【仕様】荒らし対策掲示板【実装】 [sc](★0)
-
- 1
- nobodyさん
- 2003/08/22 02:57
-
考えないか？
-
- 145
- 112
- 2003/08/28 21:42
-
>1
画像でパスワードが一番めんどくさくないと思うんだが。
たかだか、2-4程度の英数字を入力するのって、そんなにめんどくさい？
もちろん画像は、フォーム入力画面を表示のたびに「pass.jpg」とかを自動生成。
スクリプトは完璧に防げるでしょ。
不安だったら画像にグラデーションでもかけたらさらに耐久性UP!
>143
クッキー扱うのはスクリプトにとって簡単だよ。
-
- 146
- nobodyさん
- 2003/08/28 21:52
-
画像パスワードは昨年末の第三次TIME誌投票祭りで
２４時間以内に破られているので、薦めるだけ無駄。
-
- 147
- 2003/08/28 22:09
-
>>145
既存の、ｽｸﾘﾌﾟﾄは防げてもﾂｰﾙは防げない罠。
今のところ、ｸｯｷー読み取りつつ連投するﾂｰﾙは無い。
-
- 148
- 2003/08/28 22:12
-
ｸﾞﾗ-ﾃﾞｰｼｮﾝ・ﾉｲｽﾞ等も既出だな。
最近じゃ、画像ﾁｪｯｸｺｰﾄﾞがただの飾りになってる掲示板も多い。
-
- 149
- 112
- 2003/08/28 22:25
-
>146
TIME誌って、あのアメリカの？
>147
すんごい疑問なんだけど、どうやって画像パスをやぶるの？
画像解析しちゃうツールがあるの？厨房にも使いこなせるのかな？
-
- 150
- 2003/08/28 22:32
-
>>149
stormっていう厨房ﾂｰﾙ知らないの？
確か、連結GIFイメージを分割して各画像ごとに分て
予め用意してある画像と比べて、画像ﾁｪｯｸｺｰﾄﾞを突破する。
-
- 151
- 112
- 2003/08/28 22:41
-
なるへそ。
>連結GIFイメージを分割して各画像ごとに分て
漏れが言ってたのは連結GIFじゃなくて、単一の画像ファイルにランダムの
パスワードを生成することを言ってたのよ。なので、ファイルサイズと見た
目はいろいろになっちゃうけど、ファイル名はいつも一緒だよ。
>予め用意してある画像と比べて
そんな画像はどこにも無いので比べようが無い＝セキュリティが高いってこと。
-
- 152
- 2003/08/28 22:51
-
>>115
(´∀｀)？
>単一の画像ファイルにランダムのパスワードを生成することを言ってたのよ。
ﾊﾟｽﾜｰﾄﾞを画像で表示するって事じゃないの？
連結GIFっていうのは、ﾗﾝﾀﾞﾑな数字のﾊﾟｽﾜｰﾄﾞの場合だったら
０〜９の画像を用意して、発行された数字をもとに
それに対応する数字画像を連結してひとつの画像にして表示するって事です。
＞そんな画像はどこにも無いので
別にファイルのバイナリを比べてるわけじゃ無いので
まったく同じ画像じゃなくても、
パターンがわかれば、エミュレートできます。
-
- 153
- 2003/08/28 22:51
-
ﾚｽ版間違えた。
>>151ですた。
-
- 154
- nobodyさん
- 2003/08/28 22:53
-
画像内の文字(チェックパス)を 1-3文字程度のランダムな文字列にし、画像内である程度ランダムに
配置するようにする（と言っても、文字の順番まで入れ変わるのは×）。フォントもランダムにすれば更にＯＫ。
hidden で、その文字列を crypt したものを埋め込んでおき、書き込まれたときに
チェックパス（を crypt したもの）と比較して、一致すれば許可、一致しなければ破棄。
こんな感じではどうだろうか。
PHP では実装は簡単だな。Perl はｼﾗﾈ
-
- 155
- 2003/08/28 22:57
-
>>154
だから、hiddenの値を読みとって、送られたらおしまいでは？；
-
- 158
- 112
- 2003/08/28 23:06
-
>152
>ﾊﾟｽﾜｰﾄﾞを画像で表示するって事じゃないの？
そうだよ。そのとおり。
>連結GIFっていうのは、
連結GIFを使わないのよ。
>０〜９の画像を用意して、
この画像がパターン化しちゃうからばれちゃう恐れがあるじゃん。
>パターンがわかれば、エミュレートできます。
そうなのね。じゃーいかにその厨房ツールのエミュレートロジックから
外れられるか？という事なんじゃないかな？
外国製だったら、明朝で表示とか。適当な画像でパスワード画像の上から
アルファかけるとか。
>154
>画像内である程度ランダムに配置するようにする
位置を崩せばそのツールをだませるって事？
>フォントもランダムにすれば更にＯＫ。
なるへそ。
>hidden で、その文字列を crypt したものを埋め込んでおき、
サーバー側がパスをわかってれば十分じゃない？
-
- 160
- 2003/08/28 23:09
-
総当りでcyriptした値と同じになる文字列検索するとか。
それ以前に画像ファイルは連結じゃないとするとどうやって作るの？
予め、文字列が描いてある一枚の画像を用意するんだったら
無限枚用意しないとパターン化されるよ？
ｱﾌﾟﾚｯﾄかなんかで描画するとか？
-
- 161
- 154
- 2003/08/28 23:10
-
PHP には ImageString という便利な関数があるわけで。
-
- 162
- 2003/08/28 23:12
-
>>158
>連結GIFを使わないのよ。
だから、何使うの？；
>この画像がパターン化しちゃうからばれちゃう恐れがあるじゃん。
０〜９のセットを複数用意して、ﾗﾝﾀﾞﾑで選択とか（himicodeの場合）
>外国製だったら、明朝で表示とか。適当な画像でパスワード画像の上から
アルファかけるとか。
別に、画像の中身で判断してるわけじゃ無いからﾌｫﾝﾄとかあまり意味無いと思うのですが。
-
- 163
- 2003/08/28 23:14
-
>>161
あぁ、なるほど。
PHPはちょっといじっただけで全然知らない(´Д｀)
ｽﾏｿ。
-
- 164
- 2003/08/28 23:16
-
>>160
cyriptってなんだろう？(´Д｀；)
cryptですた。
-
- 165
- 2003/08/28 23:19
-
>>156
>あ、そういえば、書き込みフォームをするときにフォームのIDでも振っておいて、
>サーバ側ではそのIDと、チェックパスを crypt したものを記録しておかないといかんな。
発行済みﾁｪｯｸｺｰﾄﾞのリスト作っておいて、その中のものと比較すればフォームIDはいらないと思う。
-
- 167
- 2003/08/28 23:25
-
>>166
リストに記録する数を制限すればいい。
追記型で、古いものから消えてくように。
そんなにｱｸｾｽ無い場所なら30個ぐらいにしとけば
突破されても被害少ないぞ。
-
- 168
- 2003/08/28 23:26
-
つーか、フォームIDはやっぱりhiddenに入れとくの？
-
- 169
- nobodyさん
- 2003/08/29 00:29
-
http://www.claraocr.org/
文字はやめとけ。
-
- 170
- 112
- 2003/08/29 00:47
-
>167
パスワードはそのときその人だけの一回コッキリで使うのが最強だよ。
わんたいむぱすが一番。
>168
フォームIDって何のために使うの？
同一ユーザーかどうか知りたいんだったらセッションで管理でしょ。
-
- 171
- 2003/08/29 01:41
-
>>170
仕様済みﾁｪｯｸｺｰﾄﾞはﾘｽﾄから消すよ、もちろん。
-
- 172
- nobodyさん
- 2003/08/29 01:54
-
結局画像で落ち着いたのか？
-
- 173
- 2003/08/29 02:10
-
>>172
落ち付きませんよ(´Д｀；)
-
- 174
- nobodyさん
- 2003/08/29 02:37
-
もう教えて君の相手するのやめろよ
こういうやつ次々現れてキリないぜ
-
- 175
- 2003/08/29 02:54
-
>>174
教えて君って俺？
-
- 177
- 2003/08/29 03:07
-
>>176
そうか、残念だ。
-
- 178
- nobodyさん
- 2003/08/29 03:07
-
とりあえずなんか作ってみろ
理屈だけコネててもすすまんぞ
-
- 179
- 2003/08/29 03:14
-
>>178
それは十分解るんだが。
何を作ろうか迷ってるところだ。
プロテクト掲示板は意味無いって結論でたし。
入力する必要無い画像ﾁｪｯｸｺｰﾄﾞ掲示板は実現不可って結論でたし。
｡･ﾟ･(ﾉД`)･ﾟ･｡
-
- 180
- nobodyさん
- 2003/08/29 03:16
-
んだな。
大まかに方向性は決まってるんだから、とりあえずつくっちまえ。
細かい仕様なんて後でもできるよ。
変化を抱擁せよ
-
- 182
- nobodyさん
- 2003/08/29 03:40
-
とりあえずでもいいから思いついた機能を列記してみろよ。
そしてそれぞれをサブルーチンでもいいから書いてみれ。
未だに1行もコード書いてないだろ。
どんな機能を思いついたってコード書けなきゃ意味ない。
-
- 183
- 2003/08/29 03:52
-
>>182
Ok
-
- 184
- nobodyさん
- 2003/09/01 03:35
-
二日たったわけだが
-
- 185
- 2003/09/02 00:13
-
>>184
とりあえず、ここ二日、仕事が忙しくてｽｸﾘﾌﾟﾄいじってる心のゆとりが無いんだが(´Д｀)
-
- 186
- 2003/09/02 00:16
-
とりあえず、なんか参考になりそうなｽﾚ
匿名プロクシは、止められないのか・・。
http://pc2.2ch.net/test/read.cgi/php/995085528/l50
新しい掲示板の仕様を考える
http://pc2.2ch.net/test/read.cgi/php/995359658/l50
-
- 187
- nobodyさん
- 2003/09/04 18:06
-
http://www.hansin.pos.to/minibbs7.cgi
ここが、ＡＡとかコピペ荒らしを自動で弾くスクリプト使ってるみたいだけど
-
- 188
- nobodyさん
- 2003/09/04 18:35
-
http://sirizamurai.s4.xrea.com/dq/r_board.cgi
ここの掲示板で荒らしが来たらみんなでやっつけるってのはどうかな
-
- 189
- nobodyさん
- 2003/09/04 20:52
-
連投ツール系は外部JavaScriptファイルにチェックコードをhiddenで書いてたりしても突破する？
Javascriptダメって言われたらそれまでだけど
-
- 190
- nobodyさん
- 2003/09/04 23:02
-
連結GIFの画像コードはツールがあるけど
ttp://aji.s1.xrea.com/
ここの画像コードなら大丈夫じゃないの？
-
- 192
- nobodyさん
- 2003/09/05 01:50
-
お？ま…まさか
-
- 194
- nobodyさん
- 2003/09/06 01:55
-
出力されるものは読まれる
それがHTMLだろうがJSだろうが
上のは
code.txt
function unyaya(){}
CGI_
document.write('<input type="hidden" name="code" value="'+ unyanya() +'">')
とかやりたいの？
毎回code.txtスクリプトに読ませりゃいいじゃん
ブラウザが読めるものはスクリプトも読める
-
- 195
- nobodyさん
- 2003/09/06 02:03
-
あ、それとも
<input type="hidden" name="code" value="***">を
document.write()で出力するだけて意味なのかな？
まあ、どっちでも意味ねーべ
読まれる
このページを共有する
おすすめワード