir a tela de login você cria uma Session com uma hash.
  2. Na pagina que recebe e valida os dados de login você verifica a existência dessa Session.

Não sei o quão seguro seria esse método, mas se for só para evitar requisições de scripts acredito que funcionará uma vez que o usuário não será validado se o post for feito via cUrl para a página PHP.

Você também pode dar uma olhada em funções como o CURLOPT_HTTPHEADERdê uma olhada nessa questão: https://stackoverflow.com/a/9391270/6907051

4
  • Leo não deu certo eu ainda consigo burla o sistema via curl mesmo com os passos que me informou acima ! Commented 20/01/2017 às 15:52
  • Adicionei mais algumas opções, bloquear requisições de cURL é meio difícil, o melhor caminho seria criar um hash para validar o login
    – Leo Letto
    Commented 20/01/2017 às 16:19
  • Obg amigo, parece que deu certo a primeira só que o curl não atualizou na hora. Commented 20/01/2017 às 17:22
  • Isso é insuficiente. A adição de uma hash irá bastar que o CURL capture a hash antes, ou seja CURL-1 pega o Hash e o CURL-2 usa a hash capturada e utiliza os mesmos cookies, simples assim. O Access Control Allow Origin apenas afeta o client-side, o CURL é executado fora do domínio de um site. A única forma (e mesmo assim complexa) seria de fazer um javascript que gerasse um código único de acesso no lado do cliente, mesmo assim não é tão eficientes, veja isso aqui.
    – Inkeliz
    Commented 21/01/2017 às 0:54

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .