अपनी प्रतिक्रिया फ़ॉर्म को हमले से कैसे बचाएं?

इस स्थिति की कल्पना करें।



काम पर आओ, अपने मेल की जांच करने के लिए बैठो, अपने साथी से प्रतिक्रिया देखने की उम्मीद, थोड़ा स्पैम, लेकिन इसके बजाय आप इसे देखें: इनबॉक्स (164 532) ।









तस्वीर, निश्चित रूप से, नकली है।

इसके अलावा, सभी मेल आपकी साइट के फीडबैक फॉर्म से आए हैं। आपको हजारों अक्षरों को समझना होगा, और यहां तक ​​कि अगर वे आसानी से पहचाने और हटाए जाते हैं, तो आप समस्या को हल करने में बहुत अधिक समय खर्च करेंगे, खासकर जब से आपको वास्तव में आवश्यक पत्राचार को याद नहीं करने के लिए सावधान रहने की आवश्यकता है।



सप्ताहांत में हमलावर के सिर्फ एक कंप्यूटर से फीडबैक फॉर्म में कितने अक्षर आ सकते हैं, इसकी गणना करना आसान है।



शुक्रवार को, कार्य दिवस 18.00 बजे समाप्त होता है, मान लीजिए 18.30 कार्यालय बंद है। सोमवार को, काम करने का दिन 9.00 से शुरू होता है, लेकिन वे एक कार्यालय खोलते हैं, उदाहरण के लिए, 8.00 बजे। कुल मिलाकर हमारे पास यह सुनिश्चित करने के लिए 61.5 घंटे हैं कि हमलावर, एक त्वरित प्रकटीकरण के डर के बिना, व्यवसाय में उतर जाता है। मान लीजिए कि वह 10 थ्रेड्स में स्पैम (और आप ब्राउज़र का उपयोग करके भी ऐसा कर सकते हैं)। वह एक ही समय में 10 पत्र भेज सकता है। यदि वह हर तीन सेकंड में पत्र भेजता है, तो सोमवार सुबह 8:00 बजे हमें 738,000 पत्र मिलेंगे। स्वाभाविक रूप से, अधिक प्रवाह हो सकते हैं, पत्र भेजने के बीच का समय कम है, और इस प्रक्रिया में दर्जनों या सैकड़ों कंप्यूटर भी शामिल हो सकते हैं।



लेकिन समय की हानि सबसे बुरी चीज नहीं है जो हो सकती है, आप गलती से एक ग्राहक के पत्र को हटा सकते हैं, या एक निर्देशक से एक आदेश जो लंबी यात्रा पर है। और इस तरह के पत्रों के नुकसान से न केवल कर्मचारी को वसूली की धमकी दी जाती है, बल्कि कंपनी को गंभीर वित्तीय नुकसान भी होता है।



इसके अलावा, दुखद परिणामों के कारण, गंभीर समस्या होस्टिंग प्रदाता के साथ उत्पन्न हो सकती है जिसकी साइट पर आपकी साइट स्थित है। और यदि फीडबैक फॉर्म का संदेश मेलबॉक्स में जाता है, जो किसी अन्य होस्टिंग साइट पर स्थित है (विशेषकर यदि यह मुफ़्त है), तो आपका डोमेन ब्लैक लिस्ट में आ सकता है, जहाँ से इसे चुनना काफी परेशानी भरा है।



इसी तरह की प्रतिक्रिया रूपों ने सचमुच रनेट को भर दिया। उनमें से हजारों लोग हैं, जिसका अर्थ है कि आपकी कंपनी उनके बीच हो सकती है। और किसी भी समय, आपका वर्कफ़्लो हमलावर के पहले अनुरोध पर रोक सकता है। वास्तव में, ई-मेल ज्यादातर मामलों में कई कंपनियों के लिए संचार का सबसे महत्वपूर्ण साधन है।



दुर्भाग्य से, एक हमलावर को दंडित करने के लिए, भले ही आपको पता हो कि यह वास्तव में कौन है, लगभग असंभव है। यहाँ सेंट पीटर्सबर्ग शहर के कंप्यूटर अपराध विभाग के कर्मचारियों में से एक इस पर टिप्पणी करता है:

वास्तव में, आज कंप्यूटर अपराध का क्षेत्र रूसी संघ (और दुनिया में, बड़े और भी) के कानून में एक कमजोर स्थान है, और अब तक इस क्षेत्र में कोई उल्लेखनीय उल्लेखनीय परिवर्तन नहीं हुए हैं।

फिलहाल, हमारे पास इस क्षेत्र से सीधे संबंधित रूसी संघ के आपराधिक संहिता के तीन मौलिक लेख हैं।



आपराधिक संहिता का अध्याय 28 ।

कंप्यूटर अपराध

अनुच्छेद 272. कंप्यूटर की जानकारी तक अवैध पहुँच

अनुच्छेद 273. कंप्यूटर मैलवेयर का निर्माण, उपयोग और वितरण

धारा 274. कंप्यूटर, कंप्यूटर सिस्टम या नेटवर्क के संचालन के लिए नियमों का उल्लंघन



और संघीय कानून "विज्ञापन पर" दिनांक 13.03.2006 एन 38--में एक अतिरिक्त संशोधन, 1 जुलाई, 2007 को प्रस्तुत किया गया :

अनुच्छेद 18. दूरसंचार नेटवर्क पर वितरित विज्ञापन और डाक वस्तुओं पर रखा गया



इस प्रकार, एक अपराधी द्वारा की गई यह कार्रवाई अनुच्छेद 274 के दायरे में आती है। कंप्यूटर, कंप्यूटर सिस्टम या उनके नेटवर्क के संचालन के नियमों का उल्लंघन, जैसा कि पर्याप्त संख्या में अनुरोधों के साथ, तथाकथित DDoS का हमला

(भाव: कानून द्वारा संरक्षित कंप्यूटर की जानकारी को अवरुद्ध करना) और POSSIBLE सजा के रूप में

(उद्धरण: कुछ पदों पर कब्जा करने या पांच साल तक कुछ गतिविधियों में व्यस्त रहने या एक सौ अस्सी से दो सौ चालीस घंटे की अवधि के लिए अनिवार्य काम करने या दो साल तक के लिए स्वतंत्रता के प्रतिबंध से वंचित करने का अधिकार।)



लेकिन इस विशेष मामले में, कॉर्पस डेलिक्टी की आभासी अनुपस्थिति के कारण मामले को लगभग तुरंत खारिज कर दिया जाएगा, क्योंकि यहां तक ​​कि संदिग्ध के पीसी को हटाने के साथ, उन कार्यों की दुर्भावना का पता लगाना असंभव होगा जो इस पीसी पर स्थापित विशेष सॉफ़्टवेयर की अपूर्णता द्वारा वर्णित नहीं किए जा सकते।



यहां तक ​​कि अगर घायल पक्ष जांच जारी रखने पर जोर देता है, तो 100% सटीकता के साथ फिर से निर्माण करना आवश्यक होगा जिसमें एक समान स्थिति हो सकती है, साथ ही सॉफ्टवेयर डेवलपर को अनुरोध भेज सकते हैं, सबसे अधिक संभावना विफलता और सॉफ्टवेयर डेवलपर्स जो सीधे उसके साथ बातचीत करते हैं। क्योंकि स्थिति जरूरी नहीं थी या केवल कार्यक्रमों में से एक के कारण हो सकती है, और उनकी बातचीत की त्रुटि से नहीं। और यह, बदले में, एक से अधिक ले सकता है और दो साल नहीं। इसलिए, एक अपराधी को दंडित करना संभव नहीं है।

अब देखते हैं कि कमजोर फीडबैक फॉर्म कैसे काम करता है।



ज्यादातर मामलों में, प्रतिक्रिया फॉर्म POST विधि का उपयोग करके या तुरंत मेल () फ़ंक्शन के माध्यम से जानकारी भेजता है। हम जंगल में नहीं जाएंगे, लेकिन ये समाधान बॉक्स में बड़ी संख्या में अक्षरों को स्वचालित करने की संभावना से पाप करते हैं, जिसमें फीडबैक फॉर्म से संदेश जाते हैं। फ़ायरफ़ॉक्स 2 ब्राउज़र पर एक नज़र डालते हैं कि सर्वर को जानकारी का पुन: प्रसारण करें



मोज़िला फ़ायरफ़ॉक्स 2.0.0.12 ब्राउज़र

जैसा कि आप स्वयं समझते हैं, बस कीबोर्ड पर F5 बटन दबाने पर आपको फिर से एक ईमेल भेजा जाएगा। खैर, इस प्रक्रिया को स्वचालित करने के लिए, मैं दोहराता हूं, बिल्कुल मुश्किल नहीं है (कम से कम ओपेरा की मदद से)।



अब बात करते हैं कि फीडबैक फॉर्म को दिए बिना आप स्थिति को कैसे ठीक कर सकते हैं।



मैं पांच विकल्प प्रदान करता हूं, प्रत्येक विकल्प में सकारात्मक और नकारात्मक दोनों पक्ष होते हैं।



विकल्प संख्या 1:

अजाक्स।



यहाँ उनमें से कुछ हैं:

AJAX संपर्क फ़ॉर्म - [ विवरण ] [ डेमो ]

AJAX संपर्क फ़ॉर्म - [ विवरण ] [ डेमो ]

Ajax.Form.Mootools - [ विवरण + डेमो ]



अच्छा: बहुत सारे तैयार उदाहरण; पृष्ठ को पुनः लोड किए बिना संदेश भेजा जाता है;



खराब: यदि उपयोगकर्ता के पास जावास्क्रिप्ट अक्षम है, तो फॉर्म काम नहीं करेगा।

विकल्प संख्या 2:

पुनर्निर्देशन।



एक संदेश भेजने के बाद - किसी भी अन्य पेज पर एक त्वरित रीडायरेक्ट, उदाहरण के लिए, एक फॉर्म वाले पेज पर। प्रपत्र के ऊपर आप एक संदेश प्रदर्शित कर सकते हैं कि पत्र भेजा गया है।



आप इसे कई तरीकों से कर सकते हैं, सबसे भद्दा मेटा टैग के माध्यम से है:

  <मेटा http-equiv = "ताज़ा" सामग्री = "0; url = index.html"> 

अच्छा: यह काम करता है, और ज्यादातर मामलों में यह मदद करता है;



खराब: इस समाधान में प्रयोज्य की घृणा है।

विकल्प संख्या 3:

डेटाबेस के साथ काम करें।



प्रपत्र मेलबॉक्स को संदेश नहीं भेजता है, लेकिन इसे डेटाबेस में जोड़ता है। तदनुसार, आप स्पैम प्रयासों को सरल और स्पष्ट रूप से काट सकते हैं। उदाहरण के लिए, डेटाबेस में एक रिकॉर्ड दर्ज नहीं किया जाना चाहिए यदि सामग्री पूरी तरह से पिछले संदेश की सामग्री के साथ मेल खाती है, बशर्ते कि भेजने वाले आईपी एक ही या एक ही सबनेट से हों। यहां आप बहुत सारे विकल्प लेकर आ सकते हैं। प्रतिक्रिया प्रपत्र से संदेश एकीकृत किया जा सकता है, उदाहरण के लिए, CRM के साथ।



अच्छा: मेरी राय में एक बहुत अच्छा बचाव;



खराब: एक डेटाबेस की आवश्यकता होती है, स्क्रिप्ट का चलने का समय बढ़ता है, क्षमताओं की आवश्यकताएं बढ़ती हैं (यदि साइट लोकप्रिय है, विशेष रूप से), तो आप अभी भी मूर्ख हो सकते हैं।

विकल्प संख्या 4:

कुकी।



जब आप "भेजें" बटन पर क्लिक करते हैं, तो आप ब्राउज़र को एक कुकी रिकॉर्ड कर सकते हैं, जिसकी उपस्थिति में आप थोड़ी देर के बाद ही संदेश को फिर से भेज सकते हैं।



अच्छा: विधि काम करती है, स्पैम की संभावित मात्रा कम हो जाती है;



खराब: कुकीज़ को अक्षम किया जा सकता है (जानबूझकर या नहीं - लेकिन आप केवल इसलिए संदेश भेजने पर रोक नहीं लगाते हैं क्योंकि कुकीज़ अक्षम हैं), कुकीज़ स्वचालित रूप से मिटा दी जा सकती हैं।

विकल्प संख्या 5:

कैप्चा।



कैप्चा (यदि यह एक वक्र नहीं है) आपको फीडबैक फॉर्म के माध्यम से स्पैम से बचाएगा।



लिंक आपकी मदद करेंगे:

ReCAPTCHA के

CAPTCHA.ru

Cryptographp

w3captcha



अच्छा: विधि प्रभावी है;



ख़राब: व्यक्तिगत रूप से, कैप्चा मेरे लिए असुविधाजनक है, विशेष रूप से जटिल लोगों को, कैप्चा को पहचाना और बायपास किया जा सकता है।

यह विचार करने योग्य है कि वैसे भी पूर्ण रूप से रामबाण नहीं है, बस ये तरीके (जो संयोगवश, आसानी से आधुनिक, संयुक्त, आदि हो सकते हैं) युवा और अनुभवहीन नेटवर्क गुंडों को बंद करने में मदद करेंगे।

इसके अलावा के लिए metalalisa metalalisa का धन्यवाद। सच कहूं, तो मुझे कैप्चा के बारे में लिखना था, मैं भूल गया :)



मेरे ब्लॉग से क्रॉस-पोस्ट।