2

Привет хакер!
У меня есть к тебе вопросик..

Смотри, у меня есть страничка с 2мя СЛУЧАЙНЫМИ картинками, по нажатию на одну из картинок - эта картинка считается "выбранной" и ajax'ом в базу летит 2 айдишника, 1 - айдишник выбранной картинки, 2 - айдишник оставшейся картинки. Посылается post'ом. После чего из базы вытягиваются еще 2 СЛУЧАЙНЫЕ картинки, уже другие и ставятся на место тех первых двух, давая юзеру опять выбор из двух картинок. И так по кругу.

Уже вижу ухмылку на твоём лице, ты ведь знаешь как post'ом запросы слать,даже на другие домены.. всего-то нужно слать данные в виде: chosen = id1 & second = id2 , и вот - ты уже накручиваешь выбор той картинки что тебе нужно.

Но что если я сделаю так: Перед отправкой 2х изображений юзеру, я создаю в базе строку куда вписываю айдишники 2х изображений какие именно ушли пользователю, а также 4х значную рендомную 'соль', и посылаю это клинту (два айдишника изображений, 4х значную соль и номер строки в базе где хранятся эти данные). Соль каждый раз придумывается новая. Юзеру снова на выбор показывается 2 изображения, одно из них он выбирает, после чего на сервер уходит айдишник выбранного изображения, айдишник оставшегося изображения, та соль и номер строки в базе.

На сервере проверяем: вытаскиваем из базы то что хранится в СТРОКЕ НОМЕР которой нам пришел, и смотрим, если совпали оба айдишника изображений, а также соль - выбор засчитываем, если не совпал - игнорируем. Так же игнорируем если не пришел хотябы один из этих 4х 'аргументов'. Ясное дело все поля фильтруются.

Как тебе такая ситуация, уважаемый хакер? Сможешь ли ты как-то обойти это? Любые догадки приветствуются :)

p.s. если вам тоже кажется этот вариант надежным - напишите в комментариях, пожалуйста. Чтобы я знал, делать такую схему.. или думать дальше.

14
  • 1
    Думать дальше, что мешает получать эти данные "накручивателю" и отправлять их вместе? И при чем здесь хакерство, просто логика?
    – Dex
    Commented 30 мар. 2012 в 15:41
  • хм, "накручивать" по любому получает эти данные, после чего они обратно на сервер идут единственное что он еще может сделать - накручивать одну из тех картинок что сейчас перед ним, т.к. остальные айдишники скрипт откинет мы же со свой стороны добавим еще одно поле (флаг), и после первого выбора по НОМЕРУ нашего ПОЛЯ ставим флаг о том что тут уже выбирали, все последующие запросы на номер этого поля - игнорируем Commented 30 мар. 2012 в 15:51
  • какой-то "неперевариваемый" велосипед... сложно уловить поток мыслей. Не думали что-то покрутить с IP, сессиями и прочими сладостями, которыми можно идентифицировать клиента? Что бы вы не делали на стороне сервера, без уникальной идентификации клиента вам не обойтись
    – Dex
    Commented 30 мар. 2012 в 15:58
  • 2
    @Denis Masster, знакомьтесь, эта штука обойдет какую угодно mouse-based защиту)
    – Sh4dow
    Commented 30 мар. 2012 в 17:01
  • 2
    Где-то я уже историю про 2 картинки видел... Commented 30 мар. 2012 в 17:54

2 ответа 2

2

Если вы отправили вашу так называемую "соль" на клиентскую часть, то смысла в этом немного. С таким же успехом можно отослать клиенту 20 разных salt'ов и еще парочку хешей (ну, для разнообразия).

Вы же все равно отсылаете весь этот набор обратно, а отследить набор данных, который прокидывается через браузер - элементарно.

  • Хотите полноценную защиту от накрутки - привязывайтесь к мобильнику.

  • Хотите иллюзию защиты от накрутки - добавьте капчу раз в X запросов, или, например, отсекайте автокликеры на сервере (то есть тех юзеров, которые кликают слишком быстро). Опять же, можно заставлять таких "быстрых" пользователей вводить капчу.

  • Ваш фамильярный стиль постановки вопроса достаточно забавен :)

1
  • Ладно, всем спасибо. Я сделал то что хотел ) Идея была взята оттуда, но у меня сравнение товаров, я уже писал это здесь когдато. Commented 30 мар. 2012 в 21:51
0

Мнимую Вы себе какую-то защиту придумали. Хоть 50 полей вы там напридумывайте, Вы их всё равно отсылаете пользователю. И накрутить тут можно через JS, триггерами, что не нарадуетесь).

6
  • Видимо никто не понял. Клиент: эй сервер, дай 2 любые картинки. Сервер: ок секунду, вытащил из таблицы 'images' 2 картинки. Создал в другой таблице 'log' строку, в неё вписал номера тех картинок что вытащил из таблицы 'images', придумал 4 рендомных символа и тоже вписал туда же. //также в таблице "log" у нас есть поле для проверки приходил сюда уже ответ или нет, по дефолту стоит 0. Все еще сервер: эй клинт, лови: 2 картинки,придуманные 4 символа (актуальные только для этого раза), и номер строки в таблице "log" (с которыми потом будем сверять) Commented 30 мар. 2012 в 18:47
  • Чуть позже клиент: эй сервер, у меня тут юзер выбрал ту картинку что слева, она ему больше понравилась. Так что лови: айди картинки, которую выбрал юзер, айди второй картинки, те рендомные 4 символа которые ты мне присылал и и номер строки в таблице. Да-да я подсмотрел эти данные. Сервер: ок, ща проверим. Вытаскиваем из таблицы "log" под номером строки которую вернул клиент, поля с данными о том какие именно 2 изображения были отосланы клиенту, 4-х символную фразу, а так же поле в котором стоит флаг (мол приходил ответ уже или нет). Commented 30 мар. 2012 в 18:48
  • Вытащили, отлично, проверяем. 4х символая фраза из таблицы совпадает с тем что вернул клиент? совпадает, окей. айдишники двух изображений что были в таблице совпадают с тем что вернул клиент?, клиент точно не подменил эти картинки на другие? окей. а что с флагом? 0? окей! отлично! добавляем в базу результат что все прошло хорошо! При успешном результате флаг меняем на 1. Зачем? Если юзер сэмулирует все остальные проверки (он будет знать номера двух изображений,4х симв. Commented 30 мар. 2012 в 18:48
  • 1
    А пользователь у вас один? Т.е. отношение [пара картинок]:[один пользователь]?
    – Dex
    Commented 30 мар. 2012 в 20:30
  • 1
    хорошо, а если делаем запрос к серверу, эй дай мне 2 картинки, сервер отдает все параметры, потом мы проверяем если ли у нас ид нужной картинки, если нет, делаем опять запрос на новые картнки, когда совпадет ид картинки для накрутки мы посылаем серверу назад ид выбраной картинки, ид второй картини, и все другие скрытые параметры. согласен от тупых пост запросов сработает..но все равно пробивается, на один запрос больше просто.
    – coderxlsn
    Commented 31 мар. 2012 в 0:19

Ваш ответ

Нажимая «Отправить ответ», вы соглашаетесь с условиями пользования и подтверждаете, что прочитали политику конфиденциальности.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.