Можно ли как то запретить POST c другого сервера?

Question

[Максим Гречушников]

Есть древний проект. Кто-то использует CSRF для отправки почты на ящики компаний партнеров.
Могли бы посоветовать как с меньшими затратами сделать защиту от отправки сообщений через форму? Капча стоит.

Подозреваю, что какой то скрипт фигачит постом на нужный адрес нужные поля. Решил что можно запретить POST со всех хостов/IP кроме своего. Можно ли так сделать?

Answer 1

[ТыжСисАдмин]

POST запрос отправляется не сервером а клиентом и фильтровать это всё добро по IP не пойдёт.

гуглите в сторону CSRF-token для вашего ЯП

Answer 2

[Оптимус Пьян]

в htaccess
order deny,allow
deny from all
allow from xxx.xxx.xxx.xxx

где ххх - ваш ip

Comments

[Максим Гречушников]

это не может быть решением. проект общедоступный региональный. доступ всем нужен по get и post
но нужна проверка какая-то, если POST с другого сервера, с другого реферера, то блокировать

[Оптимус Пьян]

Максим Гречушников: Просто смените для начала адрес страницы на который post посылается и всё. Далее на странице post можно сделать ещё поле для ввода кода, который знаете только вы, т.е. в ваших скриптах он будет. Другое дело что если кто-то к ФТП доступ заимел, сначала надо все пароли сменить

[Максим Гречушников]

Дмитрий: это все я уже сделал. потому уже и обратился.
сделал дополнительно ловушку в виде скрытого поля с именем mail и если оно заполнено, то пропускаем

[Оптимус Пьян]

Максим Гречушников: не знаю тогда, сложно так сказать не видя приложения и без понимания кто там что в post может отправлять ))

Answer 3

[nonlux]

iptables
Пример

Comments

[Максим Гречушников]

это запретит с определенного IP насколько я понимаю. а что если долбится с совершенно разных IP? всех не опишешь

[nonlux]

это же пример запрета пост. ) По гугли. Тебе надо 2 правила:
- разрешить пост для одного ip (твоего)
- запретить пост для всех

[Максим Гречушников]

nonlux: спс. попробую

[nonlux]

просто я слету сейчас не напишу, давно с iptables не работал

[Максим Гречушников]

nonlux: посмотрим поддерживает ли iptables хостер. на clodo.ru ядро не поддерживало помнится