Grafikpfad geheimhalten

Hallo,
ich möchte gerne in einem HTML-Dokument eine Grafik anzeigen, es soll aber nicht ersichtlich sein, wo diese liegt (Easter Egg).
Vermutlich ist es unmöglich den Grafikpfad komplett geheim zu halten, aber gibt es eine Möglichkeit den Pfad so weit zu verschleidern, dass man ihn nicht auf den ersten Blick erkennt, wenn man in den Quelltext der Seite guckt?
Gruß Michael

du kannst den pfad über javascript einbinden und ihn durch mehrere funktionsaufrufe/nichtssagende anweisungen im quelltext verbergen.
rechte maustaste aufs bild zeigt dir aber den pfad an. evtl dann noch das kontext-menü ausschalten:
wie du schon gesagt hast, ganz verschleiern geht nicht, aber erschweren kannst du's ein bisschen.

Ich versteh den Sinn dahinter noch nicht so ganz.
Wenn du die Domain/Server verschleiern willst, so lade sie einfach bei nem free hoster hoch.
Willst du haben das man erst an sie kommt wenn man irgendwas getan hat auf der Seite dann lass das Bild dynamisch via php zurückgeben und halt davor eine überprüfung ob z.b. cookie da ist oder xyz in der datenbank für die ip eingetragen ist oder sonstwas... dann sieht der client auch nur ganztooll.de/megaGeheim.php als anzeige. wenn man direkt dann draufgeht gibst halt ein nixda finger weg zurück

Entweder Sarges Lösung oder du bindest das Bild per JavaScript als Hintergrundbild ein, dann kann man auch mit Rechtsklick nicht den Pfad ermitteln. Aber am sichersten ist es das Bild jedes mal neu von PHP erstellen zu lassen

das bild mit php erstellen zu lassen? jedes mal?? XD

> das bild mit php erstellen zu lassen? jedes mal?? XD
Wieso nicht?

Das mache ich mit meinen Überschriften auch, weil ich eine recht ungewöhnliche Schriftart benutze. Das erstellte Bild cache ich natürlich (unbegrenzt lange)

Wenn ich das richtig interpretiere, geht es doch darum, zu verhindern, das jemand andere Bilder findet, die im gleichen Ordner liegen, oder? Das Bild selber kann doch frei abrufbar sein, wenn der Pfad einmal bekannt ist, oder? Oder soll das Bild generell überhaupt nicht frei abrufbar sein?
Weil wenn einfach niemand in dem Ordner andere Bilder finden soll, würde es ja schon reichen, Directory Listing für diesen Ordner abzuschalten und nicht erratbare Bildnamen herzunehmen.

Man muss das Bild ja nicht erstellen, einfach das existierende statische bild ausgeben reicht ja auch - sollte doch selbst php können ne datei auszulesen und zu echo'n

Ist aber extreme PHP Programming

$path = '/pfad/zum/bild.png';
// $path = '/oder/auch/bild.jpg';
$fp = fopen( $path, 'r' );
header( 'Content-type: image/png' );
// header( 'Content-type: image/jpeg' );
echo fpassthru( $fp );
fclose( $fp );

Original von Itchy
Ist aber extreme PHP Programming

$path = '/pfad/zum/bild.png';
// $path = '/oder/auch/bild.jpg';
$fp = fopen( $path, 'r' );
header( 'Content-type: image/png' );
// header( 'Content-type: image/jpeg' );
echo fpassthru( $fp );
fclose( $fp );

geht auch einfacher:

header('Content-type: image/png');

$im = imageCreateFromPNG('pfad');
imagePNG($im);

Das ist einfacher? Ein Aufruf aus der GD Lib (die nicht notwendigerweise überall installiert ist) gegenüber der einfachen Fileausgabe?
Ich hätte es ja noch verstanden, wenn Du folgendes geschrieben hättest,

header( 'Content-type: image/png' );
readfile( '/pfad/zum/bild.png' );
was den fopen() und fclose() automatisch ausführt (und ich deshalb ablehne), aber das Bild mittels GD Lib einzulesen und zu wieder auszugeben ohne Änderung daran zu machen ist gelinde gesagt Overkill.

Original von MichaelB
Hallo,
ich möchte gerne in einem HTML-Dokument eine Grafik anzeigen, es soll aber nicht ersichtlich sein, wo diese liegt (Easter Egg).
Vermutlich ist es unmöglich den Grafikpfad komplett geheim zu halten, aber gibt es eine Möglichkeit den Pfad so weit zu verschleidern, dass man ihn nicht auf den ersten Blick erkennt, wenn man in den Quelltext der Seite guckt?
Gruß Michael

Die Frage ist immer noch, was genau du versucht, zu erreichen.
Neben der allgegenwärtigen Regel des Webentwicklers, dass Daten vom Client prinzipiell als 'böse' eingestuft werden müssen, gilt ebenfalls: Alles was der Client prinzipiell sehen kann, kann er auch einblicken.
Es besteht keine real-effektive (gibts das Wort, sonst ist heute knallis Neologismusstunde) Chance, Inhalte zu verschleiern. Ein Client "interpretiert" nur Ausgaben, insfofern ist alles vorher durch Quelltexte ersichtlich. Man kann natürlich mittels JS die Inhalte verschlüsseln (Vorsicht, man schließt Non-JS automatisch aus), aber die Verschlüsselung ist auch keinesfalls sicher und prinzipiell schnell rückgängig machbar. Da es sich hier um einen realen String handeln würde, wäre dieser auf jeden Fall sichtbar machbar..
Einzige Möglichkeit: Content sensitiv von Ort und Zeit, aber immer gleiche Url (wie zB durch o.g. Schleusung).

>> das bild mit php erstellen zu lassen? jedes mal?? XD
>Wieso nicht?
na bei kleinen Bildern die nicht oft eingesetzt werden ist das vielleicht eine Möglichkeit aber ansonsten ist das doch einfach nur dämlich würde ich sagen -.-
Wobei ich natürlich davon ausgehe das es wirklich jedes Mal neu erstellt wird (und nicht einfach ein vorhandenes Bild dynamisch eingebunden wird)

Original von Macavity
>> das bild mit php erstellen zu lassen? jedes mal?? XD
>Wieso nicht?
na bei kleinen Bildern die nicht oft eingesetzt werden ist das vielleicht eine Möglichkeit aber ansonsten ist das doch einfach nur dämlich würde ich sagen -.-

warum ?
das ziel ist den pfad nicht anzuzeigen wo das bild herkommt. das ist eine brauchbare lösung in meinen augen.

Ich find die Lösung auch ok. Einziger großer Nachteil ist doch, dass der Client es ggf. nicht cached und auch Proxies auf dem Weg das Bild nicht zwischenspeichern. Aber wenn man es nur mit passthru o.ä. aus einer Datei lädt und ins Netz bläst dürfte der Performance-Nachteil nicht zu groß sein.
Ich mach das auch so, um die Dorf-ID zu verschleiern. Die Dorfgrafik mit Infos drin wird als teiltransparentes Gif über die Karte gelegt, und ist als statisches Bild abgelegt, weil sehr oft darauf zugegriffen wird und es auch gecached werden soll.
Wenn man also eine fremde Dorf-ID kennt, kann man sich die Ausbaustufen fremder Ress-Felder ansehen. Autsch. Darum werden alle anderen Objekte, die die Dorf-ID enthalten, eben von einem PHP-Skript durchgereicht. Da die anderen Objekte recht selten benötigt werden, hab ich so optimale Cache-Auslastung und gute Sicherheit.

> Wenn man also eine fremde Dorf-ID kennt, kann man sich die Ausbaustufen fremder Ress-Felder ansehen.

Wie wäre es, wenn du überprüfst, ob der jeweilige Spieler das Recht hat die Dorf-ID anzusehen. Du wirst dich wundern wie kreativ Spieler sind, eine Lücke im Skript zu finden.
Diesen Bug würde ich sofort beseitigen.

Man muss doch immer alles doppelt absichern.
Das ist wie mit:
Du kannst nicht nur prüfen, ob ein Spieler etwas nicht bauen kann und
wenn er es nicht kann, dann bekommt er den Link nicht.
Du musst auch prüfen ob er es bauen kann wenn er den Link den
er nicht hatte geklickt hat. User kommen auf die tollsten Sachen.
Die kommen sogar auf die Idee bei Allianzrang löschen einfach mal die
ids zu ändern um zu schauen ob sie anderen allys die Ränge löschen
können.
Auch hatte ich schon User die Versucht haben andere private nachrichten
zu lesen indem sie einfach mal die ids abzulaufen.
Genauso werden sie bei dir auch schon durchgegangen sein und haben
mal alle Dorfid durchgegangen sein.
Im Hintergrund ist es sehr wichtig, gerade wenn man zugriffe auf die DB
hat alles nochmal doppelt und dreifach zu überprüfen.

Original von TheUndeadable
> Wenn man also eine fremde Dorf-ID kennt, kann man sich die Ausbaustufen fremder Ress-Felder ansehen.

Wie wäre es, wenn du überprüfst, ob der jeweilige Spieler das Recht hat die Dorf-ID anzusehen. Du wirst dich wundern wie kreativ Spieler sind, eine Lücke im Skript zu finden.
Diesen Bug würde ich sofort beseitigen.

Hmm, du hast Recht, selbst wenn die ID auf seltsamste Art und Weise codiert und verändert wäre, kann jemand durch Bruteforcen auf IDs fremder Dörfer kommen. Dann muss ichs wohl doch mit einem PHP-Skript machen und cachen
Danke für den Tip!

Ich find die Lösung auch ok. Einziger großer Nachteil ist doch, dass der Client es ggf. nicht cached und auch Proxies auf dem Weg das Bild nicht zwischenspeichern. Aber wenn man es nur mit passthru o.ä. aus einer Datei lädt und ins Netz bläst dürfte der Performance-Nachteil nicht zu groß sein.

Hallo? Ich habe doch deutlich gesagt das ich davon rede das es unperformant ist wenn es jedes Mal komplett neu erstellt wird und eben nicht nur das laden einer anderen Datei ist. -.-'

Original von Macavity
Hallo? Ich habe doch deutlich gesagt das ich davon rede das es unperformant ist wenn es jedes Mal komplett neu erstellt wird und eben nicht nur das laden einer anderen Datei ist. -.-'

ich sehe da kein performance problem, zumindest nicht von serverseite her.
das es unschoen für einen user ohne dsl ist, ist klar, aber leute mit dsl sollte das nicht gross stören

@Threadersteller:
Solange die Grafik bei irgendjemandem im Browser zu sehen sein soll ist es dir absolut unmöglich, den Pfad geheim zu halten - schließlich muss der Browser den Pfad kennen, um die Grafik abzurufen.
Wenn du also den Zugriff einschränken willst, dann musst du das auf Benutzerebene machen, d.h. dein Server muss bei jeder Anfrage nach der Datei prüfen, ob diese Anfrage authorisiert ist.

Original von blum

geht auch einfacher:

header('Content-type: image/png');

$im = imageCreateFromPNG('pfad');
imagePNG($im);
Das ist quatsch, weil dabei die PNG-Datei nicht einfach an den Client gesendet wird, sondern vorher decodiert und neu encodiert wird...
Siehe auch Post von Itchy. Du willst vllt. noch den Rückgabewert von readfile() prüfen...

ich sehe da kein performance problem, zumindest nicht von serverseite her.
das es unschoen für einen user ohne dsl ist, ist klar, aber leute mit dsl sollte das nicht gross stören

Deine Antwort sagt alles was ich zu kritisieren vermochte ^_^
Ich meine setzt du vorraus das jeder Besucher DSL haben muss?? Was für ein Quatsch ist das denn? Wegen einem Bild?? Tja da fehlen mir die Worte XD

Original von Macavity

ich sehe da kein performance problem, zumindest nicht von serverseite her.
das es unschoen für einen user ohne dsl ist, ist klar, aber leute mit dsl sollte das nicht gross stören

Deine Antwort sagt alles was ich zu kritisieren vermochte ^_^
Ich meine setzt du vorraus das jeder Besucher DSL haben muss?? Was für ein Quatsch ist das denn? Wegen einem Bild?? Tja da fehlen mir die Worte XD
ahh hättest du mal dazu sagen sollen das du an performance auf userseite denkst ^^
da kommt es wohl auch drauf an was für ein bild es ist, wie gross es ist, ob es bei jedem seitenaufruf neu geladen wird, etc. muss man halt abwägen inwiefern ein nicht gecachtes bild auswirkungen hat. wobei man sich überlegen müsste ob der browser ein dyn erstelltest bild wo sich die parameter nicht ändern (also grösse, header, etc) nicht auch cacht. müsste man mal ausprobieren

klar. wenn das nur Minibildchen sind dann juckt das nicht sonderlich...
aber warum sollte sich jemand damit befassen den Ort von solchen Bildern zu verstecken...was mir eh ein Rätsel ist...

Stand doch im Ursprungsposting: Ein Easteregg. Die Diskussion ist wohl etwas vom Thema abgekommen. Wenn nur der Pfad verschleiert werden soll, aber nicht der Server, ist wohl die Durchschleustaktik die beste - funktionert, offenbar nicht so viel Belastung (auf dem Server, solange das Easteregg nicht riesig ist und auch nicht ständig aufgerufen wird, ists auch dem Client egal).
Wenn auch der Server verschleiert werden soll, also der Zusammenhang zum Spiel unklar gemacht werden soll, würd ichs einfach irgendwo bei einem Freehoster draufpacken - da lässt sich nicht unbedingt der Zusammenhang zu deinem Spiel herstellen...

Wie groß ist das Bild, was du "geheim" halten willst?
Und was für PCs/Internetverbindung haben die User durchschnittlich?
Ist nur eine Spielerei, und bei größeren Grafiken doch recht aufwendig... Aber das Originalpic findet so bestimmt keiner.
Die "Grafik" kann jedoch nur im Vordergrund verwendet werden...
t34.at/grafik_oder_nicht.php
Hier mal ein bsp. mit meinem Ava: www.t34.at/grafik_oder_nicht2.php
//Und hier noch ein bsp, aber das ist nur zu Demonstrationszwecken.
Die Seite sollte nur von guten Rechnern mit guter Internetverbindung aufgerufen werden, da die Seite über4MB groß ist, und zum darstellen auch ein wenig CPU-Leistung erfordert... www.t34.at/grafik_oder_nicht_hq.php

nicht sehr effektiv, oder?

Größe: 193,6 KB (198.243 Bytes)

Ich sagte ja nicht dass es effektiv ist, aber meines Wissens die einzige Möglichkeit ein Bild darzustellen, ohne dass der User es "in die Finger bekommt"
Es benötigt Serverseitig und auch Clientseitig weit mehr als ein normales Bild, und es ist von der Qualität immer etwas schlechter als das Original.

Bei der Qualität kann man nicht meckern, denn ein Buchstabe wurde ja auf einen Pixel runterskaliert und lässt sich doch farbig darstellen.

dann muss man aber erstmal ein tool finden was das mitübernimmt... denn ich glaube nicht das du das wirklich alles einzeln machen kannst/willst

Was was übernimmt?
Meinst du das Bild als Text darstellen?
Dafür habe ich ein kleines PHP Scriipt geschrieben, damit kann ich jedes Bild sofort umwandeln und so darstellen lassen wie in meinen Beispielen oben.

das habe ich auch schon gesehen *hust*
nein ich meine die farbige gestaltung...

Ich weiß noch immer nicht genau was du meinst...
Was für Farben?
Die vom Bild?
Wenn du die meinst, die werden vom Script übernommen.
Jeder Pixel wird ausgelesen, verarbeitet und in HTML/Schrift umgesetzt.

ja?
entschuldige meine erinnerung ist schon im urlaub...
EDIT: entschuldigt wenn ich jetzt vollkommenen mist schreibe, aber mir kam gerade die idee, die bilder in der db zu speichern...
ich duck mich dann schonmal vor schlägen aus diversen richtungen

Wie willst du Bilder in der DB speichern?
Im Binär-Format?
Dann müsste man diese aber mittels PHP auch wieder zu Bildern machen, und die könnte der User wieder leicht speichern..
Ist zwar eine gute Idee, aber zumindest mir ist kein Weg bekannt die für den User unerreichbar zu machen.

Das ist doch wurscht wo die Bilder dann auf der Serverseite gespeichert werden, denn man kann sie sogar von anderen Server lesen.

Mit der Gefahr, dass ich gesteinigt werde...
Kann man nicht folgendermaßen vorgehen:
1. html Seite komplett aufbauen lassen
2. per javascript den Code zum entschlüsseln den links holen
3. Mit javascript über ajax den Bildlink holen
4. Bildlink entschlüsseln
5. per javascript das Bild anzeigen
edit:
6. Rechte maustaste deaktivieren.
Wenn der user kein Javascript aktiviert hat, dann kann er die Bilder
auch nicht sehen, also sollte das auch etwas absichern.
edit ende:
Das sollte es doch sehr sehr schwer machen das Bild zu bekommen,
oder nicht?
Wenn man das noch mit Sessions verbindet, dann sollte man
die Bilder doch fast schon optimal versteckt haben.
Ich muss dazu sagen, dass ich nicht wüsste wie ich das Bild per
javascript anzeigen lassen sollte, aber das muss doch auch
gehen, jedenfalls denke ich das der Weg sehr sicher sein sollte.

Kleine Manipulation am Code nach Punkt4:

alert(Bildlink);

schon hab ich den Pfad.
zu 6: aha, sehr interessant. Damit hast du nur etwas den Komfort vermindert.

Meiner Meinung nach ist es unmöglich ein Bild geheim zu halten.
Alles was der User sieht, hat er auch auf der Platte, somit hilft es nicht viel, jetzt alles auf hundert verschiedene Wege zu verschlüsseln etc., wenns der User am Ende wieder sieht, dann kann er es haben, ob der Anbieter will oder nicht.
Direktlinken kann man unterbinden, aber mehr geht da schon nicht...
Und wenn das Bild nicht aus Text besteht gibt es den netten Chache, die Rechte Maustaste oder die temp.
Und wer wirklich was will, der bekommt es auch (zumindest im Internet)

Man könnte ja jeden einzelnen Pixel per Javascript setzen. Dauert arschlang, nervt den Benutzer total wegen der Performance, aber dadurch ist das Bild perfekt gesichert

Wäre im Grunde nicht viel anders als meine Möglichkeit die ich gepostet habe, nur dass meine kein JavaScript benötigt.
Und ich glaube das wäre sogar noch etwas schneller, bei kleinen Bildern zumindest...
Aber den Pfad selbst kann man am besten mit PHP geheimimhalten, finde ich.

Geile Sache mit dem Asciibild, bin erst drauf gekommen, als ich mal Styles deaktiviert habe
Tip: Man kann Traffic und damit Größe sparen, wenn du richtiges CSS nutzt, d.h. du erstellst für jede Farbe (ggf Farbe+Zeichen) eine eigene, kurze CSS-Klasse (intern wg Mehrfachverwendung speichern).. damit kannst du das immer wieder gebrauchen und es spart Traffic. Dann das ganze in eine Zeile schreiben, und es ist perfekt.
Aber wie gesagt.. was einmal auf dem Client ist (egal ob verschlüsselt, unverschlüsselt) ist da.. und zwar in lesbarer Form. Ein Grund, warum Javascript-Passwort-Zugänge sowas von sinnlos sind.. und wenn sie denn "nur" zeigen, dass Bruteforce ausreicht..

ich hab auch noch eine lösung: bild ausdrucken und per post zuschicken.

Das kann man ja einscannen.

Original von Klaus
Das kann man ja einscannen.

Beschichten!!!111

Original von blum
ich hab auch noch eine lösung: bild ausdrucken und per post zuschicken.

Das ist gut! Das mache ich!
@ all
Ist schon toll, auf was für Ideen Leute kommen, die sich mit der Materie auskennen: *thumbsup*

Hast du jetzt eine Lösung für dich gefunden?

Original von MichaelB

Original von blum
ich hab auch noch eine lösung: bild ausdrucken und per post zuschicken.

Das ist gut! Das mache ich!
@ all
Ist schon toll, auf was für Ideen Leute kommen, die sich mit der Materie auskennen: *thumbsup*
Das liegt daran, das Thema an sich dafür geeignet ist. Es gibt nur eine Lösung, die echte Grafik geheimzuhalten.. die URL zur Grafik ist - sofern man mal den kontextsensitiven Bereich weglässt) - einfach nicht geheimzuhalten.
Man kann das mit Ajax hübsch schön serialisieren, kodieren und weiß der Geier für Umstände machen.. schlussendlich ist der "Pfad" dann immer noch nicht geheim. Letzteres lässt sich bsp. prima mit einem sog. Inspector wieder rauslesen.. also alles für die Katz.

Um einen Pfad wirklich geheim zu halten, ist MF's Lösung wahrscheinlich die beste, wie schon gesagt ist jede Art, ein Bild auch als Bild darzustellen (sei es als Background-Image oder per ), unsicher (durch den FF-Inspector kann man sich wunderbar jede Eigenschaft jedes einzelnen DOM-Objektes der HTML-Seite anschauen (wie von knalli schon erwähnt).
Allerdings ist mein PC schon bei MF's Avatar abgeschmiert und war erst nach einigen Minuten wieder zu gebrauchen, daher würde ich abraten das für grössere Bilder zu machen (oder die Zoomstufe erhöhen, in dem man die Schriftgrösse auf 2px anhebt, aber ob das ASCII-Bild dann noch wie nen Bild aussieht, ist fraglich).

Hmm, gibt noch ne Möglichkeit: die Url ist Zeit/IP/Browser/wasweißich abhängig.
Dass dann noch schön durchgemixt, dass irgendein Kauderwelsch rauskommt, schon solltest du einen recht sicheren Bildschutz haben :-)
z.b. in der form bild.php?test=9379478rj3473jr84kd84
Jeder sieht zwar den Pfad, aber es kann keiner was mit anfangen. weil ihn sonst keiner aufrufen kann.
Diese Datei soll dan natürlich schauen, ob der Code zur zeit/IP/Browser passt.
Wenn du das im eingeloggten Zustand brauchst kannst du natürlich auch einen Code in der DB abspeichern.
Oder man macht Einwegurls, die nur 1x aufgerufen werden können (die eigentliche php-Seite legt den Code in der DB an und baut ihn in den Bilddateinamen ein, das Bild, das von ne andere php kommt testet den Code und löscht in in der DB.

Original von Fornax
Hast du jetzt eine Lösung für dich gefunden?

Ich hoffe mir ist niemand böse, wenn das nur ein hypothetische Frage war, einfach um ein paar Ideen, was geht, was nicht geht zu sammeln
Gruß Michael

Das ist hier doch eine Diskussionsplattform, oder etwa nicht?

Ich z.B. wäre nie auf die letzte Idee von mifritscher gekommen - evtl brauche ich aber genau das. Dann erinner ich mich hieran, und werde mein Problem lösen