Hoe test je een zelfgemaakte Captcha? *

[_eXistenZ_]

Ik heb onlangs een eigen CAPTCHA class geschreven - als onderdeel van mijn CMS - die een 3- tot 5-letterig woord uit een array pakt, een willekeurige kleur uit een array pakt, hier een heleboel random letters bij gooit met andere kleuren en dit alles door elkaar husselt. Met OCR is de captcha prima uit te lezen maar de kleur wordt onder het plaatje op de pagina genoemd, waarna je met die kleur letters een woord moet maken en invullen. Hier kan een mens dan het woord van maken die ik vraag. Bots geven dan wss alle letters terug wat fout is.

Het ding draait nu op de site van mijn zusje (die een gastenboek wilde ) en so far heb ik geen spam gezien, maar die site wordt ook niet echt veel bezocht en is ook niet echt gelinkt op andere sites.

Ik zou graag deze captcha willen onderwerpen aan een test, maar zo te zien zijn er geen publiekelijke tests hiervoor. Wie weet hoe ik dit het best zelf aan kan pakken, of hebben jullie toevallig zelf hier een test voor liggen?

[ Voor 20% gewijzigd door _eXistenZ_ op 19-04-2008 11:49 ]

[Orphix]

Wat wil je testen? Elke test tool die je zal hebben zal idd niet jouw 'truukje' met de kleuren eruit halen, aangezien ze daar niet voor zijn geprogrammeerd. Maar stel dat google ditzelfde truukje zou toepassen dan is er in no-time natuurlijk iemand die opspringt om die intelligentie wel in te bouwen.

Ik denk dat de test al gebeurd is vanwege het feit dat er geen spam wordt gepost.

[smeerbartje]

Waar staat de website?

[_eXistenZ_]

Orphix schreef op zaterdag 19 april 2008 @ 12:26:
Wat wil je testen? Elke test tool die je zal hebben zal idd niet jouw 'truukje' met de kleuren eruit halen, aangezien ze daar niet voor zijn geprogrammeerd. Maar stel dat google ditzelfde truukje zou toepassen dan is er in no-time natuurlijk iemand die opspringt om die intelligentie wel in te bouwen.

Ik denk dat de test al gebeurd is vanwege het feit dat er geen spam wordt gepost.

Mja true, hopen dat het zo blijft dan

smeerbartje schreef op zaterdag 19 april 2008 @ 14:21:
Waar staat de website?

http://pedofree.org

[ Voor 23% gewijzigd door _eXistenZ_ op 19-04-2008 23:50 ]

[orf]

Het is gelijk een soort IQ-test
Kleurenblinden zullen helaas nooit iets kunnen posten.

[_eXistenZ_]

Hmm, daar had ik idd niet bij stilgestaan. Nu moet ik wel zeggen dat de site in questie normaalgesproken niet verder bekeken wordt dan enkel de vriendengroep van mijn zusje, en eventuele vrienden daarvan, en voor zover ik weet zitten daar geen kleurenblinden tussen. Maar omdat het automatisch onderdeel is van mijn CMS sluit ik in de toekomst op een andere site wellicht alsnog kleurenblinden uit ja

[orf]

Circa 8% van de blanke bevolking is kleurenblind. Dat is best nog een groep om rekening mee te houden.

[curry684]

Waarom zou je in godesnaam zo moeilijk doen met een zwaar gebruikersonvriendelijke captcha voor een huis, tuin en keukensite?

Met een simpele hidden input kun je controleren wanneer je het formpje hebt gerenderd, en als je alles reject wat sneller dan 3 seconden of trager dan 30 minuten na rendering is gepost stop je al vrijwel alle spam af die niet gericht op je site wordt gemikt - en dat risico is bij Gerlinda's site niet echt aanwezig denk ik.

[Fire69]

Ik ben niet kleurenblind en had al problemen om het verschil tussen de groene en blauwe letters te zien.
(of ben ik nu wel kleurenblind? )

[_eXistenZ_]

Ik zal de kleur blauw ff iets tweaken, de kleuren heb ik uit mijn mouw geschud
/edit Done.

/edit
@ hieronder: Idd, 2 konden het niet Die hebben dan ook gewoon pech.

[ Voor 37% gewijzigd door _eXistenZ_ op 19-04-2008 22:48 ]

[mace]

Hoe oud is de vriendengroep van je zus? Als het de BrEeZaH-leeftijd betreft dan is het gemiddelde IQ en het gemiddelde aandachtsvermogen wellicht niet toereikend om ze door de CAPTCHA te laten komen.

[ Voor 0% gewijzigd door mace op 19-04-2008 22:47 . Reden: enigzins dornken, de/het is dan moeilijk :+ ]

[Nijn]

Je Captcha werkt volkomen op kleurverschil. Op zich leuk bedacht, maar ik vindt de implementatie niet geweldig.

1. Een bot die met deze kleurverschillen rekening houd (en dus jouw CAPTCHA target) komt er zowiezo door, met of zonder 20 verschillende kleuren. Een bot die hier geen rekening mee houd, komt er zowiezo niet door, al heb je maar 2 verschillende kleuren. Waarom dan toch zoveel verschillende kleuren? Zorg ervoor dat je 1 woord neemt, met 1 of 2 letters in een andere kleur erin. Maakt het een stuk makkelijker voor mensen.

2. Kleurblindheid. Onder de blanke mannen is bijvoorbeeld groen-rood kleurblindheid erg vaak voorkomend. Deze mensen zien beide kleuren als een bruinige kleur. Gelukkig is het wel zo dat volledige kleurblindheid haast nooit voorkomt. Het gaat echt om bepaalde combinaties. groen-rood is daar de belangrijkste van. Als je zorgt dat die combinatie niet voorkomt heb je het probleem al bijna opgelost.

3. Maak er een goed woord van, zou ik niet doen. True, het helpt tegen bots, maar de komende tijd zal je huidige beveiliging wel voldoende zijn denk ik. Het maakt het in ieder geval enorm ingewikkeld voor de BreEzaH .............

offtopic:
Nog wat commentaar:
1. Ik weet niet hoe oud je zusje is, maar je beseft je wel dat ze hiermee vrij gemakkelijk is op te sporen? SIDN records zeggen al meer dan genoeg. Die site is een reclamebord voor pedo's.
2. je kan de site het beste bekijken met Mozilla Firefox klik hier om hem te downloaden. Ik dacht dat we daar nu eindelijk vanaf waren. Sorry dat ik het moet zeggen, maar dat ziet er simpelweg stom en amaturistisch uit.

[ Voor 33% gewijzigd door Nijn op 19-04-2008 23:01 ]

[Anoniem: 26306]

Ik accepteer geen cookies en ik zie helemaal geen CAPTCHA

Verder kun je je plaatje beter niet alt="captcha" meegeven, en kun je overwegen dat ding buiten de <form> tags te plaatsen om het net even lastiger te maken voor een bot om uberhaupt uit te vinden dat er een CAPTCHA is.

[orf]

Er zijn twee mogelijke manieren om deze captcha te targetten:

Als ik een paar keer refresh, zie ik dubbele woorden. Dat betekent dat je eenvoudig een kleine dictionary kunt maken. Daarmee kun je dan snel een brute force doen.

De tekst is met ocr erg makkelijk te lezen. Dan hoef je alleen de kleurcodes van de vier kleuren op te slaan om de juiste tekens eruit te filteren. De tekens kun je vervolgens matchen aan een dictionary en je hebt waarschijnlijk een 100% accuraatheid.

[Nijn]

orf schreef op zaterdag 19 april 2008 @ 22:55:
Er zijn twee mogelijke manieren om deze captcha te targetten:

Als ik een paar keer refresh, zie ik dubbele woorden. Dat betekent dat je eenvoudig een kleine dictionary kunt maken. Daarmee kun je dan snel een brute force doen.

De tekst is met ocr erg makkelijk te lezen. Dan hoef je alleen de kleurcodes van de vier kleuren op te slaan om de juiste tekens eruit te filteren. De tekens kun je vervolgens matchen aan een dictionary en je hebt waarschijnlijk een 100% accuraatheid.

Gelukkig zal deze CAPTCHA niet snel getarget worden, zoals al duidelijk aangegeven. Een spider-bot komt hier niet doorheen.

100% oplossingen zijn leuk, zeker voor IT-ers. Maar ook een belangrijke reden waarom er zoveel grote IT projecten mis gaan.

[ Voor 8% gewijzigd door Nijn op 19-04-2008 23:01 ]

[_eXistenZ_]

[b]Nijn schreef op zaterdag 19 april 2008 @ 22:50:[/b

offtopic:
Nog wat commentaar:
1. Ik weet niet hoe oud je zusje is, maar je beseft je wel dat ze hiermee vrij gemakkelijk is op te sporen? SIDN records zeggen al meer dan genoeg. Die site is een reclamebord voor pedo's.
2. je kan de site het beste bekijken met Mozilla Firefox klik hier om hem te downloaden. Ik dacht dat we daar nu eindelijk vanaf waren. Sorry dat ik het moet zeggen, maar dat ziet er simpelweg stom en amaturistisch uit.

1, Ach, de eerste pedo moet nog komen en de voordeur zit dicht. Je hebt opzich gelijk hoor maar zo'n vaart loopt het wss niet.
2. Tja, mail haar zou ik zeggen. Ik ga niet over de content alleen over de werking van het CMS.

orf schreef op zaterdag 19 april 2008 @ 22:55:
Er zijn twee mogelijke manieren om deze captcha te targetten:

Als ik een paar keer refresh, zie ik dubbele woorden. Dat betekent dat je eenvoudig een kleine dictionary kunt maken. Daarmee kun je dan snel een brute force doen.

De tekst is met ocr erg makkelijk te lezen. Dan hoef je alleen de kleurcodes van de vier kleuren op te slaan om de juiste tekens eruit te filteren. De tekens kun je vervolgens matchen aan een dictionary en je hebt waarschijnlijk een 100% accuraatheid.

Jij ziet dubbele woorden maar er moet wel specifieke software komen de goede kleur en daarvan het woord te proberen te matchen (ook nog in de juiste volgorde te zetten) voor je uberhaupt kan bruteforcen, welke bijna altijd zal mislukken afaik

Iig, ik heb genoeg gehoord en gezien De captcha opzich zal het wel uithouden, hij is alleen totaal niet gebruikersvriendelijk Ik ga eens kijken wat ik kan veranderen.Thx allemaal.

[Voutloos]

_eXistenZ_ schreef op zaterdag 19 april 2008 @ 23:50:
De captcha opzich zal het wel uithouden, hij is alleen totaal niet gebruikersvriendelijk

Dat is bijna per definitie zo.

Met de eenvoudige maatregelen zoals curry die noemt filter je echt al het meeste eruit zonder dat je meteen ook al een deel van je echte bezoekers weert.

[ Voor 25% gewijzigd door Voutloos op 20-04-2008 11:17 ]

[Niemand_Anders]

orf schreef op zaterdag 19 april 2008 @ 22:27:
Het is gelijk een soort IQ-test
Kleurenblinden zullen helaas nooit iets kunnen posten.

Volledig Kleurenblinden zien kleuren dan als je ze zal zien op een zwart-wit TV (grijstinten dus). Als jij dus netjes een legenda opneemt zullen ze er niet zoveel problemen mee hebben. Iets lastiger wordt het voor degene welke een bepaald spectrum niet kunnen zien (zoals wij infrarood of ultraviolet licht niet kunnen zien). In het ergste geval zijn zij dus alleen jouw 'rommel' letters en kunnen dan echt niet verder.

Deze blinden hebben vaak aangepaste videodrivers welke bepaalde kleuren automatisch omzetten naar een kleur welke zij wel kunnen zien (groen wordt dan blauw bijvoorbeeld). Dat kan er dan weer in het uiterste geval voor zorgen dat alle letters dezelfde kleur hebben.

De eenvoudige methode is gewoon de een mail te sturen met daarin een confirmatie code (geen link dus). Voor namelijke sites is dat een goede methode om 'spam' tegen te houden. Voor high traffic websites geld dat niet omdat hackers vaak speciale readers schrijven voor een bepaalde site zoals gmail. Zij kunnen dan ook de confirmatie mail parsen en zodoende alsnog de check omzeilen.

[curry684]

Voutloos schreef op zondag 20 april 2008 @ 11:10:
[...]
Dat is bijna per definitie zo.

Met de eenvoudige maatregelen zoals curry die noemt filter je echt al het meeste eruit zonder dat je meteen ook al een deel van je echte bezoekers weert.

Maar dat wordt dan weer niet opgepikt, dat het ook zonder gebruikersonvriendelijkheid kan

[Bosmonster]

De site doet het hier in zn geheel niet overigens, das ook een goede manier om spam te voorkomen

[curry684]

Bosmonster schreef op dinsdag 22 april 2008 @ 16:48:
De site doet het hier in zn geheel niet overigens, das ook een goede manier om spam te voorkomen

code:

<Limit GET POST>
  deny from all
</Limit>

\o/

[Anoniem: 30795]

waarom zo moeilijk..
stel de gebruiker gewoon een simpele vraag..

hoeveel is 3 + 5?
Is de koninging een man of een vrouw?
is het vandaag maandag?
Op welke van de 2 foto's zie je een koe?
etc.........

[Anoniem: 26306]

Anoniem: 30795 schreef op maandag 19 mei 2008 @ 11:54:
waarom zo moeilijk..
stel de gebruiker gewoon een simpele vraag..

hoeveel is 3 + 5?
Is de koninging een man of een vrouw?
is het vandaag maandag?
Op welke van de 2 foto's zie je een koe?
etc.........

Man of vrouw? Ja of Nee? Foto 1 of foto 2? Daarmee houd je toch wel de helft tegen! Geweldige suggesties...

[Anoniem: 31421]

Anoniem: 30795 schreef op maandag 19 mei 2008 @ 11:54:
waarom zo moeilijk..
stel de gebruiker gewoon een simpele vraag..

Is de koninging een man of een vrouw?

Dat noem ik een strikvraag!

[Anoniem: 30795]

Anoniem: 26306 schreef op maandag 19 mei 2008 @ 13:10:
[...]

Man of vrouw? Ja of Nee? Foto 1 of foto 2? Daarmee houd je toch wel de helft tegen! Geweldige suggesties...

Ik neem aan dat TS creatief (en slim) genoeg is om er geen 2 optie vragen in te hangen.
Het is maar een voorbeeld.

Trouwens, ik vind dit ook een redelijk geniale oplossing, een iphone achtig unlock slider:
http://www.aboone.com/?p=34
(Is in ontwikkeling en werkt volgens mij alleen nog maar in firefox.

[curry684]

Anoniem: 30795 schreef op donderdag 22 mei 2008 @ 14:13:
[...]

Ik neem aan dat TS creatief (en slim) genoeg is om er geen 2 optie vragen in te hangen.
Het is maar een voorbeeld.

Trouwens, ik vind dit ook een redelijk geniale oplossing, een iphone achtig unlock slider:
http://www.aboone.com/?p=34
(Is in ontwikkeling en werkt volgens mij alleen nog maar in firefox.

Ja briljant een moeilijke en complexe Javascriptomgeving bouwen die aan het einde een this.form.submit doet en die eender welke spambot dus gewoon overslaat om z'n Viagra-reclames direct te postbacken. Redelijk ge-ni-aal inderdaad.

Het punt achter een Captcha is juist dat ie serverside random wordt gegenereerd en geverifieerd, en er dus niets aan te automaten is vanuit de abusers.

[ Voor 10% gewijzigd door curry684 op 22-05-2008 14:35 ]

[pim]

Ik heb zelf ook een Captcha gemaakt voor een goedbezochte gastenboek service.
Wanneer het woord "http" voorkomt in het bericht moet het volgende random plaatje worden over getypt:



De beveiliging werkt helaas niet, duizenden spam berichten vliegen nog steeds elke week binnen.
Een nog moeilijkere Captcha maken is geen optie, omdat alle bekende Captcha's(yahoo/gmail/hotmail) ondertussen gekraakt zijn.

Ook ideeen zoals:
- los de rekensom op
- welk dier zie je op de foto?
- de aarde draait om de: .....

Zijn geen goede oplossing, omdat je oneindig veel unieke vragen nodig hebt, en omdat de vragen ook geschikt moeten zijn in mijn geval voor chinezen/koreanen etc..

En check hoe innovatief de hackers zijn die de Captcha's kraken.. Er is nu een striptease spel, waarbij Melissa elke keer wat uitdoet als je een plaatje overtypt



Mijn 2de poging is geweest om IP adressen te bannen.. Ook kansloos, ik heb er al 40.000 gebanned, maar botnetwerken schijnen over miljoenen ipadressen te beschikken, dus ook kansloos..

Wat ik nu ga proberen is het kat en muis spelletje verder voortzetten en bepaalde url's blokkeren..
Dan rijst de vraag, hebben ze ook oneindig veel urls om te promoten?

---

vakantie mexico , mexihiiiicoooooo...

[ Voor 3% gewijzigd door pim op 22-06-2009 01:46 ]

[MueR]

Hebben ze. Probeer zoals Curry zegt eens iets te doen met de tijd waarbinnen een bericht wordt gepost. De meeste spambots doen dit binnen enkele seconden (binnen 3-5 sec) or pas na dik een half uur. In beide gevallen gewoon direct trashen.

[pim]

De tijd loggen hoelang er over word gedaan om te typen doe ik al langer dan een jaar:) De meeste spambericht zijn heel netjes in +/- 70 seconden getyped.. Dus niet te onderscheiden van mensen.

Nu deze captcha


Vervangen door deze:


In de hoop dat computers de code overtypen als 887733228866, en mensen gewoon 873286

[Voutloos]

Ontdubbelen implementeren kost minder tijd dan het schrijven van deze zin.

Computers zijn goed in ontdubbelen, dus dat is niet hoe je Computers en Humans van elkaar onderscheid (vrij naar definitie captcha).

[ Voor 47% gewijzigd door Voutloos op 28-05-2008 15:21 ]

[chielsen]

Een flash filmpje die een geluid afspeelt is volgens mij wel effectief, alleen weer erg gebruikersonvriendelijk. Tja het blijft lastig.

[Koppensneller]

Even een hersenscheet:

Een flashobject wat een gecodeerde tekenreeks krijgt toegestuurd via parameters, deze decodeert en op het scherm toont. De tekenreeks kan eventueel nog gesalt worden. Zou dat werken?

[the_stickie]

In de C't vand eze maand staat een leuk artikeltje over captcha's (p90). Het blijkt dat het sterk vervormen (letters van hoogte variëren, draaien én de lettres zelf "buigen") + het aanbrengen van kruisende lijnen als meest effectief gezien wordt.
Ook (kleine) objecten herkennen op fotos werkt vrij goed (bijvoorbeeld het aantal gele legoblokjes uit een hoopje, of de kleur van de ogen)
Om bots te weren is het vaak ook een geod idee om heel je form "captcha" eigenschappen te geven. door bijvoorbeeld het veld voor het e-maildres niet altijd op dezelfde plek te zetten, velden aan te brengen die niet ingevuld mogen worden etc.

[roy-t]

pim schreef op woensdag 28 mei 2008 @ 12:57:
Ik heb zelf ook een Captcha gemaakt voor een goedbezochte gastenboek service.
Wanneer het woord "http" voorkomt in het bericht moet het volgende random plaatje worden over getypt:

[afbeelding]

De beveiliging werkt helaas niet, duizenden spam berichten vliegen nog steeds elke week binnen.
Een nog moeilijkere Captcha maken is geen optie, omdat alle bekende Captcha's(yahoo/gmail/hotmail) ondertussen gekraakt zijn.

Het lijkt me toch dat zo'n captcha niet al te snel gekraakt is. En ik vind het een vrij mooie manier om het zo te doen. Is er niet iets anders gek, bijvoorbeeld een post functie ofzo waardoor de bots toch doorkomen?

[.oisyn]

Voutloos schreef op woensdag 28 mei 2008 @ 15:19:
Ontdubbelen implementeren kost minder tijd dan het schrijven van deze zin.

Computers zijn goed in ontdubbelen, dus dat is niet hoe je Computers en Humans van elkaar onderscheid (vrij naar definitie captcha).

Volgens mij is het idee meer dat standaard tests falen. Maar het algo handmatig aanpassen voor die specifieke site is idd zo gedaan. Ik vraag me altijd af hoe specifiek die spambots zijn.

roy-t schreef op woensdag 28 mei 2008 @ 15:54:
Het lijkt me toch dat zo'n captcha niet al te snel gekraakt is.

Niet? Hij is juist rete-simpel. Kijk naar de twee verschillende 8en in het plaatje - ze zijn, afgezien van hun kleur, identiek. Dus het is een kwestie van een databaseje maken van de 10 digits, en dan voor elke digit kijken welke het beste erbij past.

[ Voor 28% gewijzigd door .oisyn op 28-05-2008 16:05 ]

[the_stickie]

.oisyn schreef op woensdag 28 mei 2008 @ 16:01:
[...]

Volgens mij is het idee meer dat standaard tests falen. Maar het algo handmatig aanpassen voor die specifieke site is idd zo gedaan. Ik vraag me altijd af hoe specifiek die spambots zijn.

Voor die duizenden blogs en guestbooks denk ik dat er alleen een aantal "standaard" dingen geprobeerd worden, maar sites als msn, yahoo, gmail ed worden natuurlijk natuurlijk specifieker getarget... met van die leuke applicaties als dat stripgedoe en naar't schijnt zelfs "human computers" (chineesjes die betaald worden voor het oplossen van captcha's) als gevolg. Er is alvast genoeg reden om je particuliere site ook voldoende af te schermen

[pim]

Ik weet dus niet of Bots mijn captcha's overtypen, of echte mensen d.m.v. zo'n stripspelletje bijvoorbeeld. .Ik weet ook niet of mijn site interessant genoeg is om specifiek de captcha software op aan te passen..

De aanpassing van het plaatje naar heeft iig de stroom van spam gestopt op het moment, dus het leken toch computer-bots te zijn.

[.oisyn]

Is dat het enige plaatje? Ik probeerde namelijk andere getallen te genereren maar ik krijg de hele tijd die met 873286

[BCC]

Honeypots werken ook wel erg goed: Dus bijvoorbeeld een field met id iets in de trend van "emailaddress" en deze hidden maken voor de user door de div te hiden.

Bots zullen in 99% van de gevallen alle velden vullen omdat ze anders bang zijn een verplicht veld te missen, waardoor de spam niet gepost word.

Wanneer je server-side ziet dat dit veld is ingevuld dump je het bericht.

Combineer dit met bijv. een verstuurd timestamp en voila: zonder captcha geen spam.

[ Voor 11% gewijzigd door BCC op 28-05-2008 16:52 ]

[Hertog]

Voutloos schreef op woensdag 28 mei 2008 @ 15:19:
Ontdubbelen implementeren kost minder tijd dan het schrijven van deze zin.

Computers zijn goed in ontdubbelen, dus dat is niet hoe je Computers en Humans van elkaar onderscheid (vrij naar definitie captcha).

Zou het een idee zijn om met 'spiegels' te werken dan? Dat je zo'n blokje spiegelt, zodat een computer geen dubbele tekenreeks ziet, maar gewoon willekeurige tekens?

Als de programmeurs zelf je site een keer bezoeken zullen ze het wel door hebben, maar meestal gaan spammers dan voor makkelijkere of grotere targets lijkt me.

[pim]

.oisyn schreef op woensdag 28 mei 2008 @ 16:48:
Is dat het enige plaatje? Ik probeerde namelijk andere getallen te genereren maar ik krijg de hele tijd die met 873286

Het is een ontzettend slappe encryptie waarbij het slechts om de eerste 12 tekens in de reeks gaat(image_generator.php?code=393834143937), met een random getal erachter aan.. Makkelijk te kraken, alleen zal de kraak een uurtje later automagisch niet meer werken

Honeypots werken ook wel erg goed: Dus bijvoorbeeld een field met id iets in de trend van "emailaddress" en deze hidden maken voor de user door de div te hiden.

Dit zie er al lang in bij mij, en wordt netjes leeg gelaten..

code:

<div style="position: absolute; top: -100px;"><input type=text name=form_country size=30 maxlength="100"> (* Required)</div>

[MuisM4t]

En Inputnamen eens wisselen?

Als dat helpt zou je die nog variabel kunnen maken.

[Anoniem: 231912]

Anoniem: 30795 schreef op donderdag 22 mei 2008 @ 14:13:
[...]


Ik neem aan dat TS creatief (en slim) genoeg is om er geen 2 optie vragen in te hangen.
Het is maar een voorbeeld.

Trouwens, ik vind dit ook een redelijk geniale oplossing, een iphone achtig unlock slider:
http://www.aboone.com/?p=34
(Is in ontwikkeling en werkt volgens mij alleen nog maar in firefox.

In opera overigens ook. Prachtig ding. Dat is nog is een mooie oplossing.

[.oisyn]

pim schreef op woensdag 28 mei 2008 @ 17:18:
[...]


Het is een ontzettend slappe encryptie waarbij het slechts om de eerste 12 tekens in de reeks gaat(image_generator.php?code=393834143937), met een random getal erachter aan.. Makkelijk te kraken, alleen zal de kraak een uurtje later automagisch niet meer werken

PHP:

function decode($id)
{
    $s = strtr(substr($id, 0, 12), array("14"=>"2", "34"=>"3", "36"=>"5", "37"=>"6", "38"=>"7", "39"=>"8", "44"=>"4"));
    $s = substr($s, 0, 6);
    return (int)$s;
}

echo decode("393834143937381025943691688975107873429619");

[ Voor 36% gewijzigd door .oisyn op 28-05-2008 17:48 ]

[pim]

Juist Alleen veranderen de getallen(14/34/36/37/38/39/44) heel de tijd,nog steeds wel achter te komen hoe het werkt, maar waarschijnlijk niet genoeg moeite voor de spammers, hoop ik

[ Voor 6% gewijzigd door pim op 28-05-2008 17:49 ]

[.oisyn]

Maar hoezo "om het uur"? Dan loop je dus het risico dat rond het uurwisseling het verkeerde plaatje wordt getoond. Waarom stuur je het id sowieso mee voor de img, ipv het op te slaan in de sessie oid?

[ Voor 20% gewijzigd door .oisyn op 28-05-2008 17:49 ]

[pim]

De website is al 5 jaar oud, daarom zitten er wat dingen in zoals dit die niet op de beste manier gedaan zijn..

[Voutloos]

Hertog schreef op woensdag 28 mei 2008 @ 16:59:
[...]
Zou het een idee zijn om met 'spiegels' te werken dan? Dat je zo'n blokje spiegelt, zodat een computer geen dubbele tekenreeks ziet, maar gewoon willekeurige tekens?

Een recht-toe-recht-aan transformatie van een plaatje, iets waar een computer zonder dat er een nieuw rocket science algoritme geschreven moet worden al oneindig veel beter in is dan een mens. Nee, dat gaat het verschil maken...

Reeds gezegd, maar nogmaals: te snelle reacties weren en input welke leeg moet blijven vangen elk met gemak > 95% van de spam af en zijn daarmee goed genoeg voor praktisch elke site van de /devschuur bezoeker. Voor de echt Super Interessante Sites heb je idd helaas wel wat meer nodig, maar als echt Super Interessante Site moet je niet verbaasd zijn als je captcha plaatje gekraakt wordt. Captcha plaatjes zijn gewoon geen horde meer voor gerichte aanvallen.

De aanval waarbij je anderen voor jou een Captcha laat ontcijferen is ook zeer eenvoudig om op te zetten en is gewoonweg geniaal (of een echte captcha bestaat is dus al twijfelachtig, maar een capthha is iig onmogelijk ). Captcha's zouden vanwege dit type aanval altijd een voldoende wisseld hostname/tradename/logo moeten bevatten zodat plaatjes iig niet 1 op 1 door te spelen zijn.

[.oisyn]

Voutloos schreef op donderdag 29 mei 2008 @ 15:18:
Captcha's zouden vanwege dit type aanval altijd een voldoende wisseld hostname/tradename/logo moeten bevatten zodat plaatjes iig niet 1 op 1 door te spelen zijn.

We kunnen plaatjes opbouwen zoals in de acid tests gebeurt, en dan denk ik met name aan de derde. Browsermakers kunnen het al niet eens fatsoenlijk implementeren, laat staan 'hackers' die van die Melissa Strip applicaties maken

[Voutloos]

Dan plaats je ipv een plaatje het script voor dat plaatje op je nepsite en klaar ben je. Heeft geen invloed op de aanval.

[.oisyn]

Een desktop applicatie is idd hetzelfde als een website ja

[Voutloos]

Que? Ik zeg enkel dat het voor zo'n relay aanval niet hoeft uit te maken of het plaatje als kant en klare bytes of als algoritme gedefinieerd is.

[.oisyn]

En ik had het over die Melissa Strip applicatie uit de post van pim die als trojan wordt geinstalleerd op je systeem. Had ik er wellicht duidelijker bij moeten zetten in mijn eerste post erover.

[ Voor 16% gewijzigd door .oisyn op 29-05-2008 16:38 ]

[Voutloos]

Dat snap ik, maar het is voor de aanval niet cruciaal dat het een losse app is. Het is enkel omslachtiger.

edit:
aha. Maar dan nog roei je enkel halfbakken apps uit, en de makers van een dergelijke app kunnen in no-time een site met hetzelfde idee in elkaar flanen.

[ Voor 43% gewijzigd door Voutloos op 29-05-2008 16:41 ]

[.oisyn]

Ik bedoelde het dan ook niet serieus, van daar de " "

[--MeAngry--]

pim schreef op woensdag 28 mei 2008 @ 17:18:
[...]

Dit zie er al lang in bij mij, en wordt netjes leeg gelaten..

code:

<div style="position: absolute; top: -100px;"><input type=text name=form_country size=30 maxlength="100"> (* Required)</div>

Dit doe je dan ook niet slim he, je zorgt dat het inputveld een ID heeft zoals elk ander veld, en dat je het verbergen in een stylesheet laat gebeuren. De meeste bots halen geen stylesheets op, dus zien ook niet dat het veld onzichtbaar is.

Overigens gebruik ik al tijden een relatief eenvoudig Captcha met dwarse lijnen in verschillende hoeken eroverheen. De lijnen hoeven niet perse over de hele lengte of breedte van de afbeelding te lopen, dus hoeven ook niet perse als lijn gezien te worden. Een mens onderscheid ze echter eenvoudig.

[compufreak88]

--MeAngry-- schreef op donderdag 29 mei 2008 @ 16:53:
[...]

Dit doe je dan ook niet slim he, je zorgt dat het inputveld een ID heeft zoals elk ander veld, en dat je het verbergen in een stylesheet laat gebeuren. De meeste bots halen geen stylesheets op, dus zien ook niet dat het veld onzichtbaar is.

Daar gaat het toch ook om? Juist omdat ze niet zien dat ze onzichtbaar zijn, zouden ze het veld gewoon moeten invullen, terwijl mensen het veld niet zien, en dus ook niet invullen.

[Voutloos]

Klopt, maar MeAngry bedoelt juist dat je het verbergen via externe css kan doen, met het idee dat het dan nog lastiger door een bot vast te stellen is dat dat inputveld verborgen is.

In de praktijk blijkt de gemiddelde bot uberhaupt te dom/oppervlakkig om een inline style te bekijken. Maar dat kan ook express zijn; KISS en je bot maakt meer calls, waarvan sommige inderdaad door allemaal css te interpreteren beter hadden kunnen zijn. Dankzij het grote volume is je bot waar je minimale tijd ingestoken hebt alsnog succesvol irritant.

Uiteindelijk is het een kleine moeite om het via externe css te regelen, dus waarom niet. Kan je meteen blijven volhouden dat je nergens inline styles hebt.

[ Voor 8% gewijzigd door Voutloos op 09-06-2008 15:56 ]

[compufreak88]

Ah ok, ik snap hem

[pim]

* kick *

Ondertussen is het me duidelijk geworden dat _elke_ captcha gekraakt kan worden, want het overtypen gebeurd door mensen in India China, voor +/- $5 voor 1000 captcha's..
Eerst probeert een BOT het, lukt dat niet, dan gaat word het door mensen gedaan.
Er is een API voor op: decaptcher.com en beatcaptchas.com

Het kat&muis spelletje is tot zover dus gewonnen door de spammers..

[Anoniem: 26306]

Dan bedenk je toch weer andere constructies zoals netwerken bannen, dingen die Indiërs niet kunnen lezen bijvoorbeeld? Je moet gewoon zoveel mogelijk tijd van ze "stelen" zodat ze er zo weinig mogelijk aan kunnen verdienen.

"Vul hieronder in cijfers het getal drieduizendtweehonderdzestien in".

En als ze daar weer wat op bedenken dan breid je het weer uit. Je loopt altijd een klein beetje achter de feiten aan, maar uiteindelijk moet je gewoon weer net een beetje slimmer zijn en inspelen op de manieren waarop het systeem wordt omzeild.

[pim]

Ik heb een service in 50 talen.. Dus daar zet je niet zo ff een nieuwe captcha in..

[Matis]

Je zou ook iets eenvoudigs van welke dag is het vandaag, morgen, gisteren. Ik kwam laatst ook een reken som tegen.
Of welke kleur heeft de lucht

[pim]

Nog beter Ik heb net betaald voor de api, en heb nu 1000 credits om plaatjes over te laten typen..
Alles wat ik toevoeg doet ie goed.. ongeloofelijk..

Iemand hier die zijn captcha wil laten testen door mij?
Post je plaatje maar in deze topic, dan zeg ik of hij kraakbaar is of niet.

[pim]

Te vet.. een API met mensen die beantwoorden.. maar wel zo snel dat het bijna realtime is..

Ik heb net de volgende Captcha door de API gehaald..



Mag jij raden wat het antwoord was

[pim]

En hier wist ie dat het antwoord 'orange' was

[Nic]

Wow, cool! Dan kun je dus voor een halve cent per foto je hele fotocollectie van keywords voorzien. Gewoon in de api gooien met de vraag 'name three things you see on this picture' ?

[ Voor 12% gewijzigd door Nic op 04-09-2009 18:06 ]

[pim]

Alsjeblieft

hill people sky


Soms moet je wel even wachten voordat het goede antwoord terug komt.. Maar omdat je gewoon tegen mensen 'praat' kun je dus grappige vragen stellen zoals:

How old are you?
25
50
19

Where do you live?
China
earth

Where do you live in China?
Beijing
I'm not from China.

[ Voor 82% gewijzigd door pim op 04-09-2009 18:35 ]

[Nic]

pim schreef op vrijdag 04 september 2009 @ 18:32:
hill people sky

cool!

Soms moet je wel even wachten voordat het goede antwoord terug komt.. Maar omdat je gewoon tegen mensen 'praat' kun je dus grappige vragen stellen

Grappig, menselijke communicatie in een API verwerkt... Zelfs de spammers zorgen voor vormen van innovatie!

[HyperioN]

Omdat mijn sites toch alleen een Nederlands publiek serveren heb ik
"Wat is de achternaam van de huidige Minister-President van Nederland?"
(Balkenende)

Tot nu toe nog niet gekraakt.. doordat de vraag Nederlands is zullen die Chineesjes dat ook wel niet kunnen. Ligt eraan hoe doorzettend ze zijn; ze kunnen natuurlijk de vraag laten translaten met Google Translate o.i.d. en dat vervolgens opzoeken..

[natasdiamon]

wat ook enorm werkt is om de vraag met een aantal spelfouten neer te zetten, geen google die dat goed doet.

ik ben trouwens een realgun clone tegengekomen, waar je ook allemaal van deze codes tegenkwam, maar je kwam heel verschillende tegen, waarschijnlijk dus gewoon ook spam.

[Soultaker]

pim schreef op vrijdag 04 september 2009 @ 14:37:
Nog beter Ik heb net betaald voor de api, en heb nu 1000 credits om plaatjes over te laten typen..
Alles wat ik toevoeg doet ie goed.. ongeloofelijk..

Ja, ga die smerige ratten nog eens financieel ondersteunen ook.

Hebben ze ook nog enige interne kwaliteitscontrole trouwens? Anders kan ik me natuurlijk aanmelden en doodleuk allemaal verkeerde antwoorden geven (en er nog voor betaald krijgen ook!)

[swtimmer]

Wat ik zelf doe is whitelisten. Via http://akismet.com/ API worden berichten met URL bekeken voor spam. Als ze door deze test komen komen ze op de whitelist en worden hun berichten met URL voortaan standaard getoond. Het zorgt alleen voor vertraging (dus ik heb een backend die de berichten met url's op actief zet). Maar is tot nu toe fijner dan alle andere dingen die ik geprobeerd hebt.

[Anoniem: 10867]

Soultaker schreef op zondag 06 september 2009 @ 00:11:
[...]

Hebben ze ook nog enige interne kwaliteitscontrole trouwens? Anders kan ik me natuurlijk aanmelden en doodleuk allemaal verkeerde antwoorden geven (en er nog voor betaald krijgen ook!)

lijkt me wel he? als je met het antwoord niet door de controle komt dan heb je het foute antwoord gegeven. als je dat dus vaker doet moet je wss op het matje komen.

mss is het een idee een captcha te maken waar je nooit doorheen komt zodat die chinesen ze op de klote krijgen

[Pogostokje]

Inderdaad is het niet echt fantastisch om die mensen te sponsoren omdat het eigenlijk altijd voor slechte dingen gebruikt wordt, maar .... ik moet zeggen ... dat ze dit handmatig laten doen en dat je dus feitelijk werkt met mensen is toch eigenlijk wel enorm grappig. Ik zie in ieder geval mogelijkheden.

[pim]

Met 5 euro financieel ondersteunen? Wees blij dat ik hier de informatie deel.

Ik krijgen weinig goede antwoorden terug op de Dots

888
...
many
lladkj
883
How many dots are there in this picture?
cantread
x
f'jf'sa

[soulrider]

wel zo leuk: een decaptcher(.com) die zijn login afschermt met een vrij simpel te kraken captcha
daar heeft zelfs een pc/bot weinig problemen mee...
(lange tijd terug zo'n persoonlijk project van iemand gevonden die zelf onderzocht hoe goed zijn anti-captcha-bot captcha's kon breken - er blijven toen weinigen over die niet voor 100% herkend werden, maar code en tool bleven offline en konden natuurlijk niet geverifieerd of aangevraagd worden - waarodner een soortgelijke captcha dus zoals die op decaptcher.com)

maar voor 2$ per 1000 captcha's (en dat met api voor c/c++/c#, perl, php en python)
damn prijzen zijn vrij goedkoop en wellicht zijn er nog goedkopere.maar ja, als je dan kijkt naar de antwoorden hierboven: wellicht betaal je voor elke captcha die bij hen passeert ongeacht of ze nu juist of fout antwoorden ...

[ Voor 23% gewijzigd door soulrider op 06-09-2009 06:21 ]

[Voutloos]

soulrider schreef op zondag 06 september 2009 @ 06:14:
als je dan kijkt naar de antwoorden hierboven

Of ze begrijpen dat die dots tellen niet vlug te doen is en geven het op. En terecht.

[Gremen]

lol, te grappig. Een menselijke api

[Soultaker]

dsltv schreef op vrijdag 04 september 2009 @ 21:14:
Grappig, menselijke communicatie in een API verwerkt... Zelfs de spammers zorgen voor vormen van innovatie!

Amazon doet dit al jaren met hun Mechanical Turk hoor (en zij waren ook vast niet de eerste), alleen specialiseren die niet in spam.

Voutloos schreef op zondag 06 september 2009 @ 13:12:
Of ze begrijpen dat die dots tellen niet vlug te doen is en geven het op. En terecht.

Het geeft in ieder geval wel weer inspiratie voor het counteren van deze service... Iets wat veel moeite kost doen ze niet, want daar krijgen ze niet genoeg voor betaald. Helaas wil je dat je legitieme bezoekers eigenlijk ook niet aan doen...

[ Voor 10% gewijzigd door Soultaker op 14-09-2009 12:40 ]

[BaRF]

als je nou een captcha maakt in een soort mouse-over plaatje, snapt een bot oid dat ook? Dus het plaatje laat C36Ga zien, en na een mouse-over een andere code die je wel moet gebruiken?

[mazz]

Misschien dat je iets kan maken dat er na de post actie een captcha komt.
Als je die verkeerd intikt verwijder je gewoon de post alsnog

[pim]

Kan ik je ook gelijk vertellen dat dat niet werkt.. Het zijn, met alle respect, zoveel plakband oplossingen die hier worden aangedragen in deze topic.