Pomoc - Szukaj - Użytkownicy - Kalendarz
Pełna wersja: [PHP]bezobrazkowa captcha
Forum PHP.pl > Forum > Przedszkole
acidm
2.09.2012, 13:35:56
Czy można zabezpieczyć się przed spambootami bez obrazków ?
Np. generuje klucz ,zapisuje go sesji do przeglądarki wysyłam formularz z ukrytym inputem poczym ajaxem pobieram klucz i dolaczam js-em do inputa. Po wysłanie formularza sprawdzam czy ukryty input ma pożądaną wartość jeśli tak to przepuszczam dalej jak nie to exit...

Czy takie podejście będzie skuteczne?


[PHP] pobierz, plaintext 
  1. <?php
  2. session_start();
  3. if (!isset($_SESSION['captcha'])) {
  4.     $znaki = 'qwertyuiopasdfghjklzxcvbnmQWERTYUIOPASDFGHJKLZXCVBNM1234567890_+{}|:<>~?';
  5.     $znaki = str_split($znaki);
  6.     $ile   = 6;
  7.     $str   = '';
  8.     while ($ile) {
  9.         --$ile;
  10.         $str .= $znaki[array_rand($znaki)];
  11.     }
  12.     $str                 = sha1($str);
  13.     $_SESSION['captcha'] = $str;
  14. }
  15.  
  16.  
  17. if (isset($_POST['sendme']) && $_POST['sendme'] === '1') {
  18.     die($_SESSION['captcha']);
  19. }
  20.  
  21. if (!empty($_POST['captcha']) && $_POST['captcha'] === $_SESSION['captcha'] && !empty($_POST['a']) && !empty($_POST['b'])) {
  22.     unset($_SESSION['captcha']);
  23.     //wykonanie dowolego kodu jeśli nie jesteś bootem
  24. 	//np:
  25. 	print_r($_POST);
  26. }
  27.  
  28.  
  29. ?>
  30. <!DOCTYPE HTML>
  31. <html>
  32. <head>
  33. <meta charset="utf-8">
  34. <title>locale</title>
  35. <script src="//ajax.googleapis.com/ajax/libs/jquery/1.8.0/jquery.min.js"></script>
  36. </script>
  37. <script type="text/javascript">
  38. $(document).ready(function(){
  39. $.post('<?php
  40. echo $_SERVER['PHP_SELF'];
  41. ?>',{sendme:1},function(data){$('input[name="captcha"]').val(data);
  42. 				})
  43.  
  44. })
  45. </script>
  46. </head>
  47. <body>
  48. <form action="" method="post" enctype="application/x-www-form-urlencoded">
  49. <input name="a" type="text">
  50. <input name="b" type="text">
  51. <input name="captcha" type="hidden">
  52. <input type="submit">
  53. </form>
  54. </body>
  55. </html>
  56.  
[PHP] pobierz, plaintext

b4rt3kk
2.09.2012, 14:01:26
Jak ktoś ma przepisać tę captchę jak nigdzie jej nie wyświetlasz?
acidm
2.09.2012, 15:03:23
Nie ma jej pisać.
Ma to zrobić js.
Spambooty nie interpretują js a przeglądarka usera tak. (poprawić jeśli się mylę)
rzymek01
2.09.2012, 15:06:21
Nie sądzę, aby js był jakimkolwiek problemem dla spambotów
acidm
3.09.2012, 10:24:55
Nawet jeśli kod klucza nie jest umieszczony bezpośrednio w kodzie tylko pobierany w tle ajaxem i ładowany do inputa?

Dobra , skoro generowanie treści ajaxem i wstawianie automatyczne odpada to pozostaje :
1.filtrowanie popularnych ip spambotów
2.zbudowanie lub użycie gotowej catptchy w js np.z obsługą drag&drop - przykład ajax fancy captcha

Co myślicie o tych rozwiązaniach?
Znacie inne skuteczne?
!*!
3.09.2012, 10:58:53
Cytat
Czy takie podejście będzie skuteczne?

Nie.
Cytat
Spambooty nie interpretują js a przeglądarka usera tak. (poprawić jeśli się mylę)

Jakiś czas temu jeszcze tego nie robiły (zwyczajnie nie było takiej potrzeby), ale nie sądzę, aby było to wielką przeszkodą, skoro jest to możliwe.

Nie kombinuj, poszukaj na forum, szczególnie w dziale PHP, było już wiele tematów odnośnie captchy. Twój sposób jest do obejścia i stwierdzenie bezpieczeństwa siedzi przy nim tylko w Twojej głowie, nigdzie więcej.

Już nie wspominając o tym że ludzie bez JS, zwyczajnie tego nie przejdą.
acidm
3.09.2012, 12:23:45
Zgadza się ,nie można zabezpieczyć sie przed botami w js w 100%.
Można tylko utrudnić spawę botowi przez js ale dla dedykowanego rozwiązania jest zawsze dedykowane obejście.
W sumie im więcej czytam o sposobach obrony przed bootami tym bardziej mam wrażenie że nie ma jednego w 100% działającego rozwiązania :|,można próbować utrudnić dostęp botom, lub co chyba lepsze skorzystać z paru rozwiązań naraz.
!*!
3.09.2012, 12:29:03
Cytat
lub co chyba lepsze skorzystać z paru rozwiązań naraz

Masz utrudniać botowi dostęp do serwisu, a nie użytkownikowi. Stosuj reCaptche i po kłopocie, skoro pytasz o takie rzeczy na forum, to Twój serwis i tak nie będzie na tyle atrakcyjny, aby zaprzęgać pod niego jakiegokolwiek bota, chyba że automatycznego.
acidm
3.09.2012, 12:53:31
Cytat(!*! @ 3.09.2012, 13:29:03 ) *
Masz utrudniać botowi dostęp do serwisu, a nie użytkownikowi. Stosuj reCaptche

Doprawdy?
No jak dla mnie to właśnie obrazkowe captche są najbardziej utrudniające życie użytkownikowi.
Po za tym im bardziej są bezpieczniesze tym bardziej trudniejsze do odczytu .
Pora zapoznać sie z sblam! smile.gif
!*!
3.09.2012, 12:59:48
Cytat
No jak dla mnie to właśnie obrazkowe captche są najbardziej utrudniające życie użytkownikowi.

Lepszego sposobu nie ma i nie będzie przez najbliższe 10-15lat, aż kamery nie staną się standardem i nie będzie bezpośredniej weryfikacji mordy przed monitorem, czy przypadkiem nie loguje się pies... ale do standardu który na to pozwala na razie w nowszych przeglądarkach, jeszcze daleko.

Kazde inne rozwiązanie, które nie jest "przepisaniem tekstu z obrazka" jest zwyczajnie marnej jakości i ma za dużo wad aby mogło przyjąć się w czymś większym.
rzymek01
3.09.2012, 17:30:36
Są inne sposoby, mianowicie captche niezawierające literek do przepisania tylko obrazki z kontekstem, które dla człowieka są trywialne, dla bota już nie.

Gdzieś widziałem captchę typu był sobie parking, 3 samochody, kilka wolnych miejsc parkingowych i tekst "przeciągnij sportowy samochód na wolne miejsce do zaparkowania". Oczywiście parafrazuję, ale chodzi o ideę. Problem jest taki, że takich captch nie można automatycznie tworzyć, ale mogą powstać (może już istnieje) serwis, który udostepnia dużą gamę takich captch.

Jak na razie całkiem dobra alternatywą jest KeyCaptcha.
Użytkownik ma za zadanie ułożyć obrazek. Działa we wszystkich przeglądarkach (na starszych potrzebny jest flash).
acidm
5.09.2012, 10:13:17
Ciekawe rozwiązanie tylko ma mały szkopuł , user wykonuje polecenie po czym funkcja w js podbindowana do odpowiednich zdarzeń sprawdza efekt, jeśli test wykonany poprawnie to wykonuje akcje (np. dodanie inputa z odpowiednią wartością do formy).
Skoro robot może wykonywać kod js to odpowiednio zaprogramowany robot może wykonać samą akcję omijając cały proces sprawdzania poczynań usera. Można by kod js odpowiedzialny z akcje skompresować czy pobierać ajaxem i wykonywać (brzydkim) evalem ale to żadne zabezpieczenie tylko chwilowe utrudnienie.

Więc jest to fajne rozwiązanie ale tylko do czasu aż ktoś napisze dedykowanego bota lub dane rozwiązanie będzie na tyle powszechne że obejście doczeka się implementacji w zautomatyzowanych botach.

Rowiązanie z obrazkowo-literkowymi captcha jest też nie wystarczające :
-mocno zniekształcony tekst (a tylko w ten sposób captcha może być w miarę skuteczna) utrudnia odczyt użytkownikowi
-w raz z rozwojem OCR-ów takie captche będą (jeśli nie są już) coraz słabszym rozwiązaniem


Są jeszcze jakieś propozycje?
CuteOne
5.09.2012, 10:35:44
Widziałem kiedyś captche typu "przeciągnij i upuść" zrobiona pod ajaxem:
- user podczas rejestracji wpisywał swoje dane, akceptował regulamin itp.
- na szarym końcu captcha, która po przeciągnięciu kółka do kosza i kwadratu do pudełka, generowała ajaxem unikalny klucz, który był podpinany do action formularza.
- jeżeli użytkownik pomylił się 3 razy blok na 15min.

Jak dla mnie fajna alternatywa dla standardowej captchy - z coraz bardziej powykręcanymi literami sleep.gif. Tym bardziej, że prawdopodobieństwo trafienia jest niewielkie i zmniejsza się wykładniczo z ilością elementów do przeciągnięcia
erix
5.09.2012, 19:54:27
Cytat
Spambooty nie interpretują js a przeglądarka usera tak. (poprawić jeśli się mylę)

A o WSH słyszałeś?

Cytat
Już nie wspominając o tym że ludzie bez JS, zwyczajnie tego nie przejdą.

Jeszcze 2 lata temu zwróciłbym na to uwagę. Teraz przestaje mieć to sens; nawet Opera Mini na Javę ma prowizoryczną obsługę JS, pod konsolą jest elinks. tongue.gif

Cytat
Stosuj reCaptche i po kłopocie, skoro pytasz o takie rzeczy na forum, to Twój serwis i tak nie będzie na tyle atrakcyjny, aby zaprzęgać pod niego jakiegokolwiek bota, chyba że automatycznego.

Nic mnie tak nie denerwuje, jak reCaptcha... tongue.gif

Cytat
Pora zapoznać sie z sblam!

Słusznie. [; Wg mnie skuteczne.

rzymek01
5.09.2012, 22:30:06
Cytat(acidm @ 5.09.2012, 11:13:17 ) *
Ciekawe rozwiązanie tylko ma mały szkopuł , user wykonuje polecenie po czym funkcja w js podbindowana do odpowiednich zdarzeń sprawdza efekt, jeśli test wykonany poprawnie to wykonuje akcje (np. dodanie inputa z odpowiednią wartością do formy).

hehe, może najpierw zapoznasz się z działaniem, a dopiero potem będziesz pisać takie bzdury? smile.gif

Walidacja wywoływana jest po stronie serwera, jeśli znasz sposób na obejście takiej captchy, pisz śmiało smile.gif
acidm
6.09.2012, 11:51:13
A tak na marginesie to czy bot będzie potrafił tylko zinterpretować js który do niego dotrze czy może
także dowolnie dołączyć własny kod js do strony ? Pytam bo już jestem zdezorientowany...
erix
6.09.2012, 13:40:37
Cytat
także dowolnie dołączyć własny kod js do strony

Może. Może wszystko, co jesteś w stanie zrobić ze stroną w przeglądarce.
To jest wersja lo-fi głównej zawartości. Aby zobaczyć pełną wersję z większą zawartością, obrazkami i formatowaniem proszę kliknij tutaj.
Invision Power Board © 2001-2025 Invision Power Services, Inc.