Komentarze do: Nieznośne boty a logowanie

Autor: bato3

bato3 — Wed, 09 Sep 2009 12:43:01 +0000

@Misiur: ukryj rodzica,
Poza tym nie trzeba zawsze używać dispaly:none. Choć kolejne rozwiązania nie sprawdzą się przy przeglądarkach używanych przez niewidomych
Może być:
overflow:hidden; width:1px; height:1px;
position:absolute; left:-1000px
vivsbility /*nigdy nie pamiętam jak to się pisze*/

@uzi123: wypełnianie pola przez javascript?

A wracając do wartości w formularzu i sesji (ticket), to bardzo polecam. Po użyciu, skasować wartość w sesji. Wtedy nie będzie problemu z danymi przesłanymi 2x.

Autor: uzi123

uzi123 — Mon, 06 Apr 2009 21:46:12 +0000

A ja zastanawiam się, czy dało by się jeszcze sprawdzić jakoś nazwę formularza w skrypcie logowania, tak aby odsiać tych, co ewentualnie próbują inteligentnie bokiem obejść zabezpieczenia?

Autor: Nowaker

Nowaker — Mon, 26 Jan 2009 21:42:43 +0000

@Misiur, to dołącz zewnętrzny CSS.

Autor: Misiur

Misiur — Fri, 02 Jan 2009 21:03:52 +0000

Przepraszam za komentarz pod komentarzem, ale zastanawia mnie pewna rzecz. Mianowicie, jeżeli generuje nazwę pola które jest nie do wypełnienie, to jak ustawić styl danego pola zgodnie z W3C? Bo nie lubię, tak samo jak JS, wstawiania CSS bezpośrednio do kodu HTML. W grę nie wchodzi JS, bo chcę aby moja strona była zgodna z technologią Hijax. Pozdrawiam :)

Autor: Misiur

Misiur — Fri, 02 Jan 2009 16:19:29 +0000

Nie spodziewałem się że na stronie z której uczyłem się JS od podstaw znajdę to czego potrzebuje teraz bo takim okresie czasu (mianowicie skrypt przepisywania kodu z obrazka). Jednak na coś muszę zwrócić uwagę. Nie wiem czy ty dawałeś odnośnik do tego artykułu, ale zacytuje: „Sprawdzanie HTTP_REFERER jest kompletnie, ale to absolutnie totalnie bez sensu. Botowi banalnie prosto jest spreparować ten nagłówek, a z drugiej strony jest on kłopotliwy dla prawdziwych użytkowników, którzy mogą mieć go wycinanego lub modyfikowanego przez przeglądarkę, firewall albo proxy. Podobnie z Cookies, User-Agent i innymi danymi z HTTP.” Jest to artykuł z http://pornel.net/antyspam . Skorzystam z paru rozwiązań z tego skryptu :-) Pozdrawiam

Autor: Daniel

Daniel — Tue, 24 Jun 2008 06:54:35 +0000

Ja u siebie na stronie zastosowałem generowanie losowych sufixów nazw pól, które zapisuję sobie w sesji i jeżeli któregoś pola potem nie znajdę w wysłanych danych to banuję takiego osobnika. Poza tym sprawdzam liczę współczynnik zawartości tekstu do całości – wycinam z tekstu znaczniki , [url] i [link] wraz z zawartością, i jeżeli jest mniej niż 50% tekstu, to formularz też idzie do kosza. Profilaktycznie też wcześniej wycinam spacje, żeby ktoś nie wysłał np. dziesięciu linków i 10k spacji :). Dodam jeszcze że na jednym testowym spamie współczynnik był 17% (ze spacjami 18,5%), więc próg 50% jest bezpieczny. Jak do tej pory zostałem zaspamowany tylko raz, jak bot wysyłał sam adres strony, bez znaczników.

Autor: ferrante

ferrante — Sat, 21 Jun 2008 10:04:14 +0000

Co do wiekszych serwisow wlasnie, mysle ze mozna by tu polaczyc metode z-x’a, a mianowicie generowac w locie nazwy konkretnych pol i zapisywac je do sesji, tak by bot mial problem z rozroznieniem, co jest co. A zeby ukryc dane pole, moglibysmy pobierac jego klase czy tez id AJAXem przez JS i w JS wlasnie je ukrywac. No, ale tutaj dochodzi problem userow z JS. Ja chyba osobiscie wolalbym jakis alert o koniecznosci wlaczenia JS niz pseudo brzydka Captche.

Pozdro

Autor: pryngiel

pryngiel — Sat, 21 Jun 2008 09:41:20 +0000

Również korzystam z metody anty-captcha i sprawuje się wyśmienicie. Podejrzewam jednak, że w przypadku większych serwisów obejście to byłoby szybko zauważone. Mimo wszystko do tego momentu warto zaoszczędzić użyktownikom czasu :)

Najważniejsze jest to, by nie zakopać się w zabezpieczeniach, bo czasami chcąc zabezpieczyć się przed botami uniemożliwiamy dostęp do treści (patrz kotki na rapidshare…).

Autor: Bigismall

Bigismall — Sat, 21 Jun 2008 09:13:20 +0000

Polecam użycie SBLAM SBLAM

Autor: zx

zx — Sat, 21 Jun 2008 08:05:21 +0000

A ja właśnie się zastanawiam, czy nie działałoby nazywanie formularzy jakoś dziwnie (tzn. w name jakieś losowe znaki), a potem walidacja konkretnych pól. Możnaby je nawet jakoś umieszczać w dziwnej kolejności, żeby zmylić bota. Na koniec walidacja pól i chyba powinno działać, co? W końcu wtedy bot nie wie co w którym polu wpisać, żeby komentarz przeszedł.