imported_kremser

nachdem man mit readfile() grosse (~100mb) dateien schlecht handlen
kann und ich auch (durch php) keine zugriff auf meine logfiles hab, hab
ich mir gedacht das ganze mit modrewrite zu probieren.. jedoch
scheiterts zur zeit an der durchführung. ich hätte das ganze so gemacht:

• datei.mp3 wird angefordert

• wegen des mod rewrite codes wird der request (für den user
  logischerweise unsichtbar) auf download.php weitergeleitet

• dort wird die ip und die zeit gespeichert

• in der .htaccess datei ist eine ausnahme für den referer
  http.......download.php gesetzt dadurch kann jetzt das file datei.mp3
  downgeloaded werden

das problem ist, dass bei header("location...") kein referer mitgeschickt wird.

wie kann man den referer mit php manipulieren?
hat vielleicht wer einen anderen lösungsvorschlag?

übrigens - der grund für mein vorhaben:
http://www.phpfriend.de/forum/ftopic61869.html

mfg kremser

Mister Ad

Zergling-new

Dann wechselt der Angreifer die IP ..
Ich würde eher provider-seitig den Traffic beschränken lassen. PHP ist da aber eher ungeeignet.

imported_kremser

naja bei den beiden fällen war es immer eine gleichbleibende ip

ich habe bereits nachgefragt ob man den traffic pro ip begrenzen kann, aber das ist
leider nicht möglich. eigentlich habe ich ja "unendlich traffic", aber ich denk mir
wenn ich mal 4 tb traffic habe dann wird der "unendliche traffic" auch zusatzkosten
verursachen.

Flor1an

Allein weil der Referer durch den User manipuliert werden kann und dadurch wieder eine Sicherheitslücke entstehen kann. Wie Zergling gesagt hat lass deine Brandbeite beschränken und vlt. eine Downloadsperre einrichten die nur so und so viele Verbindung für eine IP erlaubt bzw. eine Datei nur so und so oft ...

imported_kremser

das ist ja genau das was ich suche aber wie mach ich das nur?
der hoster kanns ja wie gesagt nicht machen.

ansonsten wird mir wahrscheinlich wird mir eh nichts anderes über bleiben
als ein "overall"-limit setzen zu lassen, was dann aber zum nachteil der
braven user wäre.

KingCrunch

Der Apache kann meines Erachtens die Anzahl der möglichen Verbindungen von Haus aus beschränken. Ebenso (wobei glaub net von Haus aus) die Bandbreite.

Eine Möglichkeit per PHP wäre zwar recht systemlastig, ginge aber auch: Du schleifst den Download durch ein PHP-Script. Also, nehmen wir ne download-php mit GET-Parameter filename. Das Script prüft nun die IP, ob sie berechtigt ist, diese Datei herunter zu laden [1]. Wenn ja, dann schleift das Script die Datei durch und gibt sie an den Client weiter, wenn nein, dann eben nicht ^^ Dazu müssen die herunterladbaren Dateien nicht mal im öffentlich zugänglichen Bereich liegen

[1] Das wäre zB nach Ablauf einer Sperrfrist, Pauschalverbot, etc...

__________________
Nicht jeder Fehler ist ein Bug.

imported_kremser

wenn ich zugriff auf das apache system hätte, hätte ich so ein modul
spätestens jetz installiert.

ich hab auf die schnelle mod_throttle gefunden.
gibt es da noch was anderes oder ist das das einzig richtige für traffic/user?
vielleicht installieren die mir das ja..

die möglichkeit mit dem durchschleusen hab ich mir auch schon überlegt,
aber ich hab mir dazu ein paar tests angesehen.. bei einem kleine file
ist es ok.. aber bei einem 1mb file braucht man schon ~380% der zeit die
man bei einem direktdownload brauchen würde. wenn ich ein 100mb file
mit der variante downloade, wird des glaub ich nichts.

danke trotzdem für eure bemühungen!!