Защита от брутфорсов и авто. регистрации

На счет брутфорса. Можно в переменную сессию поставить счетчик, кторый бы считал кол-во запросов авторизации. При достижении определенного значения, устанавливать таймаут. Это конечно не самый лучший вариант, но все же...

Насчет авторегистрации. Стоит воспользоваться библиотекой GD2 и генерировать изображение с случайной фразой или набором цифр. Далее добовить несколко линий, расположенных в случайных местах. Далее осталось добавить форму для ввода этой фразы или набора цифр. В принципе, это стандартный метод...

Стоит воспользоваться библиотекой GD2 и генерировать изображение с случайной фразой или набором цифр. Далее добовить несколко линий, расположенных в случайных местах. Далее осталось добавить форму для ввода этой фразы или набора цифр. В принципе, это стандартный метод...

Нажмите, чтобы раскрыть...

Нет, ты немного не понял... то что ты написал это просто реализации самой генерации картинки, а надо придумать именно алгоритм, который бы защищал и от брутфорсов и от авто. регистрации. Т.е. рассчитывая на то, что брутфорс и этот робот (рег) может читать сессии и анализировать скрытые поля...

Можно в переменную сессию поставить счетчик, кторый бы считал кол-во запросов авторизации. При достижении определенного значения, устанавливать таймаут.

Нажмите, чтобы раскрыть...

Эта ф-ия обязательно будет присутствовать в итоге Думаем далее.

Можно, например, сделать так:
Первые 3 запроса на авторизацию не требуют ввода числа с картинки, а после уже генериться картинка...

Мне кажется, что мы имеем несколько разные представления о таких понятиях как брутфорс и авторегистрация .

В моем понимаии, брутфорс - это просто подбор пароля и/или логина простым перебиранием символов (или словаря), с целью заполучения чужого аккаунта. Авторегистрация - автоматическая регистрация бота на форуме(сайте), с целью распространения рекламы и/или обычного флуда

Так вот, теперь можно рассуждать...
От брутфорса может защитить именно таймаут для данного IP. Даже если бот умеет читать сессии (хотя я себе этого не представляю), то можно шифровать переменные, используя md5. Тоже самое относится и к авторегистрации, достаточно ключевое слово зашифровать и уже никакой бот не сможет просто так зарегистрироваться...

я конечно понимаю брутфорсер.....хм...а что толку?...мне не надо форсить для того чтобы выципать пароль, люди вы отстали от времени....предлагаю не заниматься ерундой а просто следить за логами сервера и всё...а потом по получившемся логам очень легко поймать злодея...я так и делаю..пока что успешно....прошу прощения если кого обидел... :umnik:...а для форса через инет..хе..это надо слишко много времени и трафика...да линух сам откинет клиента после 100 запросов...вот такие вот делы

Когда ты будешь смотреть логи, может быть уже поздно Задача, как я понял, не ловить преступника, а не лать ему совершить преступление.

Мне кажется, что мы имеем несколько разные представления о таких понятиях как брутфорс и авторегистрация .

Нажмите, чтобы раскрыть...

Нет все верно Наши представления сходятся. Но хотелось сделать универсальное решение для этих вариантов. И мы сделали это!

Резюмируем:

- Шифруем пароль в сессию
- Генерим узображение с паролем
- Делаем счетчик попыток

Все супер! Отличное решение!

вот это уже верно, но тут есть одно интересное слово PG5...не о чём не говорит...это метод шифрования необратимый...воть...плюсь узображение с цифирем и буквами тут хоть за форсись...а скрипту надо 2 пароля основной и с картинки...вот и вся как говорится любовь :thumbsup:

А вот тут я с тобой не согласен, MD5 тоже шифрует необратимо! Да, можно найти коллизии, не смотря на обещания разработчиков... Но его хэш не обратим.

Плиз расскажи о "интересном слове PG5" Очень интересно.

легко...PG5 появился в 5 версии РНР он как и MD5 необротимо фишрует данные то есть шифронул а вот обратно не может....при вегистрации юзера его пасворд шифруется по методу MD5 а при проверке введенный пароль тоже шифруется и сравнивается с паролем в БД...PG5 работает немного по другому этот метод 256 битного кодирования о чём вы вполне можете прочитать на сайте РНР в разделе обновлений....воть
хотя метод пока что официально не описан....сыроват будет...

сорри за oster_offtopic: :

метод MD5 необратим

Нажмите, чтобы раскрыть...

проблемой занимались некие люди, существует многогигабайтный словарь для брутфорса, и есть такая программулина MD5inside зовется...

зы реально она не очень роботоспособна..но все же ничто не стоит на месте ))