رديابي کاربر در php

[oxygenws]

1234567890

 

[amirsung]

البته بحث توي اين تاپيك سر اين بود كه اول چطور بفهميم كاربر چند بار تلاش كرده و بعد يك فكري براي محدود كردنش بكنيم.
شما فرض كرديد كه روبات هكر يك نام كاربري ثابت رو در نظر ميگيره و با كلمات عبور متنوعي كه ميفرسته سعي ميكنه كلمه ي عبور درست رو پيدا كنه. فرض كنيم يك كاربر با اسم حسن داريم. هكر ما ميدونه كه همچين نام كاربري وجود داره و روباتش كلمات مختلفو روي اين تست ميكنه و بعد از 3 بار سايت ما به image verification mode ميره.. حالا اگه خود حسن اون موقع بياد و بخواد لاگين كنه آيا بايد از همون اول وارد
image verification mode بشه يا نه؟ منظورم اينه كه محدوديتي كه در لاگين كردن براي اون يوزرنيم خاص بوجود مياد عموميه يا فقط مختص به همون روبات خرابكار.

در كل راه حل خوبيه و فكر كنم اگه با راه حل آي پي تركيب بشه ايده آل ميشه.
من يك كد خودم براي ساختن تصوير مخدوش شده چند وقت پيش نوشتم... البته خود ساختن تصوير محتوي رشته ي كاراكتري ساده هست اما مشكل همون مخدوش كردنش هست كه هر كي روش خاص خودشو داره.. من با تركيب رنگهاي متنوع براي رنگهاي background و رنگ text و چند درجه rotate كردن تصوير تقريبا به چيزي كه ميخواستم رسيدم. البته تابعي كه كار rotate كردنو انجام ميده توي GD ورژن 2 به بالا موجود هست ظاهرا..

۱- بهتره اونطوری ننویسی، بنویس GD، همین
۲- سری توابعی در PHP که برای کار گرافیک ساخته شده اند.
۳- منبع، دقیقا به معنی منبع، رو می تونی از سایت www.php.net/manual/en ببینی. از این --منبع-- کاملتر پیدا نمی کنی.

راستی جناب امیرسونگ عزیز، ممنون میشم نظرتون رو در مورد روشی که گفتم اعلام کنید. خوشحال خواهم شد

موفق باشید، امید

 

[oxygenws]

البته بحث توي اين تاپيك سر اين بود كه اول چطور بفهميم كاربر چند بار تلاش كرده و بعد يك فكري براي محدود كردنش بكنيم

خوب؟!

حالا اگه خود حسن اون موقع بياد و بخواد لاگين كنه آيا بايد از همون اول وارد image verification mode بشه يا نه؟

چه حسن و چه مابقی دوستان!! همه باید وارد اون سیستم بشن اگر به این کار شک داری، ۳-۴ بار رمز عبور یاهو مسنجر خودت رو اشتباه وارد کن

در كل راه حل خوبيه و فكر كنم اگه با راه حل آي پي تركيب بشه ايده آل ميشه.

نه، عموما هر چیزی که به نوعی به مهمان (client) مربوط بشه، فقط کار هکر رو کمی دشوار می کنه. پس بهتره اتکا رو روی چیزهایی بذاریم که دقیقا وابسته به سرورند مثل نام کاربری که فقط و فقط در سرور ذخیره می شه و در کل هیچ رابطه ای با مهمان نداره.

من يك كد خودم براي ساختن تصوير مخدوش شده چند وقت پيش نوشتم...

به اون لینکی که در سایت مجیدآنلاین دادم مراجعه کن، من هم ۲ سال پیش نوشته بودم. لینکش رو اونجا دادم. خیلی ساده است

کسی نیست این روشی که من گفتم هک کنه؟؟؟ نظری؟؟ پیشنهادی؟!

 

[behdad]

سلام

یک راهی که من ازش همیشه استفاده میکنم ست کردن یک فیلد برای هر رکورد کاربری است که این فیلد قراره تعداد سعی های ناموفق بر روی این رکورد را ذخیره کنه / بطور مثال اگر شخصی بخواد پسورد administrator رو با الگوریتم try&catch بدست بیاره بعد از x مرتبه وارد کردن user و password نا معتبر برای اکانت administrator , این اکانت بمدت Z دقیقه قفل میشه , یعنی در هنگام قفل شدن اگر شما حتی user و password صحیح رو هم وارد کنید اجازه ورود به شما داده نمیشه تا زمانی که زمان Z به پایان برسد , و پس از به اتمام رسیدن زمان Z و بعد از اولین ورود موفق فیلد unseccesfull_try مقدارش به 0 تغییر پیدا میکند .

یک راه دیگر هم ذخیره کردن زمان اولین سعی برای وارد کردن user و password نامعتبر بر روی یک اکانت است , و سپس مقایسه این زمان با دومین سعی , اگر فاصله زمانی این دو از X ثانیه کمتر بود میتوان فهمید که اکانت کاربری مورد نظر در معرض خطر است و اکانت را قفل کرد .

نام فیلدهای مورد نیاز تا به اینجا برای این table بصورت زیر است :

username | password | unseccesfull_try| unseccesfull_try_time| block | block_date |​

 

[amirsung]

كاملا منطقي و درست. بهداد هم جزييات بيشتر روشتو گفت. البته يه جورايي ظلمه.. مثلا اگه يكي بخواد آي دي منو هك كنه گناه من چيه كه آي ديم بلاك بشه؟

خوب؟!


چه حسن و چه مابقی دوستان!! همه باید وارد اون سیستم بشن اگر به این کار شک داری، ۳-۴ بار رمز عبور یاهو مسنجر خودت رو اشتباه وارد کن


نه، عموما هر چیزی که به نوعی به مهمان (client) مربوط بشه، فقط کار هکر رو کمی دشوار می کنه. پس بهتره اتکا رو روی چیزهایی بذاریم که دقیقا وابسته به سرورند مثل نام کاربری که فقط و فقط در سرور ذخیره می شه و در کل هیچ رابطه ای با مهمان نداره.


به اون لینکی که در سایت مجیدآنلاین دادم مراجعه کن، من هم ۲ سال پیش نوشته بودم. لینکش رو اونجا دادم. خیلی ساده است

کسی نیست این روشی که من گفتم هک کنه؟؟؟ نظری؟؟ پیشنهادی؟!

 

[oxygenws]

سلام،
خوشبختانه فکر می کنم دوستان در این مورد به نتیجه خوبی رسیدند.

دوست ندارم این حرفها رو دوباره اینجا تکرار کنم و کلا بهتر بود خصوصی مطرح می شد، ولی از اونجایی که شما هم همینجا گفتید، من هم یه جورایی مجبور شدم همینجا بگم.
امیر جان، قسمتی از صحبتهای قبلیتون رو اینجا می نویسم (با کمی تلخیص) به کلمات و جملات بزرگ توجه کن

كدش خيلي آسونه..........
در ضمن دخترا رو چه به كدنويسي.. ظرفها نشسته مانده اند و سبزي ها پاك نشده.

تنها کاري که ما ميتونيم بکنيم اينه که کار رو براش مشکل کنيم.
- اگه از session استفاده کنيم، مجبور ميشه مرورگرشو ببنده و دوباره باز کنه.
- اگه از cookie استفاده کنيم مجبور ميشه delete cookies کنه.
- اگه از ip استفاده کنيم مجبوره از proxy استفاده کنه يا از connection هاي مختلف استفاده کنه.

آقايي كه بزرگترين هنرتون اين طور كه از سايتتون معلومه، نصب كردن ورژن هاي مختلف php هست به جاي بهانه آوردن كه صفحه باز نميشه خيلي راحت به اشتباهتون اعتراف كنيد.

اما.. تشويق يک دختر به کدنويسي مثل تشويق يک دختر ۹۰ کيلويي به مدل شدن هست. در ضمن اين خانوم تازه کار به نظر نميان.. بلکه من حدس ميزنم کسي هست که با رابطه يک پروژه رو گرفته و حالا که توش مونده و ديده چيزي نيست که با frontpage بشه درستش کرد داره کدشو از توي انجمن ها جمع ميکنه.
اين هم يادتون باشه که قشر مونث به دفاع احتياجي ندارن و خوب بلدن حقشونو بگيرن حالا چه با سليطه بازي چه با عشوه گري! چقدر خوبه که آدم از همجنس خودش حمايت کنه.. (البته احتمال ميدم که شما اصولا معتقد به مرزبندي هاي جنسيتي نيستي که خوب به نظر من قابل قبول نيست و هر جنسي را بهر کاري ساختند.. جاي بحثش هم اينجا نيست.)

در كل راه حل خوبيه و فكر كنم اگه با راه حل آي پي تركيب بشه ايده آل ميشه.

كاملا منطقي و درست.

دوست عزیز، جناب امیر، فکر می کنم به من و اون به ظاهر دختری که این پست رو شروع کرد، و شاید مابقی دخترای دیگه، یک عذرخواهی بدهکار باشی. و یادت باشه همیشه راهی بهتر از اونی که حدس می زنی وجود داره.

باشد که همه ما هدایت شویم

موفق و پیروز باشید، امید

 

[amirsung]

اين بحث خيلي فرسايشي شده بهمين دليل اين آخرين پستي هست كه توي اين تاپيك ميزنم.

من هنوز روي حرفهاي قبليم هستم.

در ضمن اگه قرار باشه هم نام كاربري و هم كلمه ي عبور هر دو عوض بشن باز هم حرف من درسته و فقط همون سه راه حل وجود داره.. اينكه شما مسئله رو محدود كردي فقط به متغير بودن پسورد يك حرف ديگه هست.

تازه با همه ي اين حرفها، من نفهميدم اين وسط كدنويس بودن دخترها چجوري ثابت شد؟

 

[oxygenws]

اين بحث خيلي فرسايشي شده بهمين دليل اين آخرين پستي هست كه توي اين تاپيك ميزنم.

کاشکی قبل از اولین پستت فرسایشی به نظر می رسید

من هنوز روي حرفهاي قبليم هستم.

خیلی مغروری امیر و البته پررو.

در ضمن اگه قرار باشه هم نام كاربري و هم كلمه ي عبور هر دو عوض بشن باز هم حرف من درسته و فقط همون سه راه حل وجود داره.. اينكه شما مسئله رو محدود كردي فقط به متغير بودن پسورد يك حرف ديگه هست.

چندین بار بهت گفته بودم قبل از اینکه چیزی بنویسی کمی، فقط کمی روش فکر کن تو صحبت هات خیلی سوتی دادی ها به کلمهء فقط در جملهء بالا دقت کن، اون نشون می ده که شما خودت رو عالم دهر می دونی، نه عزیز، شما هیچی نیستی، یک انسان ناقص مثل بقیه انسانها.

آخه ای انسان فرهیخته، دو مورد در صحبت قشنگ شما هست:
۱- اگه الان بهت بگم که بیا هویت یاهوی من رو هک کن، اونوقت تویی که هیچی در مورد ID من نمی دونی، می خوای تمام احتمالات رو چک کنی؟؟؟
۲- به فرض هم اونقدر زرنگ باشی!!!!!!! که تونستی تمام حالات نام کاربری رو تست کنی (البته بعد از ۸۰۰ سال) فکر نمی کنی در مورد تمام اون هویت ها بعد از سه بار سعی، سرت به سنگ می خوره؟؟ خوب چه فرقی می کنه؟؟ بعدش چی؟؟
حقا که خیلی بچه ای و خیلی وقیح

تازه با همه ي اين حرفها، من نفهميدم اين وسط كدنويس بودن دخترها چجوري ثابت شد؟

این صحبت ها مشلما نشون نداد که دخترا کد زدن بلدند، ولی نشون داد که شما هم که ادعا می کنید که این کد بسیار آسونه، بلد نیستید درست کد بزنید. البته با یک محاسبهء احمقانه، مشابه محاسباتی طنزی که در اینترنت یافت می شه:
- دختر ها بلد نیستند کد بزنند.
- امیرسونگ بلد نیست کد بزند.
- پس امیرسونگ دختر است!!!!!
به دل نگیر شوخی بود، اما من اون دختر یا پسری که بلد نیست کد بزنه و ادعایی نداره رو به تو که بلد نیستی کد بزنی و کلی ادعا داری ترجیح می دم.

امیر جان، اینقدر خودخواه نباش. در ضمن، می تونی صحبتت تو پست قبلی رو هم نقض کنی:

اين آخرين پستي هست كه توي اين تاپيك ميزنم.

در آخر هم از خوانندگان عذر می خوام که کمی تند و شاید بد با امیر صحبت کردم. باشد که امیر هدایت شود

 

[miladmovie]

بچه ها لطفا بحث رو ببرید توی مسیر اصلی خودش در ضمن شما هیچ نیازی نیست که این صحبت خود رو نقض کنی

ين آخرين پستي هست كه توي اين تاپيك ميزنم.

اگر می خواهی جواب بدی لطفا فقط PM