Конечно. Еще Виталю жду и надеюсь))

Фик. Ато найдутся деятели махом))) Спам - зло.

Определяйся)))

Как знаешь. Но потом не обижайся, если балл за неоригинальность снимут.

что за механизм или это секрет?

Ага.. inpost

На 100% никто не просит.

Можно меня как Семёна? Ну чтоб в жюри, и внеконкурсную работу?
Кстати оценивать будет реально не просто, ибо нет "идеала".

Это антифлуд. А вот то, что гости могут писать сообщения и нет ни капчи ни спама - другое дело))

Если атака целенаправленная, без просьбы пользователя сделать какое-нибудь дополнительное действие не обойтись. Продвинутые боты написаны на основе технологий браузеров и умеют выполнять js, работать с куками и т.д. Но дело не в этом. Против вычислительных js функций, я могу построить аналогичные алгоритмы в коде бота, исходные данные при этом могут парсится из исходного js кода или из других мест на странице. Если исходные данные берутся средствами AJAX, никто мне не мешает выполнить аналогичный запрос вручную. Прочие JS изыски обходятся просмотром "правильного" HTTP-запроса. На стороне сервера никакой защиты, кроме примитивного антифлуда и провекри user_agent ничего в голову не приходит, всё равно от целенаправленной атаки это не спасёт, всякие ключи-хэши в куках тоже отлавливаются и подставляются в запросы =)
Так что задача участникам предстоит не простая, что-то оригинальное будет придумать не просто, особенно против целенаправленной атаки на ресурс. Против пауков полегче, но тут тоже, в основном, всё уже придумано.

Но интересно будет посмотреть на работы, вдруг да придумают чего-то нового.

очень сильно сомневаюсь, хотя и надеюсь

С тёлочками в бане? )

---

Спустя 3 часа, 7 минут, 57 секунд Guest написал(а):

---

Ну на что фантазии хватило

вот это желательно в шапку вынести (;

господа судьи! Когда будете писать ботов, не забудьте учесть тот момент, что антиспам не только должен быть "непробиваем", но и соответствовать правилам статистики. Что имеется ввиду?

Ну вот к примеру twin как-то предлагал способ с выбором цвета. Хороший метод. Только одно "но". Сколько цветов максимум можно предложить пользователю?
Красный, оранжевый, желтый, зеленый, голубой, синий, розовый, коричневый, серый, черный. Фиолетовый не берем, ибо синий есть. Итого 10.

А теперь вопрос: зачем писать бота под это, если я могу натравить простейший скрипт, который будет каждую секунду отправлять спам, отмечая все время один и тот же цвет: зеленый. Вероятность "попадания" - порядка 10%. Скажете, мало? Ну, давайте сравним.

Простейшая цифровая капча имеет 4 цифры (1000 до 9999). Это 9000 вариантов. Вероятность статистического пробива такой защиты 1/9000 или 0,011%. Т.е. за сутки спамер сможет успешно отослать максимум 9-10 сообщений при постоянной нагрузке своей машинки и сервера.

А вот цветовой метод защиты даст возможность спамеру успешно отправить за сутки все 8-9 тысяч сообщений. Вот и получается: бота на цветовую защиту писать сложно, но и необходимости такой нет.

P.S. А между прочим, метод твина можно без особого труда проапгрейдить до вероятности 0.001% - это 1 сообщение в день! Ну это уже на подумать (;

Вот именно. Для того и конкурс.

Можно я тоже попробую ответить? Ну например я видел варианты капчи например - определение фигур, или какая фигура лишняя, или например указать какое-то определенное животное, варинатов капчи не просто много а ооочень много, даже есть специализированные капчи, например математические, или для сервисов связанных с радиоэлектроникой, или например медецина, можно что угодно придумать, главное была бы фантазия)

---

Спустя 1 минута, 5 секунд bulgakov написал(а):

---

А там уже может можно будет придумать какое-нибудь noCAPTCHA решение

да, но вот под свое решение интересно будет посмотреть. я же не прошу все, а только свою) правда еще прога, то не написана

И я так тоже хочу, только для своей работы. И еще кто узнает тоже захочет.
Правила всем одинаковые
Потому или всем или никому

Именно. Иначе получится просто участие в конкурсе, без шансов на победу. Потому что, как я писал вначале, конкурс не столько на коды, сколько на идеи. А цифро-буквенные капчи - банально.

А слепые её вовсе не увидят)))

о neadekvat-е речь и шла. он на прошлом конкурсе очень любил педалить за всякую туфту, не относящуюся к делу.

но ты же будешь знать, что в ней.
может там защита простецкая...как два пальца. но если не знать кода, то, скажем, нереально догадаться, в чем защита состоит.

а динамический будет открыть сложнее.
подсказка...

дтп-сломано плечо и кирдец ноуту.

АГА. Взять первые 3 места и кто лучше создаст робота - взломщика, тот и победил во втором конкурсе.
Вау.. какие мы умные....

Я уверена, что после этого конкурса будут умники, которые все равно полезут ломать наши капчи, так почему же не обсудить безопасность/уязвимость на примерах, до того как наши варианты взломают?

Лично мне интересно как пишут ботов. Почитала статью, что текст распознают, и классическая капча легко вламывается. Но в той статье использовались нейро сети в которых я ни бум-бум.

Лично мне хочется другой раз взять и попытаться поломать собственный сайт, но как то нет времени что ли. А читая статьи становится грусно, там всегда в итоге "если нужно. взломают".

Уверен, что Вы не тупая, мы и так об этом знаем.

Ага... Видел я одну такую страницу, все не мог понять, чуго меня за бота считают. Пришел к выводу, что им Roboform не понравился.

А что мешает через хедер редирект с задержкой сделать?

Никто ваши работы специально ломать не будет (всмысле написания под них ботов). Есть теория, которую можно перенести на практику. Напримере капчи - если:
- картинка статична
- нет шума
- обычный текст
, парсер такой капчи пишется на "раз-два". Я не хочу сказать что нужно теперь делать капчи без этих недостатков.. врубайте фантазию и фигарьте! Капчи даже проверять будет не интересно..

да, но тогда любой человек может просмотреть исходник страницы и понять в чем суть)

Вот именно, а то уже просто тошнит от одного слова - капча, надо придумать Некапчу.

а почему тогда не увеличить до 6-8? - не удобно?

А почему не с 0000 до 9999?

Тервер - это не мелочи. Но простите, что цепляюсь.

Согласен, не относится. Просто меня смутил тот факт, что комбинация с повторениями из 4 цифр - всего 9000 вариантов.

пора уже, пол срока прошло.

Ничего не изменилось.

Скрипт мне ответил Hello bot!
Я так понимаю что то не то...)

Я не столько проверяю, сколько выполняю действия при движении

p.s. извиняюсь, не в курсе был про отдельное обсуждение

.NET может использовать браузер в качестве платформы для бота, linksrunner.ru тому подтверждение, потому одной проверки мышью мало. НУжно использовать комплексную проверку, однако это не остановит ботов, а лишь затруднит их создание.

А если формуляр заполняется всякими программами? Тогда уж и нажатия клавиш отслеживать.

Да, теперь и пользователи, не трогающие мышь или сидящие с мобильника смогут пройти проверку. Проверено со стандартного браузера андроида и опера мини, правда данная проверка - формальность, но от большинства ботов, думаю, защитит. Тут придется писать нового бота =) Для новых нужно еще кое что придумать...

Не логировал, т.к. нет времени, написано за 10 минут . Может на словах объяснишь?
Хотя и так понятно =) Защита то от типичных ботов, а тут особенный =) Специально для меня написанный =)
Меня больше интересует как послать ботом ajax запрос

А кому приз за первое место давать?

А где ключ?
Как ты это послал

X-Requested-With: XMLHttpRequest

?

Я имею в виду, что я не вижу в ответе параметра key.

Мне ,если можно,с меня плюсик за персонального бота

здеся

HTTP/1.1 200 OK
Date: Sun, 17 Jul 2011 13:38:49 GMT
Server: Apache/2.2.17 (Ubuntu) DAV/2 SVN/1.6.12 mod_fastcgi/mod_fastcgi-SNAP-0910052141 PHP/5.3.5-1ubuntu7.2 with Suhosin-Patch mod_perl/2.0.4 Perl/v5.10.1
X-Powered-By: PHP/5.3.5-1ubuntu7.2
Expires: Thu, 19 Nov 1981 08:52:00 GMT
Cache-Control: no-store, no-cache, must-revalidate, post-check=0, pre-check=0
Pragma: no-cache
Vary: Accept-Encoding
Content-Length: 55
Connection: close
Content-Type: text/html
-----------------------
 {"status":1,"value":"2ca4ecb00d99724ecfc19b9287c6d6e0"}

Сработало! Повелся =) А ты уверен, что этот хеш - правильный ключ?

Connection: close

Я понял ошибку ,уже исправил.

можно

Знали бы Вы сколько мне пришлось уже там нарезать и нарубать...
Короче позже ,еще будет возможность оторваться по этому вопросу
Щасс другая жара.

Ее не будет,
если про шаблон ,деру то что есть и с тем что есть,
если мой код,мне и десяток команд в одну сроку не влом склеить.

Ню... откройте два браузера и увидите туже ошибку.
Там будет типа такого как на этом форуме,тоесть с сообщением "какой то чел написал раньше вас пока вы чухались с ответом" и обновлятся ключи,
я думаю вы поняли ,что на двух компах грузятся одни и теже ключи.
Я пока этот функционал не доделал,поэтому и матюкается при таком раскладе, что ключи не подходят.
Сессий и куков не будет ,хотельсь бы обойтись по миниуму.

Глюк в мозгах уже исправил.
var str=arr[0]+arr[2]+arr[1];

В принципе неважно,думаю впереди не только рандомный вывод но и рандомная сборка скрипта ,там и оторветесь

Зачем так сразу, увеличивай призовой фонд, и хорошо будет всем

Настойчивее нужно. За всем сложно уследить, особо когда так жарко. Естественно вношу.

на мой взгляд не плохой вопрос... но так никто и не ответил, самому интересно услышать ответ...

Написано в задании. Даже если предположить, что индуса, рассылающего спам руками, зовут Бот, то с большой буквы)))

Я тоже
Так, что и мне тогда просить, чтобы вычеркнули? Ты программист или кто?

Тут пока неясно,дней назад вообще не мог на россию выйти или хостеру не понравился ваш бот,раньше работало все шустро.

С выполнением понял,а вот как парсите так и не вкурил
или Вы по природе хорошо умеете анализировать алгоритм или я что то пропустил опять.
Короче пока сделал следующие выводы.
1 Заставил ,все таки парсить а не просто обходить запросами.
2 Заставил выполнять ,а не просто парсить и гнать что есть.
3 Нужно запутать парсер,как - незнаю,а уменя знаний методик как разруливает парсер код, нет.

Насчет аякс тоже думал,но передумал,почти тоже самое ,что заглянуть в JS во внешнем файле,ну чуть сложнее,а гемора много.Снифферов щас везде навалом.

Теперь немного демотивации
Год назад изучал возможность передачи звука по инету и передачу в GSM сеть через USB модем,типа ИП-телефонии только с персональным шлюзом без привязки к оператору ИП-телефонии.Хотелось ,чтобы программа запускалась по нажатию кнопки на браузере.Тоесть вышел на сайт,нажал кнопку и звониш...Ну так вот,(а то меня занесло),когда я искал возможность запуска клиента с передачей ему части параметров по нажатию кнопки на браузере ,при долгих поисках столкнулся с некоторыми интересными решениями.
С помощью которых можно управлять браузером,ну вы поняли
Так что моделировать человека в наше время несложно.

Поэтому ,на мой взгляд,защиту от спама нужно строить,на целом комплексе решений,и с пониманием того ,что 100% защиты нет.
например то что я уже сделал,для меня вполне достаточно,по той причине,что невалидное значение в поле hidden как правило приводит к автобану,и пока DySprozin "щупал" мою защиту,можно было бы сделать искуственое падение сайта персонально для него ,раз сто

В любом случае от меня DySprozin-у ,большая благодарность ,за проявленное терпение и
потраченые силы,и буду обязательно голосовать за вас в конкурсе,если будет такая возможность.

Не имею привычки участвовать в конкурсах и просто выкладывать свои код,но
свою функцию я могу выложить,если есть у кого желание ее применить.
Она из четырехзначного числа ,собирает постоянно меняющийся JS скрипт -результат выполнения которого приводит к тому же числу.
DySprozin ее успешно "расколол",но ее можно немного переделать,видоизменить ну и навести красот,у меня с красотами никак,
так ,что AS IS (как есть)

Если есть желание поделиться - будем рады. Собственно это такая сфера, где скрывать наработки себе дороже. Чем защищеннее будут сайты, тем меньше будет желающих заниматься хернёй.

Для того и конкурс. Все работы будут
а) Проанализированы
б) Опобликованы
в) Обобщены с выводами.

Жаль, что принципы не позволяют участвовать, но все равно это будет вклад в общее дело.

Только пожалуйста после конкурса. Иначе проподает интрига.

Почему ?
Может конкурс среди экспертов провести, чтобы они показали свой мастер-класс рядовым пользователям

я - или кто.

дык у меня вообще нет ничего...ни чуда-юда, ни колбасы )) т.к. я не знаю, как работают боты.

Ужасно. Это же типа капча. И мне эта идея пришла в день создания темы по конкурсу, потом я ее отмел. Только я хотел прикольных зверушек всунуть в качестве выбора. Даже клипарты скачал.
Ну и порадовало два флага )))

Это не значит, что ее совсем не должно быть. К тому же, если убрать эту капчу, защита останется, т.к. капча всего лишь 50% защиты.

НЕЕЕЕ. Я же уточняла, Николай имел ввиду класическую капу, циферки. Поэтому не кол, а нормальная идея.

я понял, что был не прав и скрыл сообщение. Быстро ты заметил его =)

Да и на форуме реального времени неделя =)
Просто раньше пару глупых тем создал и погрузился в маны. А сейчас решил вернуться.

Зачем ты показываешь свою работу и идею ?
Ты вот показываешь, а DySprozin тестит твою работу и указывает на твои ошибки и дыры, ты их исправляешь, что во время участия в конкурсе недопустимо, т.к. это не честно по отношению к другим участникам !

Показывать я тебе ничего не собираюсь, т.к. это очевидно.
За все время проведения конкурсов, такого еще не было, чтобы показывали свои работы до окончания конкурса.
Ты особенный ?

поздно таперь я судья, так что зазнаюсь и здороваться перестану

а вообще, PHPprogrammer прав (; тестинг отложим до августа — там уже каждому будет указано на ошибки... ботов дарить никому не буду, а вот принцип расскажу (;

Судья не может выность свою работу на суд ?

нет, на то они и судьи, что то типа сужу но сам нихера не умею(шучу) )))

Согласен ,интригу нужно сохранять.

Ясно,я тоже выложу так,значит будем претендентами на приз зрительских симпатий

Вот же написано

Мы очень за тебя рады

Ты может и зависнешь, а вот девочки вряд ли будут возле тебя 5 лет торчать... если деньги закончатся

ну это только на лето)))

приятно

ну народу же надо помогать) а кто сказал, что я буду тупо зависать? буду и работат конечно

Читаю и не понимаю, в чём потеря если флешь работает и на мобильных устройствах.

Вот разобрался, это WAP не поддерживает флешь.

это хорошо, ибо я думал у меня одного такое...

я не откажусь, уже архив выложил

Ну так можно ко всему сказать. Ты написал не решение, а способ которым можно решить, при простейших условиях.
Если FLASHка, как ты отправишь запрос попал на сервер?

Или если Javascript, то и там поле для маневров открывается. Делаем фон дива из клеточек до 4пх площадью, после того как нажал, поле закрепляется в том положении котором есть, на сервер отправляются координаты положения, через AJAX, выскакивает вопрос - в каком ряду, например, остановился квадрат. Или разноцветный фон, и вопрос, выберите цвет фона, на котором остановился квадратик, или еще и еще и еще...

Ты напишешь защиту от оба на Java?

Javascript, простите

Все решения фтопку, пусть все участники отказываются от участия, чтобы я остался и победил

Почему-же,
у меня идея есть,она у меня кстати была с самого начала
бот не обходит,спамеров отпугивает,пишется в пару или вообще одну строчку.
Просто я зашифровался
У нас тут с DySprozin конкурс на приз зрительских симпатий,я планирую сорвать аплодисментов от начиниющих вебмастеров больше.

это точно. Хвала и почет дотянувшим до финиша

отнюдь. Это было +1 к морали PHProgrammer'a

Лохов со своей рекламой ищи в другом месте.

Не понел. Для какой еще рекламы?

Можно объяснить, что я сделал не так?
Вроде бы скачивается файл нормально без никакой рекламы.
Или я чего то вообще не понимаю...

Но я не ставил галочку, да и не мог поставить так как не зарегистрировался. Просто залил файл.

Я не понимаю, что я сделал не так...?

Ты может быть ошибся со ссылкой. но по ней просто открывалась какая то игра, никаких файлов. Я подумал, что ты таким хитрым способом решил пропиарить её. Извини, если я ошибся.

Файл можно залить прямо на форум, для этого нужно нажать кнопку


Кстати, что то вяло сдаем работы. Вроде 1-е число.

Наверное я действительно ошибся ссылкой. Просто на форум не получилось залить. То ли файл большой (больше 100Кб, но когда уменьшил размер вся равно что то ни то). Увидел куда залил Invis1ble и сделал также. Честное слово никого не хотел обманывать. У меня вроде бы скачивается. Сейчс еще раз закачаю.
надеюсь в этот раз успешно будет)

Спасибо за инфу.
Я уже волновался))) Ведь если второй раз такой форс-мажор получился не доказал бы, что я никого не обманываю...)

и я! и я тоже жду указаний

Скажем так: очень желательно.

ADiel

У меня нет. Может кто успел скачать?

Повтори ссыль. Не нашел чёто.

Ну наверное зафлудили, я не заметил. Однако никогда никого не прогоняли))) Никогда не поздно присоединиться. Время есть еще.


UPD Кто из сдавших вдруг захочет исправить ошибки или улучшить работу - до понедельника есть возможность.

А кто это ?

Скорее всего ты прав

У меня 30 сек. ушло на сбор

Все работы в главную тему бросать.
А флудить здесь.
Т.к. среди флуда в главной теме сложно найти работы.

в хорошем смысле "неожиданности" ?

)))

Ага,типа этого.

ЗЫ мне понравилась одна работа,где цыферки и букафки мостить,Ольгина вроде,
незнаю как результат защиты,но сам процесс мне понравился.

Мне кажется такое лучше в первый пост продублировать.

Нет, не правда, это подстава!

три раза вводил. мне пишет, что я -бот. в топку

*на всякий случай поправил нимб над головой*
А в чем проблемы?

А вообще... Стоило мне на некоторое время "отлучиться", как уже конкурс интересный пропустил....

PS. Больше всего понравились 2 работы (чисто как юзеру, без вникания в код): там, где надо перетащить картику, чтобы положить её на правильное место и та, где надо ввести время.
Правда, часы иногда получаются насколько кривые, что сложно точно понять, что же там показано.

Ну это был вариант сделать без капчи,Ну я как всегда что то пропустил.

Для начала просто попытайтесь ввести более коректно поля и не жать кнопку обновить.
А потом делать выводы.
Механизм определения бота там будет совсем другой и сам функционал недоделан,
сделал попроще для начала,просто как непринятие добавления поста.