"सॉफ्टवेयर से परे नैतिकता।" अध्याय तीन "आधुनिक रक्षा की स्थिति"

मैं लंबे और विवादास्पद परिचय को छोड़ दूंगा, संक्षेप में आपको आज के अतिथि से परिचित कराऊंगा - एनकोडर अपरिभाषित है।

व्यापक रूप से संकीर्ण क्षेत्रों में जाना जाता है, अपरिभाषित ने बड़ी संख्या में भूमिगत सॉफ़्टवेयर लिखा - दोनों दुर्भावनापूर्ण, और काफी हानिरहित और सही, काले-सेशनिकों की कड़ी मेहनत को सुविधाजनक बनाने, विशेषज्ञों को आमंत्रित करने के साथ-साथ काफी मूर्तियों को बढ़ावा देने में शामिल लोग (हम बात कर रहे हैं) सामाजिक नेटवर्क पर उनके निजी पृष्ठों पर सामग्री की स्वचालित डिलीवरी)।



ठीक है, अपरिभाषित कुछ सवाल पूछें।



- स्वचालित प्रसंस्करण उपकरणों से साइटों पर सुरक्षा की वर्तमान स्थिति के बारे में बताएं, उनका व्यावहारिक लाभ क्या है?

- ठीक है, सबसे पहले, मैं प्रसिद्ध कैप्चा के बारे में कुछ शब्द कहना चाहता हूं।

कई समझ रखने वाले लोगों के लिए, यह अब एक रहस्य नहीं है कि कैप्चा लगभग किसी भी चीज़ की रक्षा करने में असमर्थ है।

यह केवल कार्यक्रम के काम में देरी कर सकता है, लेकिन 6 सेकंड से अधिक नहीं - यह विशेष श्रमिकों के लिए अधिकतम समय है। एक तस्वीर से पाठ दर्ज करने के लिए सेवाएं। सॉफ्टवेयर के साथ काम करने के उत्पादन पैमाने के साथ, जो आज असामान्य नहीं है, यह देरी लगभग अगोचर है।

अपनी साइट को तथाकथित बॉट से बचाने के लिए कैप्चा सबसे आसान और सबसे बेकार तरीका है।



अक्सर, कार्यक्रमों में कैप्चा को हल करने के निम्नलिखित साधन होते हैं - एक सेवा को भेजना, मैनुअल इनपुट, एक बाहरी कार्यक्रम के माध्यम से हल करना।



इसके अलावा, आपको इसकी किस्मों पर भरोसा नहीं करना चाहिए - गणितीय कैप्चा (जैसे 2 + 2 =?) - यह सिर्फ एक बालवाड़ी और ReCaptcha है - इसका एकमात्र लाभ यह है कि इसके लिए धन्यवाद, कुछ पुस्तकों के ग्रंथों को आंशिक रूप से मान्यता प्राप्त है। रिकैप्चा को एक नियमित कैप्चा की तरह पार्स और अनवैलिड किया जाता है और इसके साथ कुछ कठिनाइयाँ केवल शकोलोटा में उत्पन्न हो सकती हैं, या पहले सामना करने वाले एनकोडर में उत्पन्न हो सकती हैं। उसके बाद, इसके समाधान के लिए एक मानक एल्गोरिथ्म संकलित किया जाता है, जिसका उपयोग अन्य सभी परियोजनाओं में किया जाता है।



बेकार बचाव की बात करते हुए, एक ऐसी दुर्लभ विधि को याद करता है जैसे कि लोड करने योग्य हानिरहित छवि का उपयोग करके एक गुप्त कुकी स्थापित करना। यह ऐसे समय में पाया जाता है जब पहली फ़ाइल अनुरोध के साथ भेजी जाती है, क्योंकि पहली बात जो एनकोडर करता है वह स्क्रिप्ट द्वारा प्राप्त कुकीज़ की तुलना साइट पर भेजे गए कुकीज़ के साथ होती है। इसके लिए सबसे सरल ब्राउज़र स्निफ़र पर्याप्त है।



- अच्छा है। क्या आप अत्यधिक भ्रमित बचाव में आए हैं? शायद इतना पागल कि स्पैम से बचाने के अलावा, उन्होंने आगंतुकों से साइट की सुरक्षा भी मज़बूती से की?



- मुख्य सुरक्षा जो साइट की सुरक्षा करती है वह हर किसी से काफी विश्वसनीय है जो भी इसे देखता है - यह इसकी वक्रता और ब्रेक है।

अक्टूबर 2008 से मई 2009 तक, अगर मुझे गलत नहीं समझा जाता है, तो हमें ओडनोकलास्निक की उपस्थिति में गिरावट को याद करें। उसी समय, कोडर्स के लिए किसी दिए गए सामाजिक नेटवर्क के लिए सॉफ़्टवेयर लिखना डिबग और उनकी रचनाओं को ठीक करना आसान नहीं था।

Url में डायनामिक रूप से सबसर्वर्स को बदलते हुए, आइडियोटिक अजाक्स-इंटरफ़ेस, जिसमें इसके उपयोग के एक महीने बाद भी नेविगेट करना मुश्किल था - यह सब मज़बूती से साइट को इसके बड़े पैमाने पर प्रसंस्करण से बचाता है।



Privatok को 20 सेकंड में भेजने के बीच डेटिंग में देरी ने भी उसे स्पैम से सुरक्षित रखा।

लेकिन यह संदिग्ध है कि ज्यादातर साइटें सूट का पालन करेंगी, क्योंकि देरी में वृद्धि से आपस में उपयोगकर्ताओं के बीच बातचीत की गति कम हो जाती है, और यह किसी भी सामाजिक नेटवर्क के दिल में ऑक्सीजन को अवरुद्ध करता है।



ट्विटर विशेष ध्यान देने योग्य है।

पुराना इंटरफ़ेस कभी-कभी फ्रीज हो जाता है, लेकिन नया किसी भी तुलना में नहीं जाता है। शायद मैं एक विषम क्षेत्र में रहता हूं, जहां इंटरनेट 20 डिग्री से नीचे के तापमान पर गाढ़ा हो जाता है, लेकिन जब साइट पर नियमित रूप से हिस्सेदारी मिलती है, तो सॉफ्टवेयर को लिखने में क्या हर्ज है! एक अनुरोध में एक लॉगिन फ़ंक्शन विकसित करने में दस मिनट लगते हैं। यह भी एक "अच्छा" रक्षा है, इसे एक पेंसिल के साथ लें।



- ठीक है, वास्तव में किस तरह की सुरक्षा काम करती है?

- एक ही Odnoklassniki पर दो त्वरित लॉगिन के लिए 30 मिनट के लिए प्रतिबंध, साथ ही एक पंक्ति में कई प्रतिबंधित खातों की प्रति चेक के कुछ घंटों के लिए आईपी के लिए प्रतिबंध। जब तक आप अनुभव प्राप्त नहीं करते हैं, तब तक यह वास्तव में विकास में समस्याएं पैदा करता है। यह शायद मूर्ख शकोलोटा की एक परत को बाहर निकालने का एक अच्छा तरीका है, जो पीसीपी पर पाठ्यपुस्तक से दो अध्याय पढ़ते हैं और तुरंत कर्ल प्राप्त करते हैं।



- मुझे बताओ, अपरिभाषित, और क्या विकासशील बॉट में कठिनाइयों का अनुभव करना था?

- गैर-मानक समाधान के साथ।

उदाहरण के लिए, Drupal में प्रयुक्त सीएनसी, जब, उदाहरण के लिए, पृष्ठों के लिंक इस तरह दिखते हैं: /news-about-something.html। उदाहरण के नोड की तुलना में पार्स करना निश्चित रूप से अधिक कठिन है? आईडी = 28।

YouTube पर वीडियो का अपलोड फ्लैश-इंटरफ़ेस के माध्यम से ही संभव है। लेकिन स्निफर उसके अनुरोधों को नहीं देखता है, इसलिए आपको वायरशार्क में खोदना होगा। और वायरशर्क एथेरोस लैपटॉप कार्ड नहीं देखता है। इसलिए समय की हानि। हालांकि यह अपने तरीके से दिलचस्प है।



Odnoklassniki में गतिशील उपयोगकर्ता आईडी भी विशेष ध्यान देने योग्य है।

वे डेटाबेस को इकट्ठा करने की संभावना को बाहर करते हैं, एक विशिष्ट व्यक्ति को ढूंढना मुश्किल बनाते हैं - सब कुछ एक सत्र में एक खोज के माध्यम से करना पड़ता है, क्योंकि इसके पूरा होने के बाद सभी एकत्रित आईडी अमान्य हो जाती हैं। हालांकि, दूसरी ओर, चूंकि आपको इन सीमाओं को दरकिनार करने के लिए अधिक कोड लिखना होगा, इसलिए सॉफ़्टवेयर स्वयं अधिक महंगा है। और Odnoklassniki आम तौर पर एक tidbit है, अपने उपयोगकर्ताओं की पर्याप्तता के कारण, जो वीके के रूप में ऐसे स्पैम बसने वालों की पृष्ठभूमि के खिलाफ खड़े होते हैं।



Google के लिए, यदि आपका सॉफ़्टवेयर उचित स्तर पर स्वचालित रूप से संकेत दिए जाने पर पुनर्निर्देशित नहीं करता है - जब इसके और इसकी सेवाओं के साथ काम करते हैं, तो आप पहले से ही लॉगिन पर दुःख को पकड़ लेंगे। लॉगिन में छह रीडायरेक्ट होते हैं, जिसके दौरान js का उपयोग करके कुछ रीडायरेक्ट किए जाते हैं और उन्हें अलग से पार्स किया जाना चाहिए। अतिरिक्त कुकीज़ का एक जोड़ा गलती से किसी और के उपडोमेन से फट गया - और Google आपको आगे नहीं जाने देगा। इसलिए, आपको बहुत सावधान रहना होगा, मज़बूती से स्निफर लॉग का अध्ययन करना चाहिए।



- डेवलपर्स द्वारा उनकी साइटों पर किए गए ओवरसाइट्स के बारे में आप क्या कह सकते हैं? क्या ऐसी कोई चूक हैं जो साधारण क्रिमवेयर कोडर के लिए जीवन को आसान बनाती हैं?



- बेशक आप उनसे मिल सकते हैं, जहां उनके बिना।

मैं इन चूक का सार बताऊंगा। शायद किसी को बाद में अपनी परियोजना में यह पता चलेगा, उनके साथ जुड़े गतिविधि की तस्वीरें लें और छेद को कवर करें।

लेकिन मैं मौजूदा लोगों की ओर इशारा नहीं करूंगा।



सबसे पहले, यह सर्वर साइड पर एक कॉर्न कमजोर डेटा जांच है।

इंटरफ़ेस उपयोगकर्ता को एक बार में तीन फ़ोटो जोड़ने की अनुमति देता है। स्क्रिप्ट सैकड़ों फ़ोटो [] फ़ील्ड भेजता है और वे सभी सफलतापूर्वक लोड होते हैं। इंटरफ़ेस खाते की पुष्टि करने से पहले किसी भी डेटा को बदलने में उपयोगकर्ता को सीमित करता है, और स्क्रिप्ट सक्रियण के साथ इसका मुकाबला करता है।



दूसरे, कुछ साइटें तथाकथित "प्राधिकरण लिंक" का समर्थन करती हैं।

लिंक का अनुसरण करना - आपको लॉग इन उपयोगकर्ता के सभी कुकीज़ मिलते हैं और साइट के साथ काम करते हैं।

तदनुसार, लॉगिन फ़ंक्शन पर स्थापित सभी फ़िल्टर जंगल में जाते हैं।



तीसरा, कैप्चा के साथ भी कभी-कभी अनुचित जाम पाए जाते हैं।

के पृष्ठ, कहते हैं, प्रवेश द्वार में एक कैप्चा और एक हेडन फ़ील्ड की छवि होती है जिसमें एक निश्चित हैश होता है।

हम कैप्चा को अपने हाथों से हल करते हैं और स्क्रिप्ट में हम हर समय एक ही हैश भेजते हैं + कैप्चा के लिए एक ही प्रतिक्रिया। वोइला, रेगा बिना पाठ को छवि से हटाए - यह कैप्चा कसकर इस हैश के साथ जुड़ा हुआ है।



प्रत्येक मामला बेशक अनोखा होता है, लेकिन ऐसा कभी-कभार होता है।



- बढ़िया। क्या आप अपनी प्रैक्टिस में दिलचस्प सुरक्षा के साथ आए हैं? कुछ भी करने से पहले आपको लगता है कि आप ध्यान से सोचते हैं।

- निस्संदेह। कोई भी व्यक्तिगत और जटिल रक्षा जो दोपहर से कम नहीं होती है, मेरे लिए दिलचस्प है। इस तरह के बचाव को दरकिनार करना शायद मेरे काम का सबसे दिलचस्प पहलू है।



- उदाहरण दीजिए।

- पहला उदाहरण, ऑफहैंड - यह quip.ru है।

इसके रेग पर एक नज़र डालें और आप यादृच्छिक नामों के साथ 3 छिपे हुए फ़ील्ड देखेंगे।



खैर, जैसा कि डेवलपर्स ने मुझे भ्रमित करने की कोशिश नहीं की!

और बाईं स्क्रिप्ट को लोड किया गया था, जो इन फ़ील्ड्स को स्वैप करता है, और उस स्थान को ओवरराइट कर देता है जहां स्क्रिप्ट जुड़ा हुआ था, हालांकि, इस बात को ध्यान में नहीं रखते हुए कि यह स्थान अभी भी पृष्ठ के स्रोत कोड में रहेगा।



वास्तव में, टिंकर के लिए अच्छा था, अन्य सभी मामलों को एक तरफ रखकर। यह नशे की लत है ताकि आप भोजन और प्राकृतिक जरूरतों के बारे में भूल जाएं।



Mail.ru यादृच्छिक क्षेत्र भी सम्मान के पात्र हैं।

पहले से ही, कोडर्स ने संभवतः अपने सत्यापन और सत्यापन के साथ अपने जीवन को जटिल बना दिया है।

और मैंने बस उन सभी को मुखौटा द्वारा चुना और प्राथमिकता के क्रम में आवश्यक डेटा के साथ उन्हें भर दिया।



ट्रिपल कैप्चा मईला - इसे हल करने में तीन गुना अधिक समय नहीं लगता है।

कोड की 12 लाइनें तीन चित्रों को एक में गोंद करती हैं, जिसके बाद वे विपरीत को बढ़ाते हैं, आसान मान्यता के लिए, और इसे सेवा में भेजते हैं।

मुझे पहली बार गोंद करना था, इसलिए मैं प्रसन्न था कि मैंने इसे सरल और सुरुचिपूर्ण ढंग से किया।



छाया सॉफ्टवेयर का कोडिंग - मैं मुख्य रूप से कला के रूप में मानता हूं।

यह एक ढुलमुल ढाँचे पर व्यवसाय कार्डों की ग्रे साइटों को नहीं चुरा रहा है, एक बेवकूफ आगंतुक के नाम और उपनाम के साथ तीसरे क्षेत्र के दो हजार के तीन सत्यापन के लिए पैंट से बाहर नहीं बैठे हैं ...



- कृपया।

- हां। दिलचस्प बचाव के बारे में।

एक साइट पर, मैंने सर्वर से भेजने से पहले जावास्क्रिप्ट के साथ rsa पासवर्ड हैशिंग से मुलाकात की।

दुर्भाग्य से, यह मेरा आदेश नहीं था, उन्होंने बस मुझसे मदद मांगी, लेकिन मेरे पास तब इसे संसाधित करने का समय नहीं था, और साइट खुद ही कहीं खो गई थी, हालांकि, मुझे याद है कि छापे से इसे हल करना संभव नहीं था। यदि मेरी मेमोरी मुझे सेवा देती है, तो उन्होंने बिटकॉइन विस्थापन तक, ट्रिकी ऑपरेशंस का उपयोग किया, और ऐसे परिष्कृत एल्गोरिदम से परिचित न होने वाले व्यक्ति के लिए, दूसरी भाषा में ऐसा करना आसान नहीं है।



इसके अलावा, मैं yahu.com को पुनः प्राप्त करने के लिए नहीं झुका।

शायद मैं तब भी अनुभवहीन था, शायद सुरक्षा का स्तर वास्तव में बहुत अधिक है।

प्रपत्र के प्रत्येक क्षेत्र में फ़ोकस के साथ, जावास्क्रिप्ट एक निश्चित चेकसम की गणना करता है, जो तब पंजीकरण के दौरान डेटा के साथ भेजा जाता है। दुर्भाग्य से, मैं तब इसकी गणना के सिद्धांत को समझने में विफल रहा।



और क्या कहना है शायद किसी को यह जानने में रुचि होगी कि अपलोड किए गए फ़ोटो के लिए mamba में एक स्वचालित फ़िल्टर है, जिसे अद्वितीयता के लिए जांचा जाता है। इस खाते की अनुपस्थिति में तुरंत प्रतिबंध लगा दिया गया।

मेरे टूल के सेट में सार्वभौमिक फ़ंक्शन आसानी से फोटो के आयाम (+ - कई पिक्सेल), गुणवत्ता, कंट्रास्ट, फ़ाइल नाम और इसी तरह के trifles को बदलता है। तदनुसार, सुरक्षा शून्य हो जाती है।



- जानकारी के लिए धन्यवाद, अपरिभाषित।

और हमारे मामूली साक्षात्कार के अंत में, मैं आखिरी सवाल पूछूंगा - क्या आपको उस एडिंस और संसाधन कोडर्स से किसी भी प्रतिक्रिया का निरीक्षण करना होगा जिनके लिए सॉफ्टवेयर लिखा गया था। फिर भी, आप इसे कुछ समय के लिए काम करने की स्थिति में बनाए रखते हैं, साइटों के लिए बने रहें।



- कोडर्स विरोध करते हैं, बल्कि सुस्त तरीके से।

क्योंकि उन्हें इसके लिए भुगतान नहीं किया जाता है। मैंने खुद कार्यालय में काम किया है, उनके पास मौजूदा खर्चों में ऐसा चेक मार्क नहीं है। खैर, मैं किससे कह रहा हूं।



योग्य संसाधनों से, मैं promo-dj.ru नोट करना चाहता हूं। मुझे उनकी साइट, इंटरफ़ेस, कार्य के कार्यान्वयन के लिए दृष्टिकोण पसंद है।

इस साइट के लिए अपना पहला रजिस्टर लिखने के बाद, मैंने अपेक्षाकृत कम समय में लगभग 400 खाते पंजीकृत किए। अगले दिन, एक आईपी से पंजीकरण की संख्या पर प्रतिबंध लगाया गया था। सीमा अभी भी मौजूद है।



कई बार, साइटों ने बहुत हास्यास्पद तरीके से बचाव किया।

फॉर्म फ़ील्ड को संदेश कहा जाता था, अब इसे संदेश 12 कहा जाता है। उस सॉफ्टवेयर को तोड़ दिया, अच्छी तरह से किया।

लेकिन ऐसा बहुत कम ही होता है।



मूल रूप से, सॉफ्टवेयर के सभी ब्रेकडाउन साइट के आधुनिकीकरण के कारण हैं।

साइट में सुधार - सुधार और सॉफ्टवेयर। यह ऐसा है जैसे हम एक दूसरे को आगे बढ़ा रहे हैं।



प्रत्येक पक्ष की अपनी सीमाएं हैं, अपने फायदे हैं।

मुझे उनके कोड और सुरक्षा तक पहुंच नहीं है, मुझे केवल सिद्ध तरीकों से काम करना होगा।

वे अचानक आंदोलन नहीं कर सकते हैं, क्योंकि कोई भी प्रतिबंध मुख्य रूप से साइट के उपयोगकर्ताओं को ही प्रभावित करता है।



मांबा की वास्तविक स्थिति और लवप्लानेट की लाइव स्थिति।



एनकोडर पर, मुझ पर उनका प्रभाव लगभग महसूस नहीं किया गया है।

ग्राहकों ने अपुष्ट खरीदने से पहले आसानी से वास्तविक शुल्क के साथ स्टॉक किया।



लेकिन उपयोगकर्ता की ओर से - एक पूरी तरह से अलग तस्वीर।

मैंने एक गैर-वास्तविक उपयोगकर्ता बनने की कोशिश की। दस में से केवल एक प्रोफ़ाइल उपलब्ध है, लगभग कुछ भी प्रश्नावली में नहीं भरा जा सकता है। साइट वास्तव में पूरी तरह से अस्थिर हो गई है, अगर आपके पास मुफ्त मोबाइल फोन नहीं है जो पहले सक्रियण के लिए उपयोग नहीं किया गया था और एसएमएस में प्रतिष्ठित कोड प्राप्त नहीं कर सकता है।



और ठोस सुधारों के साथ, मैं अपने ओडनोक्लासनिक के लिए सबसे ज्यादा खुश हूं।

हाल के महीनों में, उन्होंने URL से उप-सर्वरों को हटा दिया, इंटरफ़ेस को सरल बनाया, खोज करते समय उपनाम के पहले दो अक्षरों की आवश्यकता को हटा दिया, जिससे साइट से उपयोगकर्ताओं के संग्रह की सुविधा बहुत आसान हो गई।



उनके सभी सुधारों ने सॉफ्टवेयर के विकास को भी प्रभावित किया - लेखन बहुत अधिक सुखद और आसान हो गया।

इसे बनाए रखो दोस्तों!



- डिक्स और अपरिभाषित / 12.2010