Schützen von Datei-Aufrufen

[Denyo256]

Hallo zusammen,

ich bin gerade mit meinem Kunden auf eine interessante Fragestellung gestoßen.
Und zwar habe ich für diesen einen Bilderwettbewerb realisiert, bei dem die Bilder in Flash angezeigt werden und beim Klicken werden die Stimmen für das Bild über ein LoadVars()-Objekt an PHP und damit an die Datenbank gesendet.

Wir haben uns jetzt gefragt, ob es Betrugsversuche geben kann, was ja nur über den direkten Aufruf der zugehörigen PHP-Datei gehen kann.

- Gibt es die Möglichkeit, die Kommunikation zwischen Flash und PHP irgendwie "abzufangen" um den Pfad des PHP-Skriptes und die Bild-ID auszulesen? Wenn ja, lässt sich das Skript irgendwie vor unerlaubtem Zugriff schützen?

Ich hoffe, ihr habt mir ne Antwort
Denyo

[sebastian]

Hallo,
ganz sicher bekommst du das nie, kannst es nur erschweren.
Aber verstehe das Problem in diesem Fall auch nicht.

Was wäre so schlimm, wenn ein User einen Wert direkt übermittelt, den
er auch über das Interface übermitteln kann? Ist keine Sicherheitslücke
und er kann nichts manipulieren, weil es dann auch eine Manipulation
wäre, wenn er normal abstimmt.

Problematisch wird das z.B. erst, wenn du Werte übermitteln willst, die
nicht direkt eingegeben werden können (z.B. erspielte Punkte in einem Spiel)

[laxersaz]

Naja, einer der Künstler könnte per Script die PHP-Datei mit Anfragen überschwemmen, damit er gewinnt. Auf jeden Fall wär so etwas wie eine IP-Abfrage des abstimmenden sinnvoll. Man könnte auch mit Sessions arbeiten und von jeweils einer Session immer nur eine Stimme zulassen.

[sebastian]

Ja natürlich, das musst du aber immer. Sonst könnte er auch
einen Bot bauen, der 1000x für ihn klickt.

Würde festlegen, dass pro Tag eine Stimme abgegeben werden kann.

[sonar]

Um "Manipulation" zumindest zu erschweren:

1. per Flash ein Cookie/LSO setzen, dass schon mal abgestimmt wurde

2. einen direkten Aufruf der PHP-Datei unterbinden, indem man von Flash eine Art Kontrollvariable mitsendet, und nur, wenn die da ist, tut das PHP-Skript was.

Kann man beides mit Kenntnis der Materie aushebeln, aber - wie gesagt - Betrugsversuche oder was auch immer werden erschwert.

[Denyo256]

Das mit der Session ist leider nicht machbar, da die Bilder immer im Vergleich zu anderen Bildern bewertet werden sollen, also aus einer Auswahl von vier Bildern bekommt immer eins eine Stimme, danach kommen wieder vier Bilder.

In der Datenbank ist eine Manipulation auch zu sehen, denn es werden Betrachtungen und Stimmen gezählt, die Betrachtungen aber mit einem anderen Skript. Nur seltsam, wenn dann plötzlich mehr Stimmen als Betrachtungen auftauchen

Ich denke aber, die Lösung mit der Variablen ist gut, ich übergebe sowieso noch die aktuelle Zeit mit um den Browsercache zu umgehen. Das kann ich ja auch als Sicherheitsabfrage mit einbinden.

Auf jeden Fall danke, ich glaube, damit kann ich jetzt arbeiten und der Kunde dürfte zufrieden sein. Ganz ausschließen lässt sich eine Manipulation natürlich nie, aber man kann den Aufwand erhöhen

[sebastian]

Aber wenn du etwas siehst, hast du doch schon einen weiteren Schutz:

Wenn ein Bild nicht aufgerufen wurde, kann es auch nicht bewertet werden.

Musst es dem potentiellen Hacker möglichst kompliziert machen, damit er den Spaß verliert.

-

Wie wäre es außerdem, wenn du einfach anonyme Bilder vom Server lädst?
Also wird halt nicht immer über die id "bild15" geladen, sondern über
irgendeinen Hash, der jedes Mal anders ist und nur einmal gültig.

Dann wird es schwierig das eigene Bild per Script zu pushen. Müsste man
schon die Bilder auf Binärebene vergleichen.

gruß

[laxersaz]

Hey, die Hash-Idee find ich richtig cool!