随笔-8  评论-64  文章-0  trackbacks-0
         关于图片盗链这个问题,毕竟是自己的劳动成功,很多人不希望别人就那么轻易地偷走了。 这个功能在很多的论坛上都具有,可能是因为盗链的行为太多了吧
         反盗链的程序其实很简单,熟悉ASP.NET 应用程序生命周期的话很容易就可以写一个,运用HttpModule在BeginRequest事件中拦截请求就ok了,剩下的工作就是过滤,再过滤!
         如果不熟悉HttpModule的话,可以去MSDN上查阅,介绍非常详细,地址:ms-help://MS.VSCC.v80/MS.MSDN.v80/MS.VisualStudio.v80.chs/dv_aspnetcon/html/f1d2910f-61d0-4541-8af8-c3c108ca351f.htm。这里就不废话了

 1private void Application_BeginRequest(Object source, EventArgs e)
 2{
 3    HttpApplication application = (HttpApplication)source;
 4    HttpContext context = application.Context;
 5    bool isSafe = true;    //是否合法链接
 6    string uri = context.Request.Url.AbsolutePath.ToLower();
 7    if (uri.LastIndexOf("."> 0 && context.Request.UrlReferrer != null)
 8    {
 9        string exp = uri.Substring(uri.LastIndexOf("."));
10        //这里是判断文件后缀名是否在排除的文件类型列表之内
11        bool isHas = ClassLibrary.RData.RString.StrIsIncUseSC(exp, config.ImgSafeType.Split('|'));
12        if (isHas)
13        {
14            string domainOutter = context.Request.UrlReferrer.Authority.ToLower();    //包含域名和端口
15            ArrayList arry = Common.Cache.GetDomainValid();//取系统定义的合法的域名绑定列表
16            isSafe = arry.Contains(domainOutter);    //判断当前请求的域名是否在合法列表之内
17        }

18    }

19    //下面就是不合法的时候的输出了,如果有默认替代图片则输出,如果没有就生成一个,格式为.gif
20    if (!isSafe)
21    {
22        Bitmap img = null;
23        Graphics g = null;
24        MemoryStream ms = null;
25
26        try
27        {
28            string picPath = ClassLibrary.RPath.GetFullDirectory("images/unlawful.gif");
29            if (File.Exists(picPath))
30            {
31                img = new Bitmap(picPath, false);
32            }

33            else
34            {
35                img = new Bitmap(6464);
36                g = Graphics.FromImage(img);
37                g.Clear(Color.White);
38                Font f = new Font("宋体,黑体,Arial"9,FontStyle.Bold);
39                SolidBrush s = new SolidBrush(Color.Red);
40                g.DrawString(Resources.Message.LawlessLink, f, s, 120);
41                img.Save(picPath, ImageFormat.Gif);
42            }

43            ms = new MemoryStream();
44            img.Save(ms, ImageFormat.Gif);
45            context.Response.ClearContent();
46            context.Response.ContentType = "image/Gif";
47            context.Response.BinaryWrite(ms.ToArray());
48            context.Response.End();
49        }

50        catch
51        { }
52        finally
53        {
54            if(g != null )
55                g.Dispose();
56            img.Dispose();
57        }

58    }

59}

          凡是有利必有害,这样做最大的缺点就是增加了系统开销,客户端的每一请求都要过滤一遍,性能自然要打折扣了。不知道哪位朋友有更好的办法,或者优化的方法,一起来探讨探讨。
posted on 2007-01-16 21:56 nowind 阅读(3738) 评论(14)  编辑 收藏 网摘 所属分类: Web/C#

评论:
#1楼  2007-01-16 23:10 | fuyude.net      
我写的程序 整个都是一个httpmodule 连page都没有用
好像不影响什么性能
  回复  引用  查看    
#2楼  2007-01-16 23:16 | Cat Chen      
检Referrer其实是一个不太准确的做法,至于准确的做法——没有。

Symantec/Norton的安全产品,出于隐私保护会帮你删除你发出的HTTP请求的Referrer属性,而如果通过Referrer来判断用户是否有权看某项资源,这显然是对Symantec/Norton产品的使用者不公的。
  回复  引用  查看    
#3楼  2007-01-17 09:10 | cnlamar      
fuyude.net,仔细了解一下asp.net的运行时过程,其实即便没有page,消耗也不会太小,所以这样的做法,消耗会大很多,响应性能也会慢很多,甚至可以说能从直观感觉上察觉得出来。

查Referrer当然是不准确的做法,这个是可以伪造的,否则讯雷就不可能那么牛X了。。。
  回复  引用  查看    
#4楼  2007-01-17 09:12 | cnlamar      
而且楼主的做法似乎消耗会更大,其实可以直接读文件,识别MIME类型后直接输出数据流即可,不用建立image对象。
  回复  引用  查看    
#5楼  2007-01-17 09:42 | 小雨 [未注册用户]
思路不错 学习一下
  回复  引用    
#6楼 [楼主] 2007-01-17 09:43 | nowind      
cnlamar兄的建议非常好,直接输出会更好,我没考虑到。
不知道有没有更好的查Referrer的替代方法?
  回复  引用  查看    
#7楼  2007-01-17 10:52 | Daniel Phang      
学习。。。
  回复  引用  查看    
#8楼  2007-01-17 12:41 | fuyude.net      
@cnlamar
这个有具体的数据可以说明吗?
我觉得不需要解析page 应该能更快一点
虽然我没有直接的证据
但是也没有像你所说的那样“甚至可以说能从直观感觉上察觉得出来”
  回复  引用  查看    
#9楼  2007-01-17 12:56 | Cat Chen      
@nowind
其实防盗链是做不到的,图片之类的要盗就盗吧。下载内容可以防盗链,特别是媒体,可以用DRM。
  回复  引用  查看    
#10楼 [楼主] 2007-01-17 18:28 | nowind      
所谓矛与盾的攻防,永远都不可能有停止的一天,我们只能是努力去改进罢了,呵呵
  回复  引用  查看    
#11楼 [楼主] 2007-01-17 18:31 | nowind      
@fuyude.net
cnlamar说得有道理,增加了请求的拦截,必然会增加系统的开销,page只是表现的一个层次而已,很多东西微软封状了的东西被我们忽略了,去看看ASP.NET 应用程序生命周期 就明白了
  回复  引用  查看    
#12楼  2007-01-17 21:59 | Cat Chen      
@nowind
我觉得这根本不是攻防,而是完全没得防,因为HTTP设计时就是无状态的。类似的设计漏洞还存在于SMTP,所以spam无法防;还有ARP,所以中间人攻击也无法防。这些都是因为早期的设计者根本没想到用户会滥用的。
  回复  引用  查看    
#13楼  2007-07-19 10:05 | 吴祝明      
这样的做法,对在IE中直接输入文件的路径,是起到阻止不能下载文件的作用。但如果在 迅雷 中输入路径,照样可以下载文件,上面的方法根本不起作用……
  回复  引用  查看    
#14楼  2008-04-09 00:00 | 蓝奇高级验证码识别引擎QQ:631753663 [未注册用户]
出售蓝奇高级验证码识别引擎,可准确识别新浪动网淘宝CSDN等多种复杂验证码。

输出为一个标准DLL,可供VB,VC,Delphi,C#.NET,VB.NET,模拟精灵,按键精灵等多平台调用,调用方法简单,几行代码即可完成。独具特色的边缘检测字符分离、旋转倾斜纠正和通用字符匹配算法(无论字体和大小), 使得该引擎对于像新浪、动网、淘宝、CSDN等多种验证码均有不错的识别率,是一款效果较为理想的验证码识别引擎。附详细的调用实例和代码注释等相关技术文档。

官方网站 - http://***/yzm_advocr
识别效果怎么样一试就知道 - DEMO下载 http://***/yzm_advocr/advocr.rar

  回复  引用    

标题  
姓名  
主页
Email (博主才能看到) 
验证码 *  看不清,换一张 [登录][注册]
内容(请不要发表任何与政治相关的内容)  
  登录  使用高级评论  新用户注册  返回页首  恢复上次提交      
该文被作者在 2007-01-25 01:42 编辑过
Google站内搜索

China-pub 计算机图书网上专卖店!6.5万品种 2-8折!
近千种 9-95 新二手计算图书火热销售中!
开发者征途系统新作:《设计模式——基于C#的工程化实现及扩展》



相关文章:

相关链接: