Ajax 发布请求漏洞

Question

我正在尝试记录用户对包含广告的 div 中特定 iFrame 的点击，以阻止有问题的 IP 地址，从而防止那些试图向广告发送垃圾邮件的人再次点击它。在用户的每一次点击中，一条记录将被插入到 mySQL 数据库的一个表中，其中包括：

1. IP 地址
2. 点击次数计数器
3. Unix 时间戳

每个用户/IP 地址都有权在 24 小时内点击广告 3 次。 为了检测 iFrame 广告的每次点击，我使用了iframeTracker-jquery 类并实现了如下 JavaScript 代码：
index.php：

<?php include 'AdProtection.php'; ?>

<html>

<head>
    <script src="http://ajax.googleapis.com/ajax/libs/jquery/1.11.0/jquery.min.js"></script>
    <script src="js/jquery.iframetracker.js"></script>
    <script>
        jQuery(document).ready(function($) {
                    $('.iframetrack iframe').iframeTracker({
                            blurCallback: function() {
                                console.log("Click has been detected!");
                                $.ajax({
                                        type: "POST",
                                        url: "update.php"
                                    );
                                }
                            });
                    });
    </script>
</head>

<body>
    <div class="iframetrack" id="adsense_frame">
        <?php //Returns true when a user 's IP address isn't currently blocked by checking in Database. if(AdProtection::protectAd()) echo '<iframe width="728" height="90" src="js/demo/sample-iframe/red.html" frameborder="0" allowtransparency="true" scrolling="no"></iframe>'; ?>
    </div>
</body>

</html>

更新.php：

<?php

function update($odb)
{
    $sql=$odb->prepare('INSERT INTO system (ip, clicks, timestamp) VALUES(:ip, clicks+1, :timestamp) ON DUPLICATE KEY UPDATE clicks = clicks+1, timestamp = :timestamp');
    $sql->execute(array(':ip' => ip2long($_SERVER['REMOTE_ADDR']),':timestamp' => time()));
}

//PDO Connection
include ( "db.php");
$sql=$odb->prepare('SELECT clicks, timestamp FROM system WHERE ip= :ip');
$sql->execute(array(':ip' => ip2long($_SERVER['REMOTE_ADDR'])));
$data = $sql->fetch();
if($data != null)
{
    if($data['clicks'] % 3 == 0)
    {
        if(($data['timestamp'] + (24 * 60 * 60)) < time())
            update($odb);
        else
            //User is currently blocked.
    }
    else
        update($odb);
}
else
    update($odb);

在实现这个 JavaScript 代码/jQuery POST 请求时有两个关键问题：

1. 代码可以由个人操作/修改，因为 JavaScript 是一种客户端语言。
2. 可以在 update.php 文件上生成垃圾邮件。

我该如何处理这些问题？

Answer 1

1. Js 代码可能被任何人作为其客户端操作，您所能做的就是最大限度地降低您的代码可能被其他脚本禁用的风险，以便编写您的 js 以仅使用私有方法和自执行函数中的变量。因此代码将在全局命名空间中不可见，您可能还需要复制全局可用对象（如文档或 getElementById）的定义，因为它们可能会更改它们而不是您的代码本身。之后混淆代码并缩小它。

2. 对于 PHP，您可能需要实现某种身份验证才能与您的 js 脚本配对使用，因为这只不过是保护任何访问请求，因此可能是 IP 或会话验证。 Yo还可以实现一些其他的服务器端机制，以防止该脚本被某些IP地址访问。

您也可以决定完全不为某些 IP 地址或设备指纹 http://en.wikipedia.org/wiki/Device_fingerprint 显示 iframe，这将不依赖于客户端逻辑，这可能会比您提出的解决方案更安全。

Answer 2

在服务器端进行检查。总是。 您对客户既没有控制权也没有可靠的知识，所以对于任何敏感的东西，不要相信它。
最终，用户可能只需下载开源浏览器的源代码并根据自己的意愿进行修改。

禁用客户端的东西是一个很好的加分，如果它表明功能不可用，它可能会为您和您的用户节省一些时间和带宽，但会有人试图规避它，对于那些你需要做好准备。
禁用服务器端的东西意味着只是拒绝执行，即只需在您的评论 //User is currently blocked. 之后放置一个 exit;，就应该这样做。

对于您的第二个问题：是的，update.php 可能会收到垃圾邮件，但任何其他 PHP 脚本也可能会收到垃圾邮件。
我知道的每一个合理的网络服务器都有某种方式来限制客户端在一定时间内可以发出的请求数量。
Lighttpd 有一个原生的mod_evasive，nginx 有一个HttpLimitReqModule，对于 Apache 有很多东西，请参阅this SO answer。
如果垃圾邮件超出了您的 Web 服务器的能力，那么是时候研究 DDos 保护了。