Bilderverzeichnis schützen

Grafik via htaccess schützen - jswelt - Forum (Javascript, PHP, MySQL, AJAX, Webdesign)

?

ka obs dir weiterhilftt, aber guck mal hier

Traffic-Guards, .htaccess Schutz

und der hier

http://www.trafficklau.de/perl.html

wobei ich die perl version besseer finde, nur dann wirds nicht mit nextgen funken

Eine Möglichkeit wäre noch, das WP-Anmelde-Cookie abzufragen:

# Bilder nur für angemeldete Benutzer
RewriteCond    %{HTTP_COOKIE}    !wordpress_49745e19158d762ac2bed4e6c80d45d0
RewriteRule ^wp-content/uploads/    -    [F,L]

Zumindest hätten dann nur Nutzer Zugriff, bei denen das Cookie existiert, die also schon mal angemeldet waren oder noch sind.
Oder jemand rekonstruiert den Namen und setzt sich so ein Dummy-Cookie, was natürlich möglich ist. Als Gegenmaßnahme könnte man aber einen eigenen Cookie-Namen in der wp-config.php definieren.

Im Großen und Ganzen sollte es aber den normalen Nutzer fernhalten.

Das da oben ist nur ein Beispiel, den Cookienamen und das zu schützende Verzeichnis muß man natürlich noch entsprechend anpassen :-)

Gruß
Ingo

Ich weiß nicht, wie es bei älteren Versionen ist, aber ab Wordpress 2.5 gibt es dafür die Konstante AUTH_COOKIE. Das könnte dann in der wp-config.php etwa so aussehen:

define( 'AUTH_COOKIE', 'wordpress_ehz6r7qrq7tcr466rt5q34956q' );

Normalerweise verwendet WP selbst einen MD5-Hashwert aus der Option 'siteurl'. Das kann ein "Angreifer" natürlich relativ einfach nachbilden.

Die Dateien außerhalb des Documentroots abzulegen bringt eigentlich auch nicht viel, denn die angemeldeten Nutzer hätten dann auch keinen Zugriff. Man müßte sie dann erst wieder per PHP oder so herausholen.

Gruß
Ingo

der cookie wird doch so oder so lokal abgelegt, demnach kann man ihn immer leicht nach konstruieren.

das "verstecken" der Bilder ist nicht sinnvoll. wenn du der urheber bist, gibts rechtliche mittel.

Na dann mal los, versuch doch mal mein Authentication-Cookie zu rekonstruieren :-)

Gruß
Ingo

1
dann können nur noch benutzer mit cookies bilder einsehen (vorallem beim 1. besuch kommt das gut da diese dann noch nicht existieren).

2
zudem erstellt wordpress einen solchen cookie nur wenn man eingeloggt ist, oder?

3
könnte man dieen dann nicht via htaccess schützen, da der cookie personalisiert ist, ein muster (regex) bringt hier recht wenig

das vorhaben ist und bleibt unsinnig :)

Zitat von AngiWaters

...
Ich bin dabei eine Seite mit WP zu erstellen, die nur registrierten Usern zugänglich ist...

Ich verweise mal auf das Ausgangsproblem.

Also muß sich der Benutzer sowieso vorher registrieren und anmelden. Wenn er das getan hat, wird ja der Cookie gesetzt. Nicht angemeldete Benutzer sollen eh weder Artikel noch Bilder sehen können.

Was heißt, der Cookie muß personalisiert sein? Der Cookie hat immer bei allen Nutzern den gleichen Namen, der Inhalt interessiert gar nicht. Genau die Existenz des Authentication-Cookies wird in meinem Beispiel geprüft, mehr nicht. Das funktioniert übrigens ganz wunderbar, ich habe es bei mir natürlich getestet, bevor ich das hier reingeschrieben habe :-)

Gruß
Ingo

Hallo,
ich habe das Ganze etwas abgeändert und ausprobiert:

RewriteEngine on
# Bilder nur für angemeldete Benutzer
RewriteCond %{HTTP_COOKIE} !hierundinwpveraendert
RewriteRule \.(gif|jpg|GIF|JPG)$ http://ersatzbild.de/a.jpg [R,L]

Mein Problem ist jetzt, dass zwar der Cookie gesetzt ist, ich ihn mir auch im Browser anzeigen lassen kann, aber dennoch nur das Ersatzbild angezeigt wird.
Lösungsvorschläge?
Ausprobiert mit FF, Chrome, IE || ein/ausgeloggt.

Bei neueren Wordpress-Versionen muß man das "LOGGED_IN_COOKIE" verwenden:
http://forum.wpde.org/konfiguration/…html#post596567

Daran hätte es gelegen haben können. Hmmm, interessiert aber vermutlich nach 3½ Jahren nicht mehr. :-)

Gruß
Ingo