|
[דיון] מניעת הצפות בטופס
אהלן חברים
אני בטוח שהשאלה מטרידה הרבה אנשים אם יש לכם טופס באתר שנשלח ומכניס נתונים למסד נתונים, אני לא מדבר על בדיקת קלט וכו' שנועדו למנוע הזרקה למסד וכו' אלא הצפה כמובן שלא נוח שהמשתמשים יאמתו קוד שרשום בתוך תמונה אז זה לא אופציה איזה דרכים אתם עושים על מנת למנוע הצפה של מסד דרך טופס? חשבתי על עוגיה אבל כמובן אפשר למחוק, ויש דפדפנים שלא שומרים עוגיה לשמור IP זה חולני, לאתרים עם הרבה מבקרים זה פשוט יעמיס על המסד אשמח לתגובות |
תעשה סשן שבכל שליחה של הטופס הערך שלו עולה ב-1 ואם הערך גדול מ-5 אז המשתמש לא יכול לשלוח את הטופס. ככה אני עושה את זה, ובמקומות שאני לא רוצה לשים קוד אבטחה זה עובד מצויין :)
|
ציטוט:
או שזה מופעל ע"י רובוט?(CRON JOB או משהו שלא מחוייב להיכנס לדפדפן וממילא לא שומא עוגיות או סישנים) |
לא הדפדפן שומר סשנים, השרת שומר אותם
|
במידה והטופס נשלח למסד נתונים.. פשוט לעשות עמודה של IP ושעת שליחה, וכבר אתה מקשה על הילדים
פיתרון נוסף באמת סיישן. אני הייתי עובד פה עם זמנים ולא מונה אבל החלטה שלך כבר כמובן שזה מאוד מאוד תלוי במה אתה שולח, לאן ומי יכול להשתמש בטופס. אפשר הרי לבצע אימות על פי מספר משתמש ועוד מליון שיטות שונות |
ציטוט:
|
ציטוט:
ועדיין אני חושב שאפשר לעקוף את זה , הרי הסישן נשמר לפיהדפדפן שלך כאשר הדפדפן יוצא אין סישן ציטוט:
אבל נגיד שזה בלי מספר משתמש IP כמו שאמרתי לא רלוונטי |
זה לא משנה אם יעשו את זה מדפדפנים שונים כי התקפות בוטים יעשו מאותו "דפדפן", ככה שהסשן ייפעל כמו שצריך.
|
ציטוט:
כשיש לך אתר עם 1500 גולשים ויותר, לא נראה לי שזה חכם לפתוח משתנה לכל אחד מהם. מסד מאפשר מעקב יותר חכם, ומאפשר למנהל לדעת בדיוק מה קרה. |
אתה באמת חושב שעדיף ליצור עמודה במסד ולאחסן בה כתובות IP מאשר לעשות את זה בסשן? אם כן, אתה טועה.. סשן הרבה יותר קל לניהול לשרת מאשר פעולת מסד ואני לא מבין איזה מעקב חכם אתה מדבר עליו שאפשר לעשות במסד ולא בסשן
|
ציטוט:
סשן מתאפס כשהשרת נופל, המסד לא (מתאפס), אם תרצה לדעת מה היו הפעולות האחרונות לפני הפלת השרת, לא תוכל. סשן זה לכל דפדפן, לא ידועה לי שיטה ברמת php להוציא סשן של דפדפן אחר כדי לאחזר את המידע עליו (IP,שם משתמש וכו'), לעומת זאת במסד נתונים ניתן להוציא רישום מסודר של מה קרה ומתי. תקן אותי אם אני טועה. |
הדברים שאמרת פשוט לא רלוונטיים למקרה של פותח האשכול.
|
אשמח לעוד תגובות
|
סשן לא יעזור פה בכלל נגד הצפה על ידי בוט.
מי שלא יודע דרך הפעולה של סשן היא שמירת עוגייה אצל הלקוח שנמחקת ברגע שהוא יוצא מהדפדפן שכל מה שהיא מכילה זה איזשהו ID ובשרת שמירה של הנתונים לפי הID הזה. אם תכתבו לדוגמה תוכנית בC או אפילו בPHP שמתקיפה שרת רוב הסיכויים שלא תשמרו עוגיות, לא תשלחו User Agent וכדומה. במילים פשוטות סשן יעזור רק נגד דפדפן רגיל נורמאלי ששומר עוגיות. IP זה משהו שנשלח בכל בקשה, בשביל לדעת לאן להחזיר את הRESPONSE, קשה מאוד להשיג הרבה כתובות IP כי זה משהו שדורש הרבה מחשבים. אם אתם צריכים הגנה רצינית נגד הצפה זה IP או CAPTCHA בד"כ. זה יכול להיות גם תעודת זהות או משהו כזה אבל זה כבר נושא אחר. דרך אגב, רוב האתרים לא דורשים כזו הגנה כבדה... |
ציטוט:
שנית - בתור רובוט - מאוד לא בעיה לעבוד על המערכת שלך - שכן כל פעם במקום לשלוח חזרה לשרת את ה COOKIE עם ה SESSION ID - לא שולחים כלום - ואז מקבלים סשן חדש ויש לך שוב עוד 5 ניסיונות בנוגע לנושא עצמו - אני הייתי עושה עם TOKEN-ים מכל סוג שהם.. או קבצים בשרת או בדטאבייס או בקאש דרך אגב שי - להשיג הרבה כתובות IP זה בכלל לא בעיה כיום... ב10 דקות אני יכול להוציא מעל 500 לסיכום - או TOKEN-ים או CAPTCHA (יש הרבה סוגי קאפצ'ה - אפשר אפילו קאפצ'ה בג'אוה סקריפט שבאמצעותה המשתמש צריך "לגרור" את העיגול לתוך הריבוע וכדומה..) בהצלחה! |
ניצן מה הכוונה להוציא מעל 500 כתובות IP.
השאלה היא האם אתה יכול להשתמש בכולן בשביל להתקיף, בקצב שיכול להפיל שרת או לעשות הצפה רצינית. בכל אופן, TOKENים זה בד"כ נחמד :) |
ציטוט:
|
אז סשן לא עוזר כי בוט לא ישמור אותו
ציטוט:
אם יש לי אתר עם טופס פשוט שמכניס משהו למסד, ואני לא רוצה לעשות קוד אימות הדרך היחידה זה לשמור IP ,וזה כמובן דבר לא נחמד למסד שפשוט יהיה מלא... תחשוב לשמור IP כפול מספר המשתמשים שלך זה הרבה מספיק ילד משועמם שיבנה בוט ויציף את המסד,,,לא? אשמח לדרך יעילה וקטנה |
| כל הזמנים הם GMT +2. הזמן כעת הוא 17:09. |
מופעל באמצעות VBulletin גרסה 3.8.6
כל הזכויות שמורות ©
כל הזכויות שמורות לסולל יבוא ורשתות (1997) בע"מ