[問題]變更識別確認代碼的字元長度

文章由 **chiouss** » 2006-06-18 11:19

ckmarkhsu 寫:記得之前 chiouss 前輩有提到
可以在表單加上一個 input 然後在註冊的 code 中檢查值是否存在
如此便可以以簡單的方式擋掉廣告 BOT 的攻擊
小弟目前的 blog 就是用此方式
或許您可以參考一下 chiouss 前輩的巧思

哇咧...那不是我 o_O
那個是 twu2 (Tommy) 長輩的建議，文章還在...
http://phpbb-tw.net/phpbb/viewtopic.php?p=236225#236225

文章由 **brentsu** » 2006-06-18 18:43

jwxinst 寫:其實也不一定啦
因為之前爬文的時候
原來BOT會有方法去偷取URL
這樣子就可以馬上解決....了...

啊？偷哪裡的 URL 啊？？可否暗示一下？

我也有想過變更註冊內容，雖然加個勾選是滿簡單的... 不過駭客發現這個 phpBB 沒註冊過，搞不好就手動註冊一下，照過不誤...

用【中文字】倒是好主意，不過以現在 .png 代碼圖檔的產生方式來看，光是搞 100 個中文字可能就會 Orz 了...

不過我看 off--shore (故意加上 -- ) 這傢伙能大量註冊，應該這些 BOT 都是老外，搞個 26 個中文字 + 數字的代碼圖，大概就能把這些 BOT 通通擋在門外，即便是他有 decoder 也沒啥用吧？

另外有一個簡便的辦法，不知道行不行得通？那就是只准輸入【全形】！例如這樣的代碼：【Ａ５ＧＰＯＫ】...

那些 BOT 總沒辦法產生全形字來註冊吧？嘿嘿嘿.... 這樣就不用改 phpBB 的代碼程式，只是要怎樣改註冊程式？哇咧～～我是 php 白癡，不會改... Orz

文章由 **Kill** » 2006-06-18 21:46

之前有問過ethan學長把圖改小的問題
好像還要再重新編過圖才行
不過
要加長應該可以吧
等期末考考完再來研究看看

文章由 **brentsu** » 2006-06-20 13:26

Kill 寫:要加長應該可以吧
等期末考考完再來研究看看

太感謝了～至少在等 phpBB 3 正式版的期間內可以先暫時擋一下 BOT...
只是我畢業 N 年了，沒有期末考可考... Orz

文章由 **進藤光** » 2006-09-13 01:08

這篇討論已經沈睡好幾個月了... 稍微喚醒一下～

我下載安裝了這個外掛：

[BETA] FreeCap Visual Confirmation 0.0.3
http://www.phpbb.com/phpBB/viewtopic.php?t=344831

很不幸的完全不能用，因為程式會判別有加掛 GD 或 GD2 模組才能使用，不幸的是，我沒有 GD Library 可用！雖然還滿簡單安裝的，但是也只能放棄。

我終於知道，我為什麼找不到變更識別代碼長度的地方！！
因為最長的識別代碼長度只能是 6，可以改成 5 或是更小的數字，但是不可以超過 6，因為我一直改成 7、8、10，難怪都沒用！ Orz

文章由 **~倉木麻衣~** » 2006-09-13 02:53

進藤光寫:我終於知道，我為什麼找不到變更識別代碼長度的地方！！
因為最長的識別代碼長度只能是 6，可以改成 5 或是更小的數字，但是不可以超過 6，因為我一直改成 7、8、10，難怪都沒用！ Orz

其實主要的原因在於comfirm資料表的code欄位長度限制在6

CREATE TABLE phpbb_confirm (
confirm_id char(32) DEFAULT '' NOT NULL,
session_id char(32) DEFAULT '' NOT NULL,
code char(6) DEFAULT '' NOT NULL,
PRIMARY KEY (session_id,confirm_id)
);

真要改成長度10的話, 要先執行SQL去改變它的欄位長度

代碼: 選擇全部

ALTER TABLE `phpbb_confirm` CHANGE `code` `code` CHAR( 10 ) DEFAULT '' NOT NULL

然後再修改includes/usercp_comfirm.php
#
#--------[ FIND ]----------------
#

代碼: 選擇全部

$total_width = 320;

#
#--------[ REPLACE WITH ]----------------
#

代碼: 選擇全部

$total_width = 410;

#
#--------[ SAVE/CLOSE FILE ]----------------
#
# EoM
$total_width = 410差不多可以顯示完10個字, 可以視需要自己修改
如果這裡的width值太小的話, Virsual Comfirm的圖就顯示不出來

你一定會覺得奇怪, 為什麼不用改usercp_register.php裡的這一段

代碼: 選擇全部

// phpBB 2.0.20以前(含)的版本
$code = strtoupper(str_replace('0', 'o', substr($code, 6)));

主要是因為它上一行的關係

代碼: 選擇全部

$code = dss_rand();

dss_rand()會產生一個長度為16的字串出來
當執行substr($code, 6)時, 會從索引位置6的地方開始取字串直到結尾
因此'1234567890abcdef' 的字串最後會得到 '7890abcdef', 長度剛好是10, 所以不用改

但如果是phpBB 2.0.21版的話就要修改了, 將這一行

$code = substr(str_replace('0', 'Z', strtoupper(base_convert($code, 16, 35))), 2, 6);

改成

$code = substr(str_replace('0', 'Z', strtoupper(base_convert($code, 16, 35))), 2, 10);

以上是針對原始的Virual Comfirm做的測試, 同時也適用於better captcha
至於主題所提的FreeCap就沒有測試過了

文章由 **進藤光** » 2006-09-14 00:36

感謝倉木樣的指導！

搞半天原來是受到資料表欄位寬度的限制... 我一直沒有往這方面思考，想說只是註冊用的資料，應該是臨時產生出來的圖片，沒想對竟然會儲存在 SQL 裡面...

我下載了好幾個強化的識別代碼程式，這些 MOD 發表者最大的問題就是沒有貼圖！很奇怪，幾乎沒人貼圖！沒有安裝前，根本就不知道這些 MOD 裝好之後市長成怎樣？到底適不適合自己使用？

如果每個都裝一次發現不能用、不好用... 又要花時間還原，甚至還有修改 SQL 資料表的識別代碼程式，這類不知道裝了會有啥結果的 MOD 我根本連裝都不裝！

就像倉木提到的這個【[BETA]Better Captcha】糟糕的是也有 GD Library 的辨識程式，就像這樣：

代碼: 選擇全部

/**
  * Check if GD exisits, otherwise we will use the default phpbb confirm page ;)
  **/
$gd = true;
if(!extension_loaded("gd")){
	//Gd isn't loaded
	//Display error messages always, or not?
	$gd = false;
}
if(!function_exists("gd_info") || !function_exists('imagettftext')){
	//GD function, gd_info don't exists. GD isn't loaded correctly.
	//Freetype function imagettftext doesn't exists. This is required by this mod.
	$gd = false;
}

我提到的還會看看有沒有 if(!extension_loaded("gd2")){ 真是昏倒～～我連 GD1 都沒有了，去哪裡生 GD2？？

程式雖然看起來簡單，我寧可不裝囉～～～

我一直找不到 phpBB 專用的【註冊 BOT 機器人】，用來攻擊別人？絕對不是！想要測試看看，那如果不能加長，縮短改成 3 或 4 位數，不知道能不能騙過這些 BOT？

要是這些 BOT 一開始就能判別圖案，無論你改成幾位數都可以辨識，那改成 3 或改成 10，不就通通無效，白改了？？
就是因為手上沒有【註冊 BOT 機器人】可以測試，只能傻傻的改，然後觀察效果，不行再說？？

文章由 **chiouss** » 2006-09-14 00:52

進藤光寫:我提到的還會看看有沒有 if(!extension_loaded("gd2")){ 真是昏倒～～我連 GD1 都沒有了，去哪裡生 GD2？？

代碼: 選擇全部

cd /usr/ports/lang/php4-extensions/
make config
make install clean

Mac OSX 有 ports，很好用的

文章由 **~倉木麻衣~** » 2006-09-14 00:59

其實Better Captcha的修改很簡單, 只有改profile.php裡的一行
它程式裡其實還有判斷是否有GD模組, 就是你貼的那一段程式
如果沒有GD的話, 就使用原始的usercp_confirm.php來處理
預覽圖嘛, 作者有貼幾張出來給大家參考
http://www.phpbb.com/phpBB/viewtopic.ph ... 03#2150803

其實除了Visual Confirm外, phpBB官方站還有一些干擾BOT註冊的外掛
但是要花些時間找一下倒是真的

文章由 **進藤光** » 2006-09-14 13:03

chiouss 寫:
進藤光寫:我提到的還會看看有沒有 if(!extension_loaded("gd2")){ 真是昏倒～～我連 GD1 都沒有了，去哪裡生 GD2？？
代碼: 選擇全部
cd /usr/ports/lang/php4-extensions/
make config
make install clean
Mac OSX 有 ports，很好用的

嗯～～雖然我知道答案，不過還是求證一下，避免誤解...
請問上面這幾段指令是參考你自己的電腦或是哪裡的網頁？有沒有前後說明文章？

文章由 **chiouss** » 2006-09-14 15:06

進藤光寫:
chiouss 寫:
代碼: 選擇全部
cd /usr/ports/lang/php4-extensions/
make config
make install clean
Mac OSX 有 ports，很好用的
嗯～～雖然我知道答案，不過還是求證一下，避免誤解...
請問上面這幾段指令是參考你自己的電腦或是哪裡的網頁？有沒有前後說明文章？

呃...我用 FreeBSD，但是我看過有雜誌還有網路上的教學說 Mac OS X 也有 ports 可以用

Max OS X 說是用 FreeBSD 的核心...

文章由 **進藤光** » 2006-09-14 21:42

我果然沒猜錯～～

請看這就是 Mac OS X 上面的 /usr/ 內容！

Mac OS X 系統核心已經被 Apple 給 Customize 過，所以長得不完全一樣！連 UNIX 指令也不是完全通用。所以網路上那些根本沒用過 Mac 的文章 (10.4 與 10.2 有很大不同) 看看就算了～反正錯誤的東西太多，不必當真。

沒有 GD 就會自動改用 phpBB 內建識別代碼程式，那不就等於白裝了？上次裝的外掛就是如此... 害我辛苦半天還要復原... Orz

文章由 **chiouss** » 2006-09-14 23:31

那...gcc 總有吧？ Orz
有的話自己抓 source 回來編？ XD

--
我相信網路上應該有編好的 package 才對...

文章由 **進藤光** » 2006-09-15 02:55

gcc？那是啥？能吃嗎？XD

嗯～看到這裡大概會以為... 哪泥？這也沒有，那也沒有，Mac 還真爛... 嘿嘿～～
Mac 思考不能用 Windows 與 Linux 那些複雜的方式。

chiouss 兄說的【網路上應該有編好的 package 才對】是指 gcc？GD Library？還是？？

文章由 **進藤光** » 2006-09-16 00:08

竹貓總算可以進來了，今天掛站了一整天，以前問竹大到底發生什麼事？結果沒人回答，不知道別人發生什麼事，只好哪天自己發生什麼同樣的是再來想辦法囉～