ANTICHAT — форум по информационной безопасности, OSINT и технологиям
ANTICHAT — русскоязычное сообщество по безопасности, OSINT и программированию.
Форум ранее работал на доменах antichat.ru, antichat.com и antichat.club,
и теперь снова доступен на новом адресе —
forum.antichat.xyz.
Форум восстановлен и продолжает развитие: доступны архивные темы, добавляются новые обсуждения и материалы.
⚠️ Старые аккаунты восстановить невозможно — необходимо зарегистрироваться заново.
 |
|
16.04.2008, 17:55
|
|
Leaders of Antichat - Level 4
Регистрация: 02.06.2005
Сообщений: 1,411
Провел на форуме:
10605912
Репутация:
4693
|
|
Сообщение от Isis
В этом коде мы делаем GET запрос (сразу при загрузке страницы с формой) к файлу md5.php, получаем оттуда данные и jQuery сам вставляет новый инпат в нашу форму на странице, но исходный код страницы при этом не изменяется..
А что мешает выяснить как сервак возвращает этот хеш и научить робота заходить на страницу и снифать его от сервера, а потом дописывать в запрос при отправке?
З.Ы.
Прошу прощения, что разными сообщениями.
З.З.Ы.
Лучше вместо запроса яваскриптом ответа с сервера, как тут:
Код:
<script type="text/javascript">
$(document).ready(function()
{
$.get("md5.php",function(hash)
{
$("#xek").append('<input type="hidden" name="code" value="'+hash+'" />');
});
});
Просто тупо зашить ещё на сервере это поле в скрипт и пройтись обфускатором. Тогда если снифать трафф, ты не получишь хеш, а получишь только страницу целиком.
Ну и логичный вывод - Тогда, а при чём тут jQuery и аякс, если речь идёт о клиентской генерации элементов страницы яваскриптом  ))
__________________
Я отдал бы немало за пару крыльев,
Я отдал бы немало за третий глаз
За руку на которой четырнадцать пальцев
Мне нужен для дыхания другой газ..
Мой блог: http://qwazar.ru/.
Последний раз редактировалось Qwazar; 16.04.2008 в 18:11..
|
|
|
16.04.2008, 18:44
|
|
Познающий
Регистрация: 08.03.2007
Сообщений: 65
Провел на форуме:
91259
Репутация:
16
|
|
кстати генерация рандомных имен полей неэффективна имхо - что мешает боту скачать и отпарсить форму? Да и кодить под этот сабж тоже тот еще гемор.
носкрипт и капча ибо этот метод неприменим тогда
Ну и логичный вывод - Тогда, а при чём тут jQuery и аякс, если речь идёт о клиентской генерации элементов страницы яваскриптом ))
ты не понял о чем речь.
Последний раз редактировалось hackconnect; 16.04.2008 в 18:47..
|
|
|
|
16.04.2008, 18:49
|
|
Leaders of Antichat - Level 4
Регистрация: 02.06.2005
Сообщений: 1,411
Провел на форуме:
10605912
Репутация:
4693
|
|
Сообщение от hackconnect
ты не понял о чем речь.
Да ладно, он предлагает генерить сервером на странице jQuery код, который будет генерить скрытое поле которое будет передавать на сервер хеш, который будет аяксовыми методами спрашиваться у сервера.
Фишка в том, что сначала клиенту отдаётся страница с яваскриптом, который этот запрос хеша и сгенерит, затем аяксом запрос "дай мне хеш" уйдёт на сервер, и вот после этого уже можно снифать ответ от сервера. Всё.
Если непонятно:
1) Серверу отдаётся страничка с яваскриптом (обработано обфускатором)
2) Яваскрипт на клиенте запрашивает у сервера хеш-код для скрытого поля
3) сервер возвращает хеш-код
4) при запросе, на сервер передаётся этот хеш код
5) они там сравниваются
А теперь прикинь, что между 2 и 3 я включил снифер.
__________________
Я отдал бы немало за пару крыльев,
Я отдал бы немало за третий глаз
За руку на которой четырнадцать пальцев
Мне нужен для дыхания другой газ..
Мой блог: http://qwazar.ru/.
Последний раз редактировалось Qwazar; 16.04.2008 в 18:53..
|
|
|
|
16.04.2008, 18:52
|
|
Познающий
Регистрация: 08.03.2007
Сообщений: 65
Провел на форуме:
91259
Репутация:
16
|
|
хм, значит я подумал что метод умнее ?)
лучше тогда сервер тупо пусть досылает картинку и инпут.
|
|
|
|
16.04.2008, 19:10
|
|
Флудер
Регистрация: 20.11.2006
Сообщений: 3,316
Провел на форуме:
16641028
Репутация:
2371
|
|
Qwazar, пост #3
|
|
|
|
16.04.2008, 19:11
|
|
Leaders of Antichat - Level 4
Регистрация: 02.06.2005
Сообщений: 1,411
Провел на форуме:
10605912
Репутация:
4693
|
|
Сообщение от Isis
Либо вообще в md5.php создавать сессию с указанным выше содержимым и если форма отправляется без сессии, то робот! Ну а что мешает спереть сессию? Если до отправки формы включили сниффер.
Т.е. когда тебе уже пришла страница, но когда на md5.php запрос ещё не ушёл.
__________________
Я отдал бы немало за пару крыльев,
Я отдал бы немало за третий глаз
За руку на которой четырнадцать пальцев
Мне нужен для дыхания другой газ..
Мой блог: http://qwazar.ru/.
Последний раз редактировалось Qwazar; 16.04.2008 в 19:13..
|
|
|
|
16.04.2008, 19:26
|
|
Флудер
Регистрация: 20.11.2006
Сообщений: 3,316
Провел на форуме:
16641028
Репутация:
2371
|
|
Хех..ну попробуй |
|
|
|
16.04.2008, 19:34
|
|
Leaders of Antichat - Level 4
Регистрация: 02.06.2005
Сообщений: 1,411
Провел на форуме:
10605912
Репутация:
4693
|
|
Сообщение от Isis
Хех..ну попробуй А в чём проблема зафиксировать любой траффик между клиентом и сервером??? (Если ты и есть клиент )
__________________
Я отдал бы немало за пару крыльев,
Я отдал бы немало за третий глаз
За руку на которой четырнадцать пальцев
Мне нужен для дыхания другой газ..
Мой блог: http://qwazar.ru/.
Последний раз редактировалось Qwazar; 16.04.2008 в 19:38..
|
|
|
|
16.04.2008, 20:01
|
|
Познающий
Регистрация: 08.03.2007
Сообщений: 65
Провел на форуме:
91259
Репутация:
16
|
|
это уже такие дебри что ппц ->|
ага, убрал уже 
лучше имхо то, что я предложил..
|
|
|
|
16.04.2008, 20:03
|
|
Leaders of Antichat - Level 4
Регистрация: 02.06.2005
Сообщений: 1,411
Провел на форуме:
10605912
Репутация:
4693
|
|
Сообщение от hackconnect
это уже такие дебри что ппц ->|
ага, убрал уже
лучше имхо то, что я предложил..
Ну или если оч не хочется напрягать юзера, то куда надёжнее генерить хеш ещё до того как отдаёшь страницу юзеру, потом писать его в js ещё на сервере, пройтись обфускатором и отдать клиенту. Тогда и аякс не нужен и проблем с MIM не будет
__________________
Я отдал бы немало за пару крыльев,
Я отдал бы немало за третий глаз
За руку на которой четырнадцать пальцев
Мне нужен для дыхания другой газ..
Мой блог: http://qwazar.ru/.
|
|
|
|
|
|
|
|
Здесь присутствуют: 1 (пользователей: 0 , гостей: 1)
|
|
|
|
Похожие темы
Линейный вид
