Как можно обезопасить свой сайт от запросов такого вида?

Question

[bqio]

Например, на сайте лежит нумерованный файл.

example.com/145.txt

Через скрипт парсинга можно эту цифру брутфорсить начиная с нуля и до 99999 и таким образом найти этот файл, делая постоянные HTTP-запросы.

Как запретить возможность брутфорса, или может, есть методика лучше?

Answer 1

[alex1478]

1. Можно при загрузке переименовывать файлы, давая файлам названия наподобие d025a9501c8e4c95b614ef0a18796354.txt. Наиболее оптимальный вариант для статики.
2. Можно отдавать пользователям файлы через php скрипт (или что там у вас): что бы запросы к файлам были вида example.com/download.php?file=d025a9501c8e4c95b614ef0a18796354. Обращение к файлам напрямую запрещаете средствами веб сервера.

Answer 2

[Ruslan Ruslanov]

0. с помощью веб-серверов (apache, nginx, nodjs) закрывать доступ к файлам и папкам сервера
1. не хранить файл в корне проекта
2. блокировать ip

Answer 3

[bqio]

Попробовал mod_evasive. То, что нужно.

Comments

[alex1478]

Боюсь он не защитит от брутфорса имени файла, только увеличит необходимое на это время.

[bqio]

alex1478, вы правы, не помог.

[Gennick's Macleo]

Может как-то так, только подставить свой запрос вместо POST:
set $a $request_method?$http_user_agent;
if ($a = "POST?") {return 403;}

Answer 4

[Преподаватель программирования]

в .htaccess пиши это:

<Files .txt>
order allow,deny
deny from all
</Files>

Comments

[AUser0]

Кхм, автору вопроса нужно не заблокировать доступ к файлам *.txt, а усложнить скачивание с перебором i=i+1.

[Преподаватель программирования]

AUser0, а разве это не блокирует любой доступ к файлу и скачивание ?

[AUser0]

deny from all именно что полностью блокирует.

А автору вопроса нужно только УСЛОЖНИТЬ прямое скачивание, без запрета. По аналогии с MP3- и кино-сайтами, где прямые ссылки на файлы отсутствуют, вместо них постоянно "создаются" временные линки.