WordPress - Bilder auf der eigenen Homepage schützen - stuff

In WordPress nutze ich zum Darstellen meiner Bilder das Gallery-Plugin “NextGEN Gallery“.

Da ich nicht will das Hinz und Kunz meine Bilder betrachten können, habe ich die Seiten vor Fremdzugriff geschützt.
Zuerst habe ich es mit den WordPress eigenen Bordmitteln (Visibility entsprechend geändert) und dann mit einem Plugin “Page Restrict” probiert.

Das Problem was mir dabei aufgefallen ist:
Es wird zwar die jeweilige Seite geschützt, man muss sich also entsprechend WordPress gegenüber authentifizieren, aber die eingebetteten Inhalte bleiben davon unberührt.
D.h. angemeldete Benutzer können zum Beispiel die Links zu Bildern per E-Mail verrschicken und den Schutz somit für Fremde umgehen.

Nach ein bisschen recherchieren habe ich leider festgestellt, dass das auch bei großen sozialen Netzwerken wie facebook und lokalisten der Fall ist!!!
Wenn hier jemand die URL zu einem in facebook oder lokalisten eingefügten Bild kopiert, sich ausloggt und in die URL aufruft, wird das Bild trotzdem angezeigt!!!

Dieses Sicherheitsproblem lässt sich meiner Meinung nach nur lösen, indem die Bilder nicht direkt aufgerufen werden, sondern eine php-Abfrage dazwischen gelegt wird.
Der php Code muss prüfen, ob das Bild ausgeliefert werden darf oder nicht.

Kurze Erklärung zu NextGEN Gallery:
Ich gehe bei meiner Ausführung davon aus, dass die NextGEN Gallerien im Verzeichnis wp-content/gallery abgelegt sind. Das ist die Standardeinstellung.

Folgendes Schritte müssen dafür durchgeführt werden:

1) Das Original-Verzeichnis zu den Gallerien muss per .htaccess Datei vor dem Zugriff geschützt werden.

# Disable Directory Browsing
Options All -Indexes

SetEnvIf Request_URI ".*/wp-content/gallery/.*" protected

# Auth directives
AuthUserFile <path_to_your_httpdocs_directory>/.htpasswd

AuthName "Password Protected"
AuthType Basic

# Setup a deny/allow
Order Deny,Allow

# Deny from everyone
Deny from all

# except if either of these are satisfied
Satisfy any

# 1. a valid authenticated user
Require valid-user

# 2. the "require_auth" var is NOT set
Allow from env=!protected

Die .htpasswd Datei müsst ihr natürlich noch anlegen und füllen.

Damit ist das Verzeichnis der kompletten Gallerien schon einmal geschützt.

Das könnte jetzt eigentlich auch schon so bleiben, nur ist die htaccess-Abfrage nicht wirklich schön. Aus diesem Grund müssen noch ein paar Schritte durchgeführt werden.

2) Beim Ausliefern des HTML-Codes schreiben wir via Apache-Modul alle URLs welche auf die Gallerien verweisen um, aber nur, wenn wir uns nicht im WordPress Admin-Bereich befinden.
(Dazu wird das Apache-Modul mod_substitute benötigt)

<LocationMatch  ^((?!wp-admin).)*$ >
  AddOutputFilterByType SUBSTITUTE text/html
  Substitute "s|wp-content/gallery/|wp-content/gallery-images/|ni"
</LocationMatch>

Mit dieser Regel wird aus dieser URL:
http://<your-domain>/wp-content/gallery/dummy_gallery/abc123.jpg
dann diese:
http://<your-domain>/wp-content/gallery-images/dummy_gallery/abc123.jpg

Wird jetzt eine so modifizierte HTML-Seite aufgerufen, bekommt der Besucher kein einziges Bild zu sehen. Das gallery-images Verzeichnis existiert nicht.
Darum brauchen wir eine zusätzliche Erweiterung in der .htaccess Datei.

3) gallery-images via .htaccess auf php-Datei mappen

<IfModule mod_rewrite.c>
  RewriteEngine On
  RewriteBase /
  RewriteCond %{HTTP_REFERER} wp-admin
  RewriteRule ^wp-content/gallery-images\/(.*) wp-content/gallery/$1 [NC]
  RewriteCond %{HTTP_REFERER} !wp-admin
  RewriteRule ^wp-content/gallery-images\/(.*) renderImageFromFile.php?imgUrl=$1 [NC] 
</IfModule>

4) Jetzt noch die php-Datei erzeugen

<?php
    // include wordpress functions needed for user validation
    require_once('./wp-config.php');

    $dummy_image = "dummy_image.jpg";
    $rootpath = 'wp-content/gallery/';
    $imgpath = $rootpath . $_GET['imgUrl'];

    //check if file exists
    if(!file_exists($imgpath))
    {
       exit;
    }

    // visitor needs to be logged in
    if(!is_user_logged_in()) //this is a wordpress function
    {
       header('Content-Type: image/jpeg');
       header("Content-Length: " . filesize($dummy_image));
       $fp = fopen($dummy_image, 'rb');
       fpassthru($fp);
       fclose($fp);
       exit;
    }

    // check referer url domain
    $refURL = parse_url($_SERVER['HTTP_REFERER'],PHP_URL_HOST);

    if($refURL != '<your_domain>')
    {
       header('Content-Type: image/jpeg');
       header("Content-Length: " . filesize($dummy_image));
       $fp = fopen($dummy_image, 'rb');
       fpassthru($fp);
       fclose($fp);
       exit;
    }

    // Get the mimetype for the file
    $finfo = finfo_open(FILEINFO_MIME_TYPE);  

    // return mime type ala mimetype extension
    $mime_type = finfo_file($finfo, $imgpath);
    finfo_close($finfo);
     
    switch ($mime_type){
        case "image/jpeg":
            // Set the content type header - in this case image/jpg
            header('Content-Type: image/jpeg');
            break;
        case "image/png":
            // Set the content type header - in this case image/png
            header('Content-Type: image/png');
            break;
        case "image/gif":
            // Set the content type header - in this case image/gif
            header('Content-Type: image/gif');
            break;
    }
   
    header("Content-Length: " . filesize($imgpath));
    $fp = fopen($imgpath, 'rb');
    
    fpassthru($fp);
    fclose($fp);
     
?>

Mit diesen kleinen Änderungen sind alle Gallerie Bilder der WordPress Seite vor fremdem Zugriff geschützt, auch wenn Links zu den einzelnen Bildern verteilt werden.

Leave a Reply Cancel reply