Кибермошенники придумали простой и эффективный способ взломать любую каптчу — для этого на компьютеры рядовых пользователей устанавливается троянская программа, выполненная в виде игры на стриптиз. Чтобы избавить девушку на фото от одной вещи гардероба, нужно правильно ввести текст и цифры, изображенные на картинке. Решенные каптчи потом используются для рассылки спама.
Автор: Александр Белый
|
|
 |
|
Не нужно использовать трояны для того, что мотивировать людей обходить капчи (для авторов троянской программы). Когда есть мой проект - Month of Bugs in Captchas:
http://websecurity.com.ua/1491/ |
|
|
|
|
|
Кстати замечу, что ваша капча уязвима. Вам нужно использовать более надёжную защиту.
Вполне возможно данная капча примет участие в моём Month of Bugs in Captchas. |
|
|
|
|
|
Евгений, какое решение, на ваш взгляд, будет более надежным? |
|
|
|
|
|
Александр.
Надёжным является решение отличное от текущего. И решение обязательно протестированное аудитором безопасности. Только полностью исследованную в контексте безопасности капчу можно использовать на сайте.
У себя в Month of Bugs in Captchas я буду рассказывать о многих ненадёжных капчах (которые или не стоит использовать вовсе, или только после исправления уязвимостей). В том числе планирую и о вашей капче упомянуть (которая имеет весьма хитрую уязвимость). Которая или входит в состав вашего движка, или разработана Studio7 - в любом случае она уязвима и её нужно заменить или исправить. На вашем сайте (и старом и новом) я находил множество уязвимостей, а также на сайтах разработанных Studio7 (в том числе на их собственном) - так что наличие у вас дырявой капчи вполне обыденно.
P.S.
Можете подумать на тем, чтобы в будущем сделать напоминание о новых комментариях. Очень редко люди будут возвращаться на какую-либо новость на сайте, чтобы посмотреть нет ли новых комментариев. В этом отношении функция напоминания весьма удобна. |
|
|
|
|
|
Описание уязвимости в данной капче.
MoBiC-27: internetua.com CAPTCHA bypass (http://websecurity.com.ua/1592/). |
|
|
|
|
|
Captcha bypass test. |
|
RSS ленты новостей и блогов
Подписка по email
02.11.2007
11:47
Комментарии: 
Метки:
