`
sealbird
  • 浏览: 586264 次
  • 性别: Icon_minigender_1
  • 来自: 广州
社区版块
存档分类
最新评论

定制Apache的防盗链模块 Mod_perl<1>

阅读更多
from http://bbs.chinaunix.net/viewthread.php?tid=1039570
定制Apache的防盗链模块
Author: Jeff Pang pangj@earthlink.net
Date: 2008-1-8

网上介绍比较多的防盗链配置方法是使用reference来识别请求是否来自本站。但reference的弊端是很容易伪造,如迅雷之类的工具就使用了伪造的reference,让防盗链设置无效。

这里介绍的方法是自己定制Apache的防盗链模块。一般防盗链要保护的是可供下载的大型文件,如视频、图片等。这些文件以链接形式嵌入在网页里,通过点击来获取文件的绝对路径。如果嵌在网页里的文件路径未作任何保护,例如某个视频文件路径是:

http://example.com/1234.rm

那么恭喜你,不久你就会被迅雷等网站收录,成为他们的流量贡献节点了。

但如果这个视频文件的路径是:

http://example.com/1234.rm?a=33d591d3ba7ae0cedc99a65f723ad0ea

a=后面是md5加密的验证串,Apache服务器会获取这个验证串并进行校验,如果合法,则允许下载,否则拒绝访问(返回403)。这样一来,别人不知道你的验证串加密算法,也就不能盗链你的资源了。

这个串由前台网页程序产生,由后台的Apache服务器来进行验证。这里假定网页程序是PHP,当然也可以是其他任何动态语言如Perl、Python、Java等。PHP和下载服务器的Apache模块共同约定此算法,因为PHP产生一个md5加密串,后台的Apache需要用相同算法产生一个md5串,并进行对比校验。这个串的产生条件,通常包括用户IP、目标文件ID、访问时间、双方约定的ShareKey等。将这些条件联合起来,并用md5加密成一个串,然后将该串作为参数传给下载服务器的Apache。Apache获取到请求后,再对这个串进行校验。

如何在Apache端配置这个防盗链模块呢?这里我使用modperl。modperl是个非常强大的开发工具,它可以访问Apache内部的所有API,可以在Apache响应处理的各个阶段定制自己的处理器。mod_rewrite想必很多人都知道它的强大,其实mod_rewrite的功能,用modperl也可以轻松的编写出来。

Apache处理一个请求分成很多个阶段,这里我们只要在Access这个阶段做一些处理就够了。也就是说,在Apache里加载一个处理器,在文件被访问前,由该处理器对验证串进行校验,校验通过才允许访问。

在使用modperl之前,首先需要装好它。Apache有1.3版本和2.x版本,同样modperl也有1.0版本和2.0版本。1.0版本已停止开发了,处于维护阶段。出于更好的性能考虑,我们使用httpd 2.0和modperl 2.0版本。

modperl需要结合Apache进行安装,并且需要安装libapreq2。安装过程请见我的另一篇文档:http://pyh7.spaces.live.com/blog/cns!47D8D44208AC51E5!128.entry

装好modperl后,修改httpd.conf配置文件,增加如下配置:

1. PerlPostConfigRequire /opt/httpd2/run/startup.pl
2.
3. <Location /protect>
4.   SetHandler modperl
5.   PerlAccessHandler DLAuth2
6.
7.   PerlSetVar ShareKey TestKey
8.   PerlAddVar PassAuthIPs 192.168.0.1-192.168.0.254
9. </Location>

第1行的startup.pl是初始配置文件,这个文件主要有2个作用:加载处理器的运行目录,和预加载一些类库。
第3行表示/protect这个web目录下的文件,都受防盗链保护。
第4行表示设置处理器类型为modperl。
第5行是关键,这里加载了我们的Access验证模块,模块名是DLAuth2。
第7行是加密验证串的shareKey,这个Key也需要告诉前台的网页开发人员。
第8行是防盗链白名单IP,若没有,则注释掉该行即可。

接着,在Apache的根目录(这里假定是/opt/httpd2)下面创建一个run子目录,将防盗链模块DLAuth2.pm和startup.pl都放在该目录下。另外,创建/protect这个web根目录(例如/opt/httpd2/htdocs/protect),将需要防盗链保护的文件(如视频或图片)放在这个目录下,也可以将其他文件目录link或mount到该目录下。

startup.pl的内容类似如下:

use strict;

use lib qw(/opt/httpd2/run);  # 加载处理器的运行目录

#use Apache2::RequestIO ();  # 预加载的类库
use Apache2::RequestRec ();
use Apache2::Connection ();
use Apache2::RequestUtil ();
use Apache2::ServerUtil ();
use Apache2::Log ();
use Apache2::Request ();

1;  # 不要丢了这个1,表示返回真给调用者

DLAuth2.pm内容类似如下:

package DLAuth2;

use strict;
use warnings;
use Socket qw(inet_aton);
use POSIX qw(strftime);
use Digest::MD5 qw(md5_hex);

#use Apache2::RequestIO ();
use Apache2::RequestRec ();
use Apache2::Connection ();
use Apache2::RequestUtil ();
use Apache2::ServerUtil ();
use Apache2::Log ();
use Apache2::Request ();

use Apache2::Const -compile => qw(OK FORBIDDEN);

sub handler { # 处理器的钩子函数,函数名不能改

    my $r = shift;  # 请求目标
    my $q = Apache2::Request->new($r);
    my $s = Apache2::ServerUtil->server;

    my $ip = $r->connection->remote_ip;  # 获取访问者IP
    my $fid = $q->param('fid') || get_fileid();  # 获取目标文件ID

    my $ip_int = ip2int($ip);  # 将IP转换成大整数
    my $shareKey = $r->dir_config('ShareKey') || '';  # 从配置文件获取shareKey
    my @passip = $r->dir_config->get('PassAuthIPs'); # 从配置文件获取白名单IP
    my @passip_int;  # 白名单IP数组

    for (@passip) {  # 将白名单IP转换成整数数组
        if (/-/) {
            my ($start,$end) = split/-/;
            my $start_int = ip2int($start);
            my $end_int = ip2int($end);

            for (my $i=$start_int;$i<=$end_int;$i++) {
                push @passip_int,$i;
            }

        } else {
            push @passip_int, ip2int($_);
        }
    }

    for (@passip_int) {  # 如果请求IP位于白名单里,则允许访问
        return Apache2::Const::OK if $ip_int == $_;
    }

    # 日期这里取的是当前天,为防止时间不一致,在我的产品程序里,时间设置比较宽松,当前天的前后2天都是可以的。
    my $date = strftime("%Y%m%d",localtime);

    # 基于相关条件产生验证串。
    my $auth_string = generate_auth_string($ip_int, $fid, $date, $shareKey);

     # 获取请求URL的验证串,该串由前台PHP程序产生
    my $str = $q->param('a') || '';

    if ($str eq $auth_string) {
        return Apache2::Const::OK;  # 如果2串一致,则允许访问

    } else {
        $s->log_error("[$ip FORBIDDEN] Auth failed");  # 否则拒绝并记录log
        return Apache2::Const::FORBIDDEN;
    }

    return Apache2::Const::OK;  # 默认策略是允许访问
}

sub ip2int { # 将IP转换成大整数的函数
    my $ip = shift;
    my $nl = inet_aton($ip);
    die "wrong ip $!" unless defined $nl;

    return unpack('N',$nl);
}

sub generate_auth_string { # 产生验证串的函数,返回一个md5加密串
... # 你自己的代码用来产生验证串,此处算法必须和前台PHP的算法一致
}

sub get_fileid { # 获取目标文件ID的函数,简单的做法是文件名就包含ID
… # 你自己的代码用来获取目标文件ID
}

1;

配好上述后,stop再start Apache,一个强大的防盗链系统就产生了。

补充一下,上述对Apache的访问控制设置,只用到了modperl的一个很浅的功能。如果你想改造或定制Apache,实际上modperl可以做任何你想要的。如下是一些参考文档:

modperl官方文档:http://perl.apache.org/docs/index.html
modperl编程指南(本人翻译):http://home.arcor.de/jeffpang/mod_perl/



分享到:
评论

相关推荐

    Practical Mod Perl

    Practical Mod Perl&lt;br&gt;&lt;br&gt; Copyright &lt;br&gt; Preface &lt;br&gt; What You Need to Know &lt;br&gt; Who This Book Is For &lt;br&gt; How This Book Is Organized &lt;br&gt; Reference Sections &lt;br&gt; Filesystem Conventions &lt;br&gt; Apache ...

    mod_perl Perl模块

    标题"mod_perl Perl模块"指的是Apache服务器中的一个核心扩展,它允许Perl语言深度集成到Web服务器中,提高了处理Perl脚本的效率和性能。mod_perl使得Apache能够运行在Perl解释器环境下,而不是传统的CGI(Common ...

    mod_perl.so

    编译好的mod_perl.so v2.0.4 for Apache 2.2.11 and Perl 5.10.0,解决ppm安装无法得到正确mod_perl.so文件的问题。

    practical mod_perl

    mod_perl是Apache服务器的一个模块,它允许Perl脚本在服务器启动时加载,而不是每次请求时才加载,从而减少了脚本解析和编译的时间。这使得处理HTTP请求的速度显著加快,减轻了服务器的负载。此外,mod_perl还支持...

    mod_perl-2.0-current.tar.gz

    然后,他们需要遵循Apache模块的一般构建和安装步骤,包括配置、编译和安装mod_perl到Apache的安装目录。在Apache的配置文件(如httpd.conf)中添加mod_perl的相关指令,使服务器在启动时加载这个模块。配置完成后,...

    mod_perl docs

    1. **mod_perl 1.x 和 mod_perl 2.x**: mod_perl 1.x主要面向Apache 1.x,而mod_perl 2.x则为Apache 2.x设计,后者引入了更多的改进和扩展,如支持Perl5.8及以上版本,更好的线程安全性和模块化结构。 2. **...

    apache2.4安装和mod_wl_24.so插件.zip

    然后,我们将讨论mod_wl_24.so插件,这是Oracle WebLogic Server的Apache模块,用于在Apache和WebLogic之间建立代理。此插件允许Apache将HTTP请求转发到WebLogic集群,实现负载均衡和安全性增强。下载并安装mod_wl_...

    axis2 调用webservice 例子

    &lt;groupId&gt;org.apache.axis2&lt;/groupId&gt; &lt;artifactId&gt;axis2&lt;/artifactId&gt; &lt;version&gt;1.6.2&lt;/version&gt; &lt;/dependency&gt; &lt;dependency&gt; &lt;groupId&gt;org.apache.axis2&lt;/groupId&gt; &lt;artifactId&gt;axis2-...

    apache模块mod_concatx 提高js/css加载速度

    3. 配置合并规则,例如使用`&lt;IfModule mod_concat.c&gt;`和`&lt;/IfModule&gt;`标签来定义一组文件进行合并。 4. 定义合并的文件列表,例如`Concatenate /path/to/file1.js /path/to/file2.js ...`。 5. 重启Apache服务器使...

    如何实现apache动态虚拟主机和激活mod_vhost_alias.so模块

    echo "&lt;html&gt;&lt;body&gt;&lt;h1&gt;vhost1&lt;/h1&gt;&lt;/body&gt;&lt;/html&gt;" &gt; vhost1/index.html echo "&lt;html&gt;&lt;body&gt;&lt;h1&gt;vhost2&lt;/h1&gt;&lt;/body&gt;&lt;/html&gt;" &gt; vhost2/index.html ``` ##### 6. 用户认证配置 为了增加安全性,我们可以为某个虚拟...

    apache视频流插件mod_flvx.so mod_h264_streaming.so两个

    第一步,下载mod_flvx.so和mod_h264_streaming.so并放到apache目录下的modules文件夹下 mod_flvx.so mod_h264_streaming.so 把这两个文件放到,apache的modules目录中,然后查找httpd.conf这个文件,打开编辑,找到...

    apache flv mp4伪流模块mod_flvx.so mod_h264_streaming.so(附教程)

    第一步,下载mod_flvx.so和mod_h264_streaming.so并放到apache目录下的modules文件夹下 mod_flvx.so mod_h264_streaming.so 把这两个文件放到,apache的modules目录中,然后查找httpd.conf这个文件,打开编辑,找到...

    mysql5.1中文手册

    目录&lt;br&gt;&lt;br&gt;前言&lt;br&gt;1. 一般信息&lt;br&gt;1.1. 关于本手册&lt;br&gt;1.2. 本手册采用的惯例&lt;br&gt;1.3. MySQL AB概述&lt;br&gt;1.4. MySQL数据库管理系统概述&lt;br&gt;1.4.1. MySQL的历史&lt;br&gt;1.4.2. MySQL的的主要特性&lt;br&gt;1.4.3. MySQL稳定性...

    Tomcat5027_Apache2048_IMS9_win.zip

    &lt;br&gt;mod_jk2.so&lt;br&gt;这是保证Apache和Tomcat成功运行的关键一步,将它解压到本地硬盘中。从解压文件夹中将mod_jk2.so拷贝到Apache安装目录的modules目录下(C:\ Apache2\modules)。&lt;br&gt;用文本编辑工具打开Apache安装...

    mod_perl

    此外,mod_perl还支持在Apache的配置文件中嵌入Perl代码,允许开发者使用Perl编写自定义的Apache模块,并且可以将数据库与Web服务器无缝集成。 #### 二、mod_perl编程基础知识 ##### 1. **看文档** - 在开始mod_...

    apache代理mod_proxy、mod_proxy_http代理模块库包下载(32位windows\linux版本).txt

    该软件包是apache的httpd中mod_proxy.so、mod_proxy_http.so代理模块,分别对应包含linux、windows的版本。

    apache mod_rpaf模块,获取反响代理真实IP

    Apache的mod_rpaf模块是Apache HTTP服务器的一个扩展,专门用于在反向代理环境中解决服务器无法正确获取客户端真实IP地址的问题。在反向代理配置中,客户端请求首先到达代理服务器,然后代理服务器转发请求到实际的...

    Apache2.4服务器+mod_jk.so

    Apache2.4服务器结合mod_jk.so模块是企业级Web应用部署中常见的一种技术组合,主要用于实现动静态资源的分离,提升服务器性能和系统效率。Apache作为强大的HTTP服务器,能够处理静态内容,如HTML、CSS、JavaScript等...

Global site tag (gtag.js) - Google Analytics