אהלן, בזמני החופשי תכנתתי CAPTCHA עבור הרשמה ו-LOGIN של מערכת שאני עובד עליה, מה דעתכם?

(במידה ויהיה צורך, אעלה גם עמוד לבדיקה)

עריכה - הרגע שמתי לב שהתמונות יצאו באיכות נוראית, "במציאות" הן יוצאות מצויין:

עוד דבר, הסרתי את כל האותיות שקל לבלבל אותן דוגמת-

i,l,2,s,5,o,0,q,Q וכו'.[br]פורסם בתאריך: 25.10.2008 בשעה 13:00:58

---

בחיי, 32 צפיות ו-0 תגובות?? :-\

[attachment deleted by admin]

נחמד מאוד

יש סיכוי טוב ואפרסם גם את קוד המקור.

מה אתם אומרים, הכל קריא?

ד"א, חקרתי די הרבה בנושא וחסמתי כל חולשה שהצלחתי למצוא -

* פונט שונה בכל פעם

* גודל פונט שונה לכל אות בכל פעם

* כיוון ומיקום שונה לכל אות בכל פעם

* 2 פילטרים לעיוות האותיות, בכל אות מופעלים 2 הפילטרים בהגדרות רנדומליות

* מתווסף קו\2 קווים עם אורך, זווית, עובי, ומיקום שונה בכדי לנסות ו"לחבר" את האותיות

* ה-STRING של ה-CAPTCHA מוצפן בתוך SESSION, כך שלא ניתן לקרוא או לשנות אותו

נראה בסדר, יש כמה שקשים יחסית לקריאה, מקסימום עושים generate new code

נראה בסדר, יש כמה שקשים יחסית לקריאה, מקסימום עושים generate new code

בדיוק.

היה לי גם CLASS שעושה CAPTCHA באנימציה, אבל אחרי קריאה קצרה גיליתי שזה לא כזה אפקטיבי, וגם אחרי מבט חטוף ב-TASK MANAGER של השרת העפתי אותה לאזעזל, לוקח לכל CAPTCHA כ-5 שניות להווצר וזה לוקח 100% מהעיבוד, ה-CAPTCHA הנוכחית לוקחת רק כ-4% מהמעבד בשיא העיבוד, ופחות מ1\2 שניה להווצר.

אממ מעניין תן עוד פרטים לחיות שרוצות לאכול שניצלים

סתם חיות שרוצות מידע

איזה עוד מידע?

רק תשאלו

אממ

1.באיזה תוכנה כתבתה את CAPTCHA

2.זה לאתר או לתוכנית במחשב

3.אממ רוצה לראות את הקוד

{אבל בנתיים שימוש כזה או אחר אני לא יעשה בו כי אין לי ידע טוב רק מתחיל בC++ מהבית הספר פלוס קצת ממש קצת זאת אומרת הפתיחה בPASCAL ידע בHTML גם את החוקים של XHTML וCSS}אבל כול זה ידע ממש מועט :-\אין זמן ממש

אממ

1.באיזה תוכנה כתבתה את CAPTCHA

2.זה לאתר או לתוכנית במחשב

3.אממ רוצה לראות את הקוד

{אבל בנתיים שימוש כזה או אחר אני לא יעשה בו כי אין לי ידע טוב רק מתחיל בC++ מהבית הספר פלוס קצת ממש קצת זאת אומרת הפתיחה בPASCAL ידע בHTML גם את החוקים של XHTML וCSS}אבל כול זה ידע ממש מועט :-\אין זמן ממש

1. שפת תכנות? PHP

2. אתר, (לרוב) תוכניות במחשב לא דורשות CAPTCHA וגם ניתן לעשות משהו הרבה יותר מקורי מסתם להעתיק אותיות לצורך הפרדה בין מחשב לבן-אדם בתוכנות

3. בקרוב, צריך לעשות עוד כמה אופטימיזציות.

אין צורך להצפין את ה STRING - עצם העובדה שהוא מאוכסן בתור SESSION גורמת לו להיות לא נגיש למשתמש.

אין צורך להצפין את ה STRING - עצם העובדה שהוא מאוכסן בתור SESSION גורמת לו להיות לא נגיש למשתמש.

ידוע, אבל לאחרונה ראיתי דרכים שונות לעקיפה באמצעות חולשה ב-SESSIONS, הנה דוגמא:

http://www.puremango.co.uk/cm_breaking_captcha_115.php

זה לא קשור, ה-session בכל מקרה נמצא רק בצד שרת, לצד לקוח אין גישה אליו והוא אינו יכול לקרוא נתונים ממנו ולכן ההצפנה מיותרת.

החולשה שמוסברת פה אינה קוראת את ה-captch מתוך ה-session אלא מנצלת חולשות אחרות של המערכת, גם אם הנתונים היו מוצפנים עדיין היה ניתן לפרוץ את המערכת בדיוק באותה הצורה.

הסבר מעולה.

לא רק שלהצפין את ה string טוחן משאבים (4 אחוז בשביל תמונת GD?) זה גם לא יעזור לך, המאמר שהבאת משתמש בשיטה לעריכת ה Header של הדפדפן ולשליחת session id קודם, שה String שלו ידוע מראש.

תעיף את ההצפנה המיותרת,ובמקום זאת, כשה string אומת, תעשה לו destroy.

מובן.

וההצפנה זה לא מה שטוחן את ה-CPU, אני משתמש בשרת ביתי שמותקן עליו XAMPP (שידוע כלא הכי יעיל), אלא היצירה של התמונה עצמה.

אתה מעלה דוגמא רצה, חיה ובועטת?