Tenho um formulário de login que envia dados via post e gostaria de bloquear o login via curl. Isso é possível?
-
Minha resposta deu certo pra você?– gpupo26/07/2014 às 20:04
-
Deu sim mano valeu :D, tbm estou usando http_reference.– Leandro Costa28/07/2014 às 2:14
-
O que resolve de uma forma realmente decente é Recaptcha. De resto tudo é possível simular via CURL. O recaptcha tb pode ser resolvido por robo, mas é bem mais dificil.– Karl Zillner6/07/2017 às 17:37
-
E cuidado com filtro pelo referrer. Não é tão eficiente assim fazer isso, o cara pode ter fechado o navegador e reaberto carregando a pagina q estava aberta. Ou simplesmente alguem pode ter enviado o link pra ele por email ou por algum aplicativo de mensagem.– Karl Zillner6/07/2017 às 17:38
1 Resposta
É possível se você utilizar uma boa de engenharia para Cross-Site Request Forgery (CSRF) Prevention
.
Basicamente, seu formulário terá um campo onde você armazena um token
o qual possui um tempo de vida e é validado na url que recebe o formulário. O cUrl não saberá preencher o valor deste campo que é dinâmico e gerado durante a rendenização do <form
Exemplo extremamente simples:
<?php
$token = md5(uniqid(rand(), TRUE));
$_SESSION['token'] = $token;
?>
<form action="controller.php" method="post">
<input type="hidden" name="token" value="<?php echo $token; ?>" />
<input type="submit/>
</form>
Em controller.php:
<?php
if ($_POST['token'] == $_SESSION['token']){
/* Valid Token */
}
-
Mas na teoria se ele fizer uma acesso a página do form primeiro, e pegar esse token, ele conseguiria realizar o login sem problemas ? 9/12/2014 às 17:18
-
Sim, se mantiver a mesma sessão. Deste modo, o script precisa ser mais sofisticado. O próximo passo de segurança é utilizar Teclado Virtual ou Captcha– gpupo10/12/2014 às 14:13