5

Existe alguma forma de limitar o envio de formulários POST por terceiros ao meu site? Negar todos, tipo existe o cURL que faz isso como um robo, mas eu queria inibir, tem como?

Quando digo terceiros digo vindos de outro site nao sendo o meu.

11
  • 1
    Uma das maneiras é examinar a variável de servidor HTTP_REFERER, mas ela ainda pode ser forjada facilmente. Se você realmente precisa de proteção contra este tipo de envio, seria o caso de usar uma variável de sessão e um ID num campo escondido do formulário, o que limitaria o envio com aquele ID por um determinado tempo. Caso a pessoa demore demais no formulário real, basta apresentá-lo novamente, com novo ID oculto, mantendo os dados já preenchidos, e solicitando que o envio seja feito novamente.
    – Largato
    Commented 1/04/2015 às 21:12
  • Frameworks como o Laravel 5 limitam o tipo de acesso de cada página por get ou post, e caso haja um nível de permissão por usuário você ainda pode associar o nível de acesso a "post" por determinados usuários apenas, ou seja, apenas usuários logados com privilégios "x" pode dar post na página "y". Commented 1/04/2015 às 21:51
  • recaptcha.net
    – user622
    Commented 2/04/2015 às 2:08
  • 1
    estou tentando proteger o flood/spam com um formulário, nao quero que terceiros a use @PeerBr
    – Elaine
    Commented 5/04/2015 às 3:33
  • 1
    um captcha não necessitaria fazer drásticas mudanças.. apenas uma simples implementação Commented 6/04/2015 às 2:04

2 Respostas 2

3

Para qualquer medida sua, pense em duas economias: Primeiro, custo de não fazer nada (alto para um banco, baixo para um blog) vs. custo da medida (desenvolvimento, manutenção, atrito para usuários legítimos). Segundo, medidas aumentam o custo do atacante mais do que o custo para você e seus usuários. Segurança nunca é absoluta e sempre um compromisso.

Limitar acesso automatizado/repetido (bots/spam)

Formulários são abusados por flooding de forma manual ou automatizada. Qualquer ataque será o mais parecido possível a uma solicitação legítima - o esforço do atacante dependerá da recompensa.

  • Usar recaptcha etc.
  • Bloquear sessão ou IP após x tentativas1
  • Limitar envio a x tentativas/minuto por IP1 ou para o site todo (que pode prejudicar usuários legítimos)
  • Retornar um ID único que foi gerado ao exibir o formulário, válido por um único envio e por tempo limitado (a Wikipedia faz algo parecido. O atacante teria que recarregar o formulário, aumentando a carga do servidor)
  • Criar um intervalo de pausa. Se seu form responde em 0.5s, um intervalo de 5s é tolerável para usuários e reduz o número de envios de 120/s para 12/s
  • Necessitar uma resposta por e-mail
  • Criar uma autenticação manual ("seu cadastro precisa ser autorizado pelo administrador").

Limitar acesso de pessoas não previamente autenticadas

Lembre de que HTTP é stateless, sem estado. A princípio, cada chamada você recebe sem histórico prévio e precisa comprovar que já aprovou o emitente antes:

  • Provar que o usuário foi autenticado previamente (ele fornece um cookie ou um attributo POST de uma sessão que existe no servidor - terceiros têm que advinhar ou roubar o ID de uma sessão ativa no servidor)
  • Provar que ele visitou outro endereço antes (HTTP_REFERER - facilmente forjado)
  • Provar que eles sabem certo segredo (endereço/senha/atributo no POST especial - pode vazar ou ser detectado facilmente).

Limitar acesso de todos requests

  • Banir sequencias de IPs (de infratores conhecidos, de fora da rede da empresa/do cliente, de certo país - pode ser forjado e atrapalha usuários legítimos acessando de um lugar incomum, como viajantes)
  • Banir certos requests (p. ex. nunca receber POST).

1Tudo relacionado ao IP pode ser enganado por usar vários IPs, VPNs ou adquirir um IP novo.

3
  • O mais viável para mim seria Provar que o usuário foi autenticado previamente (ele fornece um cookie ou um attributo POST de uma sessão que existe no servidor - mais seguro pois terceiros têm que advinhar ou roubar o ID de uma sessão ativa no servidor) tem como falar mais sobre?
    – Elaine
    Commented 5/04/2015 às 3:35
  • 1
    @Elaine uma ideia seria usar o captcha com sessão e combinado com ajax, assim não precisaria de autenticação, o usuário enviaria um POST, o sistema solicitaria o captcha, se for humano vai ter que digitar o código da imagem, após isto o usuário pode navegar e também pode adicionar um timer para expirar a sessão após 10 minutos de inatividade, assim terá que digitar o captcha novamente. Acho que assim fica mais rápido para o usuário que criar uma conta de acesso. Pela sugestão do captcha, considero esta uma das me possíveis melhores respostas aqui +1.
    – Syzoth
    Commented 5/04/2015 às 6:01
  • 1
    @Elaine Isso descreve o funcionamento da session em PHP. Você inicia com session_start() em qualquer request, e poderá usar $_SESSION. PHP cuidará do resto para você - para usar cookies, coloca session.use_cookies = on and session.use_only_cookies = on na php.ini. Veja que isso não resolve o problema de quem pode obter uma session! Normalmente, isso acontece após o usuário efetuar login.
    – PeerBr
    Commented 5/04/2015 às 14:25
-1

Algo efetivo é verificar o "dns reverse lookup". No seu provedor de hospedagem, configure ou peça para que seja configurado o "dns reverse lookup" ou "dns reverso" em português.

Então sempre que receber um request (POST, GET), verifique o "dns reverse lookup" pelo IP.

No PHP há funções rede como gethostbyname, gethostbyaddr e dns_get_record com as quais poderá extrair os dados para auxiliar na "autenticação".

Note que o "dns reverse lookup" também pode ser burlado, portanto não confie 100% como se fosse uma solução absoluta. No entanto, é muito mais seguro do que verificar somente o HTTP_REFERER. O HTTP_REFERER é facimente manipulado, inclusive pelo CURL tem opção para tal. Mas o dns reverso requer mudança na configuração do servidor que submete os dados.

Podemos dizer que 99.999% dos bots não tem condições para mudar o dns reverso dos servidores que utilizam porque, logisticamente, os bots tem como alvo milhões de servidores e precisariam ter modificar milhões de vezes o dns reverso dos servidores pelos quais executam seus scripts. É algo inviável devido ao alto custo.

Exemplo, se o seu site tem o endereço www.seu.site, defina o dns reverso para "www.seu.site". Em servidor de hospedagem compartilhado normalmente não permite-se customizar, mas vc pode pedir para a empresa que administra o servidor, que ao menos configure o dns reverso para que seja retornado um nome válido. Geralmente fica algo como "endereço.provedor.hopedagem".

1

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .