Защита PHP от AJAX скрипта, напрямую?

[artur19892]

Подскажите как максимально просто и грамотно защитить php скрипт, который в свою очередь вызывает AJAX функция запросом. Защита нужна от DDOS атак, чтобы человек не написал робота который будет имитировать поведение пользователя и беспорядочно дергать этот AJAX постоянно (не через браузер).

Самое первое что пришло в голову это проверка на параметры сессии. Но никто не мешает ему залогиниться на сайте получить все эти параметры и уже начинать атаку.

Подскажите пожалуйста действенный метод если знаете?

И есть ли вариант спрятать само имя этого php файла из функции javascript??

(Именно от DDOS атаки такой как вызов этой функции javascript которая AJAX дергает php скрипт)

 

[c0dex]

@artur19892, дружище, твой вопрос к реальному DDOS отношения имеет не более, чем лосось к клубнике.

Пока не понятно, от чего же ты хочешь защищаться, и вообще надо ли реально тебе это делать.

 

[Фанат]

Я думаю, автор слышал звон, да не знает где он.
И ддосом считает банальный парсинг.

 

[artur19892]

Я думаю, автор слышал звон, да не знает где он.
И ддосом считает банальный парсинг.

Я приведу конкретный пример у меня функции по кнопке подгружает 20 записей.
Я представил себя как взломщика, я легко могу найти ту javascript функцию с параметром которая вызывает ajax, а там написано и какой php файл вызывается (т.е. есть описание функции). Что мне мешает написать какого то робота который постоянно каждую милисекунду дергает тот php файл и нагружает мне сервак???

 

[artur19892]

@artur19892, дружище, твой вопрос к реальному DDOS отношения имеет не более, чем лосось к клубнике.

Пока не понятно, от чего же ты хочешь защищаться, и вообще надо ли реально тебе это делать.

Посмотрите пожалуйста пост снизу.

 

[Фанат]

Что мне мешает написать какого то робота который постоянно каждую милисекунду дергает тот php файл и нагружает мне сервак???

Ничто не мешает. И Аякс здесь не при чем

 

[artur19892]

Ничто не мешает. И Аякс здесь не при чем

Просил дать рекомендацию а по факту тока оскорблять и одним словом отвечать. Спасибо за бестолковый ответ.

 

[Фанат]

Толковый ответ: никак защититься нельзя.
И чем меньше ты будешь считать окружающих бестолковыми, тем быстрее поумнеешь сам.

 

[c0dex]

@artur19892, открою тебе секрет, пока что ты - Неуловимый Джо, как-то так. Никаких обид, переходов на личности и так далее, но если твой сайт кто-то захочет положить - там защита должна быть уже посильнее, чем ты можешь написать сам. Там люди такие есть, которые на отражении атак очень хорошие бабки поднимают. Пока что советую просто не думать о такой глупости, как защита php скрипта от лишних ajax вызовов.

 

[artur19892]

@artur19892, открою тебе секрет, пока что ты - Неуловимый Джо, как-то так. Никаких обид, переходов на личности и так далее, но если твой сайт кто-то захочет положить - там защита должна быть уже посильнее, чем ты можешь написать сам. Там люди такие есть, которые на отражении атак очень хорошие бабки поднимают. Пока что советую просто не думать о такой глупости, как защита php скрипта от лишних ajax вызовов.

Я не про аякс запросы, а про то что узная какой php скрипт выполняется можно будет его дергать до бесконечности, неужели никто не сталкивался с таким и нечего сказать на эту тему??

 

[c0dex]

Сталкивались, просто нет вариантов нормальных

 

[Devoter]

Количество запросов в секунду от одного источника можно ограничить на уровне веб-сервера, будь то apache, nginx или iis. Существуют также методы на уровне файервола: iptables, ipfw...
Нетрудно видеть, что среди перечисленного (хотя существует много, кроме обозначенных) не встретился ни php, ни ajax. На уровне php никак нельзя запретить выполнение скрипта, если предусмотрен его вызов через клиента. Единственное, что можно сделать - сравнивать время последнего вызова и завершать работу скрипта (exit()), если скрипт вызывается слишком часто. То есть запоминаем время последнего запуска, сравниваем разницу, если не устраивает - выбрасываем ошибку и отдыхаем. Однако данный метод к защите от DDOS не имеет никакого отношения.

 

[Фанат]

Я не про аякс запросы, а про то что узная какой php скрипт выполняется можно будет его дергать до бесконечности, неужели никто не сталкивался с таким и нечего сказать на эту тему??

Удивительно, что даже после прямых ответов оно все равно фиксируется на обработчике аякс запроса. Защита остальных скриптов, расположение которых даже и узнавать специально не нужно, по какой-то причине его не интересует.

 

[scorpion-ds]

Что бы задедосить ваше приложение не обязательно знать какой-то конкретный УРЛ, вполне можно стучаться просто по IP.

 

[bruto]

Куку на 5 секунд

 

[Фанат]

Куку на 5 секунд

интересно, сколько таких наивных еще в этот топик набежит?

 

[bruto]

я же не серьезно