Jakarta Commons-HttpClient/3.1 - blocken?

[Nordin]

Ich brauche eure Meinung...

Macht es Sinn den Apache Jakarta Commons HttpClient zu blocken?

Ich tendiere zu JA. Mittels diesen Client können Verbindungen zu einer anderen Internetseite hergestellt werden.

Das Java-Netzwerkpaket und insbesondere die Klasse URLConnection beziehungsweise HttpConnection bieten Basisfunktionalität für den Zugriff auf Internet-Ressourcen.

Die Bibliothek Jakarta Commons HttpClient (http://jakarta.apache.org/commons/httpclient/) bietet komfortable Unterstützung für alles Mögliche rund um das HTTP-Protokoll 1.0 und 1.1:

    * Alle HTTP-Methoden (GET, POST, PUT, DELETE, HEAD, OPTIONS, TRACE)
    * Verschlüsselung mit HTTPS (HTTP über SSL)
    * Verbindungen durch HTTP-Proxies
    * Getunnelte HTTPS-Verbindungen durch HTTP-Proxies, via CONNECT
    * Verbindungen mit SOCKS-Proxies (Version 4 und 5)
    * Authentifizierung mit BASIC, Digest und NTLM (NT Lan Manager)
    * Multi-Part-Form POST

Da über diese Klasse unteranderem sehr einfach ein Post gesendet werden kann ist alles böse möglich

Dieser Client kommt standartmäßig mit den UserAgent: Jakarta Commons-HttpClient/3.1

Ihr könnt ja mal in euren logs gucken ob er schon da war. Aus meiner sicht braucht man diesen Client nicht nur, weil man eine seite cachen will, sondern weil man an ihr mittels Post etwas senden möchte.

// EDIT
Hier zur Beschreibung:
http://www.galileocomputing.de/openbook/javainsel7/javainsel_17_009.htm#t2t31

[delta]

Sicherlich ist die UA-Sperre eine Sache die man nicht unbedingt aufgeben sollte.
Ich denke aber dass es ist effektiver ist, grundsätzlich alle POST Request mit einer BlackList abzugleichen (so wie Du das bereits mit den SQL-Abfragen machst).

[Nordin]

Naja in der v1.6 ist bereits eine guter UA-Blocker drin...
Sumas und gute Bots wie zb. der vom W3C werden nicht geblockt.
Siehe die hier unten im Footer: 2787 BOT's geblockt und das nach 3 tagen...

[mgutt]

Hi,

ich baue derzeit einen Filter, um gewisse GET/POST/COOKIE Anfragen zu blocken. Dabei blocke ich auch das Dollarzeichen und dies hier wurde erkannt:

Code:

Array
(
    [$Version] => 0
    [phpbb2max_data] => a:2:{s:6:\"userid\";i:-1;s:11:\"autologinid\";s:0:\"\";}
    [$Path] => /
    [$Domain] => .mitsubishiboard.de, $Version=0
    [phpbb2max_sid] => 49f8b3da75b382719d88499cb854e3c9
)
Array
(
    [HTTP_USER_AGENT] => Jakarta Commons-HttpClient/3.1
)

Also selbst wenn jemand den UA fälscht, sollte der Client über das Cookie erkennbar bleiben, da normale Browser keine Variablen im Cookie setzen.

Gruß
Marc
www.mitsubishiboard.de

[Nordin]

Hmm stimmt an HTTP_COOKIE hab ich noch garnicht gedacht...