Datenklau vermeiden

[nomidi]

hi, ich würde mal gerne von euch ideen sammeln....


also ich habe viele zip files auf unserem server die in einer downloadarea gespeichert werden, und der link in der mysql datenbank.

dann wird ein file aufgerufen mit z.b. download.php?id=14

diesen link habe ich über session abgesichert, d.h. wen der link z.b. von anderen webseiten aufgerufen wird, und dann nicht die richtige session mit übergeben wird, wird angezeigt, dass der download nur von meiner seite aus stattfinden kann.

desweiteren kann man aber, wenn man nur ein bisschen schlau ist, den richtigen pfad der zipdatei herausfinden. und dann halt auf die zip datei verlinken.

dieses würde ich ebenfalls gerne verhindern. mir fällt nur nicht ein, wie ich das am besten lösen könnte.

eine idee die iich z.b. hatte , war tagtäglich die zipdateien umzubennen. dieses ist nur dann für leute dumm, die gerade das file dann laden, oder andere die erst am nächsten tag das file wieterladen wollen.


naja, mal sehen was ihr so für ideen habt,

[goth]

Warum packst Du die Dateien nicht in ein Verzeichnis oberhalb des Webroots ... dann kann man nur über Dein Script drauf zugreifen ... !

[TobiaZ]

oder read() (heußt das so?)

[nomidi]

ja fread heisst das glaub ich stimmt werde ich mir mal anschaune, danke

[Wurzel]

hi,

du kannst es auch mit .htaccess machen
hier funzt bei bildern 1a, warum also nicht auch mit *.zip

hiermit kannst du testen, obs klappt.

gruss wurzel

[nomidi]

hi wurzel , ich glaube das ist nicht so die dolle lösung, da dann wieder leute wo der referer unterdrückt wird, keinen zugriff bekommen.

ich habe mich nu in der zweischenzeit im manuel etwas umgesehen...

und es gut hinbekommen mit fread

[nomidi]

so, jetzt funzt mein script. nur jetzt ist es so, so lange er ein download macht, kann man gar nichts auf der seite machen, d.h. keine weiteren downloads starten, und keine anderen seiten aufrufen. vielleicht weiss ja einer rat..

hier mein code :

if ($_SESSION["userlevel"]=='0')
{ $speed = 8.5; // 8,5 kb/s download rate limit 
}
else {
 $speed = 86.5; // 8,5 kb/s download rate limit 
 }


if(file_exists($ordner.$file) && is_file($ordner.$file)) {
header("Cache-control: private");
header("Content-Type: application/octet-stream"); 
header("Content-Length: ".filesize($ordner.$file));
header("Content-Disposition: attachment; filename=\"$file\""); 
flush();
$fd = fopen($ordner.$file, "r");
while(!feof($fd)) {
echo fread($fd, round($speed*1024));
flush();
sleep(1);
}
fclose ($fd);
} 

[TobiaZ]

was meinst du genau?

was ist bei dir "auf der Seite"?

[nomidi]

also wenn man einen download startet, dann kann man halt nichts mehr machen, also keine weitere seite aufrufen, keinen anderen download starten. erst wenn man den download beendet hat, geth wieder alles.

[TobiaZ]

Das ist genau das, was du eben auch geschrieben hast.

Es ist nunmal so, wenn eine seite geladen wird, kann ich dort noch keine Links klicken. Meinst du das?

[nomidi]

hi, also beim start eines downloads wird die download.php aufgerfuen die führt u.a. das script aus.


oder besser zum verständnis...

gehe auf meine seite www.thetrain.de dort auf die downloadarea, und lade dir dort ein file. während das file gezogen wird, kann man halt nichts anderes machen... (also das kansnt du gerne ausprobieren. )

[TobiaZ]

Du meinst also, wenn der Download-Dialog auf ist? Ich hab da keine Probleme und kann weitersurfen.

EDIT:

---

Okay, auf deiner Seite komme ich nicht weiter. Aber das liegt wohl nicht am Script, denke ich. Eher macht dein Hoster da nicht mit.

---

[wahsaga]

dann gib doch dem download-link einfach ein
target="_blank"
dann öffnet der download-link sich in einer neuen seite.
die kann man dann, sobald der download-dialog da ist, schliessen, und in der 'original'-seite weiter surfen.

[TobiaZ]

ich habs jetzt begriffen.

vor dem download wird ja die nächste Seite aufgerufen, daher kommt das. wahsagas tipp sollte abhilfe schaffen.

[nomidi]

ne funzt leider immer noch net, vielleicht liegt es an unseren einstellungen. da unsere downloads nicht mehr auf unseren "webspace " sind, sondern tiefer auf unserem server verzwigt worden sind, so dass halt datenklau nicht mehr geht....