|
PHP | עזרה | הודעות ספאם או שליחה רגילה?!
שלום,
בניתי פורום קטנטן, והרבה פעמים מתפרסמות הודעות ספאם (ג'יבריש, הודעות סקס באנגלית) בד"כ זה לא הודעה אחת אלא כמות מסויימת ביחד. שמתי את ההגנה של העתקת טקסט מתמונה לתיבה...ב GD...וזה עדיין ממשיך. יש דרך יעילה אחרת לחסום הודעות מסוג אלו במידה והם ספאם? יש דרך לוודא אם אלו הודעות ספאם ששולח בוט או פשוט בן אדם נכנס ושולח הודעות? יש לציין שהפורום לא כולל הרשמה והתחברות ולכן חסימת משתמש לא יעזור פה... אשמח לשמוע דעה מכם מתן. |
תנסה להשתמש באימות תמונה יותר חזק, ואתה יכול להשתמש גם במנגנון מניעת הצפות שבודק מתי נשלחה הודעה אחרונה מהמשתמש או מהIP המסוים ואם לא עבר X שניות הוא לא נותן לשלוח הודעה.
|
לגביי האימות תמונה לדעתי הוא בסדר גמור...
לגביי מניעת הצפות...מה זה ייתן? אז הוא ישלח כל דקה הודעה...ולא כל שניה... |
אתה יכול לעשות שצריך אישור במייל למשתמש/להודעה [עדיף למשתמש...].
כמובן CAPTCHA איכותי... לסנן מילים מסויימות עם ביטויים רגולרים וכו' וכו' וכו'. |
אישור במייל זה מכביד...הרעיון הוא פורום קליל לשליחת הודעות מיידיות...
בלי הרבה סיבוכים...במיוחד שהקהל יעד שמה זה לא אנשים יותר מידי מבינים... |
שלח קישור לפורום מכיוון שלרוב אם שמים קוד אבטחה וזה ממשיך - זה באג אצלך. בוטים יעדיפו אתר בכלל בלי קוד אבטחה.
|
נשלח בה.פ=]
תודה. |
reCaptcha
|
הוא ממש לא ברור אבל...זה ההוא שאפשר גם ללחוץ לשמיעה נכון?
אם כן, זה בעייתי...אני צריך אותיות דיי ברורות...זה קהל יעד בעייתי. |
אשמח בפרטי את הכתובת לפורום שאנסה לעזור
|
ציטוט:
ואם קהלה יעד שלך בעייתי תנסה פתרונות אחרים לזיהוי אנושי.. |
תעשה סעיף לפני הרשמה או מה שאתה צריך עם שאלה אקראית בעברית (משהו קל)
|
כמו שאמרתי, אין הרשמה בפורום הזה...זו קהילה שלא ממש מבינה והרשמה תבריח הרבה מתוכם...
מה הכוונה פתרון אנושי? והאם במקום CAPCHA עדיף לעשות שאלות בעת שליחת הודעה...שאלות קלילות כאלו... |
תעשה מאגר של כמה שאלות והתשובות שלהן, בעברית, לדוגמא:
מהי בירת ישראל? כמה זה 4 + 3? מהו שמו הפרטי של ראש הממשלה? עריכה בעייתי קצת... כי ראש ממשלה מתחלף כל חודש וחצי אצלנו מהו צבע הדגל חוץ מלבן? מהי המילה הראשונה בהמנון הלאומי? עריכה אני מקווה שאת זה כולם יודעים, נכון? וכן הלאה... רק תקפיד שזה לא יהיה חידון התנ"ך כזה, אלא שאלות שכל אידיוט ישראלי יודע את התשובה עליהן. אולי אתה יכול גם לעשות את השאלה כ-Capcha שיהיה קל לקרוא (רק שמחשב לא יוכל לקרוא) |
בעיקרון recapatcha הכי טוב.
אבל היות ומדובר בקהילה שאולי זה קצת יפריע לה , ההיתי באמת הולך על שאלות אקראיות. שים לב! תרגילים במתמטיקה לא יעזרו לך , יש בוטים שיודעים לחשב את זה. אני ההיתי שם מילים פשוטות באנגלית , ומבקש תרגום לעברית: 'רשום את פירוש המילה GOOD בעברית'. |
אוקיי הבנתי את הרעיון של השאלות שכל ילד בן 4 יכול לפתור...
השאלה עכשיו אם זה פתרון מספיק יעיל לחסימת בוטים...? |
ציטוט:
|
OK, תודה רבה לך, ולשאר:)
|
אגב - אני לרוב במערכות לא שם קאפטצ'ה - אלא עושה טריקים בג'אווה סקריפט - בשביל העניין INPUT מוחבא, onload הערך שלו הופך ל"TRUE".
אני בודק - אם הערך לא TRUE, אז זה בוט. עכשיו - מה הבעייה? יש בוטים שיודעים לפרש JAVASCRIPT. ובשביל זה יש כמה משחקים עם display ו-visibility (בשביל העניין, 2 שדות של שם - שניהם מתחילים ריקים, והמערכת מציגה אחד מהם) - כל מיני סיבוכים כאלה. ויש כמובן את המאוד ריאליסטים - וגם להם יש שיטות למנוע - אך שום דבר לא מושלם. (וכמובן דואג מראש שכל קהל היעד יתמוך בג'אווה סקריפט). |
ציטוט:
לדעתי מה שהצעתי קודם אמור לעצור אותם. |
ציטוט:
יש סיבה כלשהיא שכל האתרים הגדולים משתמשים בקפצ'ה, ורובם ב reCaptcha. פשוט, כי לא משנה כמה טריקים מפגרים תעשה אפשר לתכנת רובוט שימלא רק את מה שאמרתי לו. וקפצ'ה זה כבר משהוא מסובך יותר, כי צריך OCR. אם אתה רוצה להיות משוכלל יותר תלך על טריקים שהם לא קפצ'ה אותיות- למשל זיהוי חיות בתמונה, זיהוי צבעים[מה צבע המכונית בתמונה?], וכו'. |
לכתוב משהו בצד לקוח בשיל לוודא דברים כאלה זה מטומטם
רובוטים לא נכנסים לעמוד חח הם פשוט שולחים REQUEST לשרת חח אפשר לאנוס לך את השרת עם זה ותסלח לי על המילה את הוידוי צריך לבצע בצד שרת בנוסף אתה יכול להקל על האנשים, יש קפצ'ות מאוד נוחות הכי קל ונוח זה כמו שאלמוג אמר להשתמש בRECAPTCHA - גם עוזר לתרגם ספרים וגם קאפצ'ה הכי טובה שתמצא ואפשר גם שטויות כמו שאלה תשובה וכד' מוצגת תמונה ואתה צריך לכתוב מה יש בתמונה וכו' בהצלחה עם זה רק אל תשכח לוודא את הדברים בצד שרת ושהדברים לא יהיו נגישים דרך הסורס משמע שלא תוכל לגלות תשובה מהסורס בהצלחה עריכה קראתי את כל האשכול ואני מבין שאתה מחפש משהו פשוט.. תחפש בגוגל HOT OR NOT CAPTCHA.. הכי קל והכי עובד (: |
ניצן תודה על העזרה, חיפשתי בגוגל אך לא מצאתי...תוכל לעזור לי בזה?
|
ציטוט:
אמרתי שאני עשיתי את החשבון ובמידה, ומערכת ששמתי בא קאפטצ'ה בעזרת JavaScript ו"יספימו" אותה - לא יגרם שום נזק, או שהתועלת שזה שאין קאפטצ'ה תיהיה גדולה על ה"נזק" כביכול שיגרם בלי קאפטצ'ה. ציטוט:
מופיע האינפוט X (למרות שבעזרת JAVASCRIPT דאגתי שהוא "יעלם"), או לא מופיע באינפוט Y (יצרתי אותו באופן דינאמי באמצעות JAVASCRIPT), אני לא "אאשר" את השליחה. |
ציטוט:
|
ציטוט:
אם מישהו מאוד ירצה - מאוד מאוד - הוא יוכל לעקוף את ה"הגנה" שלי. אבל אני חישבתי שזה הרבה יותר יעיל מאשר לשים קאפטצ'ה. |
ציטוט:
|
בחיי כל חצי שנה אותו וויכוח מטוטמם.
תבנה לך את האימות JS שלך, בהצלחה! צום קל! שבת שלום! על מה אתה מתעקש? עם מי אתה נלחם??? אתה נלחם פה איתי- שישבתי וחקרתי את הנושא ושמעתי הרצאות באנגלית? אתה נלחם פה עם ניצן- שישב וקרא וחקר והגיע לאותה מסקנה? אתה נלחם פה עם דאממ(אט)- שלא מבין מאפה אתה ממציא את השטויות שלך? אתה נלחם פה עם כל העולם- שחלקו מכיל פרופסורים ומתכנתים רבים שכולם הסכימו פה אחד שהפתרון לזיהוי גורם אנוש הוא בברים שרק אדם יכול לבצע? למה לכל הרוחות אתה מנסה להמציא גלגל שהומצא?!!?!?!??! בבקשה ממך, אם אתה לא בטוח במה שאתה אומר- תבדוק את זה, אתה מטעה פה אנשים. תעשה מחקר[אפילו תיאורטי] תראה הוחכות ותדבר איתנו. |
MasterT כל מה שהסברת אפשר לקבל בfopen פשוט עם קצת ריוורס.. ועם זה לא יעבוד תמיד יש curl..
אבל אלמוג דיי להתעצבן, יש פריצות בreCaptcha.. לגשת למסד שלהם עם 70 מיליון הרשומות ולהריץ brute force בשביל הודעות ספאם בבלוגים. |
Baku, אני רוצה להבהיר את זה בתחילת ההודעה כדי שזה יהיה ברור. אם אתה מעוניין לנהל כאן דיון - אשמח. אם אתה מעוניין לנהל כאן דיון שבו תזלזל באדם השני, תודיע לי מייד - כי לא אגיב בנושא הזה יותר, המטרה שלי היא לא לריב איתך, ואתה מוזמן לראות שיש אנשים שהביעו את דעתם בצורה טיפה יותר מאופקת.
daMn, FuZuL: תודה רבה, ולצערי הרב השבוע אני עסוק אבל בשישי אני אכין דף דוגמא עם העיקרון שלי. Baku: מוזר. למה אני אומר מוזר? כי לפי הגישה שלך - הדרך היחידה לזהות בן אדם היא על ידי קאפטצ'ה. נניח שזה נכון - דבר שקרה הרבה בעבר. אני רוצה לבצע הצפה המונית של ההרשמה בהוסטס. פתחתי בשביל העניין אתר משחקים לילדים (או פורנוגראפיה - כמו הדבר המקורי), וכל מי שירצה לשחק במשחק - יצטרך לכתוב מה רשום בתמונה. אני כל פעם אקח את התמונה מההרשמה של הוסטס - מישהו ירשום, ואז הבוט שלי יוכל להירשם, עוד פעם. יש לי אתר של 1000 גולשים כל יום? אני אבקש מכל אחד לכתוב 3 פעמים? יש לי 3000 הרשמות להוסטס למרות הקאפטצ'ה. אז מה עם הדבר הזה? אפשר להמשיך להתחכם ולמצוא עוד דברים... בנוסף - נניח והאדם הזדוני נרשם לאתר שלך. אם יש דבר אחד - דבר אחד בלי בקרת הצפה, בשביל העניין - הודעות בפרופיל - הוא יכול להירשם פעם אחת באופן ידני, ולהכין בוט שיציף את כל ההודעות בפרופיל. הודעות בפרופיל מוגנות? הוא כבר ימצא משהו אחר. הכל מוגן? אני אריץ אותו ב-12 בלילה עד 6 בבוקר, נגיד ואפשר לשלוח הודעה פרטית כל 30 שניות? זאת אומרת 120 הודעות לשעה? הנה כבר שלחתי בערך 800 הודעות. אפשר להמשיך ולתת עוד ועוד רעיונות איך ניתן לעקוף דברים כאלה - וכמו שהסברתי - גם הקאפטצ'ה לא תעצור את זה. חבל שלא קראת את הודעותי בעיון, כתבתי במפורש שהשיטה שלי זה לא "חסין לספאם". אבל בשבילי, אם אני יודע שכל עוד מישהו לא ירצה בכוונה להתלבש על האתר שלי (וכמו שציינתי למעלה - גם אז קאפטצ'ה לא תעצור אותו) - ואין שום נזק גם אם מישהו יחליט - למה לא? ואם אני דואג לעשות את זה מספיק טוב, גם אם מישהו יחליט, הוא יצטרך לדעת איך לשחק עם דברים, להבין דברים ו"לנחש" דברים כדי ליצור דבר שבכל זאת יציף את זה. אני לא הולך עכשיו להסביר בדיוק מה אני אעשה כדי לדאוג שהסיכוי שזה יקרה יהיה כמעט אפסי, אבל יש גם דברים כגון Askimet שיכולים לעבוד מצויין. ועוד פעם - אם ההודעה הבאה תבוא כתקיפה עליי במטרה לסתור את הדעה שלי ולא להעשיר את הדיון, לא נעלמתי - אני פשוט לא אגיב בנושא זה. יום טוב, דניאל. |
ציטוט:
אתה אומר שתוכל להציף את ההודעות בפרופיל , אני אלך איתך בראש הזה , אעשה בדיקה האם המשתמש הגיב בפרופיל ב-5 דקות האחרונות , אם כן לא אאפשר לו להגיב שנית. בקשר לשיטה שבה "עברת" כביכול את הקאפטצ'ה בהרשמה של הוסטס , אותו דבר ו/או חסימת הרשמה מאותו IP (שכאן אני קצת פוגע בנוחיות המשתמש). מחכה לתגובה , כי אני אוהב את הקו מחשבה שלך 8-) |
ציטוט:
הצפות לא נעשות על ידי אותו IP, אלא על ידי בוטנט. הצפות לפי IP אפשר לחסום. |
ציטוט:
לגבי ה"רק קפצ'ה!" לא, יש עוד אפשרויות. אבל מה שאתה הצעת לא כלול בתוכם. |
ציטוט:
אני נתתי את דעתי אלמוג, ומה שאני אומר זה עוד דבר לניסיון להפחתת כמות הספאם. כשיהיה לי זמן אני אכין אתר דוגמא פשוט באנגלית להדגים את העיקרון שלי. אגב - אתה מוזמן להסתכל על Askimet כעוד דוגמא. |
ציטוט:
מריץ את הJS ועושה כל מה שבראשו אחרי הכל הדפדפן הוא למעשה JS INTERPRETER ואפשר לכתוב אחד כזה בקלות |קורץ| ואני לא חושב שיש בעיה להוסיף לPOST REQUEST עוד שדות, מה שצריך זה רק לעדכן את הCONTENT LENGTH בהתאם |Lol| לוודא דברים כאלו בצד לקוח זה טעות - רק בצד שרת קראתי את המשך הדיון אנשים התחרפנתם בכל אופן אני יסכם את זה מהניסיון שלי ככה קודם כל תוודאו אם מה שמדובר עליו בכלל שווה לוודא אותו, לדוגמא לא יפריע לי אם בנאדם מוסיף לעצמו צפיות בסרטון יוטיוב שלו, כי זה בסה"כ צפיות, ממש לא אכפת לי אם מישהו יחליט לאנוס את המדד (את האמת זה עקרוני כי ככה מבצעים PROMOTION לוידאואים וזה באמת עובד אבל חפיף.. אין לי דוגמא חארת בראש) אחרי שאני כבר יודע שזה משהו שבאמת עקרוני לאבטח הייתי נוקט בצעדים הבאים קודם כל לא בודק את הדברים ברמה של צד לקוח - טעות עצומה לדעתי ובזבוז זמן טוטאלי - אלא אם כן הזמן שלוקח לכם לוודא את הדברים בשרת גדול, מה שלרוב לא נכון כי לרוב רוב הכניסות הם לעמודי שליפת המידע וההזנה היא חד פעמית או זניחה יחסית לשליפות, אבל נניח וכן ורציתם לחסוך - תעברו לJS ותזרקו את זה אצל הלקוח שנית הייתי מריץ RECAPTCHA או אם הקהל יעד בארץ - משהו יותר מגניב עם אותיות בעברית או איזה משימה מוקרצת "כתוב את האות שבין ג' לה'" וכד', או סתם נותן לחשב נפח סיבוב של איזה פונקציה טריגונומטרית הזויה P: בסופו של דבר אתם צריכים כמה שפחות להציק ליוזר אבל כמה שיותר לוודא את תקינות המידע - אל תחשבו על היוזר בתור אחד שבא לאנוס את המערכת שלכם ואל תחשבו עליו גם בתור בנאדם תמים - תדאגו לאמצעים מינימלים שלא יציקו לו אך שלא יתנו יד חופשית למערכת שלכם איך לעשות את זה? -> זה ממש איך שתרצו - נתתי אמצעים שאני מחבב למעלה - אבל זה ממש מה שבא לכם |
ממה שהבנתי מידידנו, זה סתם בוט שמשעמם לו, זה לא שמישהו בא ומנסה להשמיד לו את האתר... גם אם כן, למה לא להשתמש ב-2 הטכניקות שציינתם? אני מתכוון באופן כללי, אפשר לעשות גם קפצ'ה וגם את הרעיון שדניאל חשב עליו (שהוא חכם, פעם ראשונה שאני שומע אותו והוא מאוד מקורי)...
אני חשבתי על משהו אחר: ליצור SWF שיוצר מחרוזת רנדומלית, מעביר אותה לשרת (מפעיל קובץ PHP שמעתיק את זה למשתנה סשן) ואז האימות מתבצע מול הסשן... איך? |
ציטוט:
שמע - אני לא אמרתי, ואף פעם לא אגיד שיש פיתרון מושלם, ואף פעם לא אמרתי שמתכנת מספיק טוב יכול תוך מקסימום שעה להכין בוט שיעקוף את ההגנה שהצעתי, אבל שוב פעם - אז הוא ירשם ידנית, ויציף את הפורום דרך בוט. כל דבר ניתן לעקוף, וכל עוד התועלת גדולה מהנזק הפוטנציאלי (שלא נדבר על זה שבמקרה הכי גרוע שהוא יצליח להציף -> למחוק את כל ההודעות ולעבור לקאפטצ'ה). אבל מבחינת טרחה? הרבה פחות טרחה, הרבה יותר תועלת, ונזק פוטנציאלי נמוך |
| כל הזמנים הם GMT +2. הזמן כעת הוא 10:05. |
מופעל באמצעות VBulletin גרסה 3.8.6
כל הזכויות שמורות ©
כל הזכויות שמורות לסולל יבוא ורשתות (1997) בע"מ