• 69287
  • 1363
  • 83
Нравится блог?
Подписывайтесь!

Толпа, контроль, власть ... Kаптча?

Контролируя толпу вы получаете власть.

На yvision есть пару тысяч активных учётных записей, и есть 13-14 000 заброшенных учётных записей, клонов и т.д. - то есть толпа.

Как можно контролировать толпу здесь на yvision? Легко. Так как пароли у большинства этих пользователей достаточно лёгкие для подбора, достаточно воспользоваться соответствующей программой и получить себе под контроль пару тысяч таких пользователей. Это уже было продемонстрировано (ни мною).

Ответом на это мы получили Каптчу на странице входа. Это конечно затрудняет процесс. Но странный выбор типа каптчи сразу бросился мне в глаза и я решил проверить надёжность этого решения.

Решение оказалось совсем ненадёжным. В доказательство этому я написал скрипт, который способен опозновать каптчу с точностью примерно 80% (легко довести до 90%). Этот скрипт делает следующее:
  • Берёт картинку 
  • Убирает мусор  
  • Разделяет символы и сравнивает с заранее заготовленной библиотекой символов.
  • Найдя наименьшую разницу выдаёт ответ

Ниже привожу сам код (20 строк Python):

import Image,ImageEnhance,ImageFilter

etalons = [(symbol, Image.open('%s.png' % symbol) for symbol in '23456789bcdfhjkmnpqrstvwxz']
for symbol in ('23456789bcdfhjkmnpqrstvwxz'):
etalons.append((symbol, Image.open('%s.png' % symbol)))

def solve(img):
img = im.filter(ImageFilter.MinFilter).filter(ImageFilter.DETAIL).filter(ImageFilter.MaxFilter)
img = Image.eval(ImageEnhance.Color(img).enhance(0.0),lambda i: i < 100 and 1 or 255)
solution = []
for part in range(1,4):
slice = img.transform((8,28),Image.EXTENT,(5 + 10*part,0,5 + 10*part + 8,28))
px_data = [d[0] for d in slice.getdata()]
for top in range(0,10):
if sum([(d == 255 and 1 or 2) - 1 for d in px_data [8*top :8*(top + 1)]]) != 0:
break
slice = slice.transform((8,16),Image.EXTENT, (0,top,8,top + 16))
difs = []
for etalon in etalons:
deltas = [(d2[0] != d1[0] and 1 or 0) for d1,d2 in zip(slice.getdata(),etalon[1].getdata())]
difs.append((sum(deltas),etalon[0]))
solution.append(min(difs, key = lambda v:v[0])[1])
return solution

библиотека символов:

 

P.S. к сожалению я до сих пор немогу найти как сохранить alignment в коде, а для Python это очень важно. Подскажите пожалуйста. Сам код можно скачать так же по этой ссылке: Python code

Vitaliy Tsvayer tsvayer
17 октября 2010, 19:11
1649

Loading...

Комментарии

что бы мы без вас делали...
ыыы:) кажется его кто-то не любит?:)
супер
распознавание это всегда очень интересно)
интересно, это точно
tsvayer, Вы такой исследователь лагов\ошибок\недочетов ювилюшечки,что я Вами восхищаюсь :)
мне бы такую страсть в каком-то деле, свою работу я не перерабатываю даже на минуту)))
Так конечно трудно работать. Но на работе бывает такая рутина, что там хоть как люби своё дело, не поможет.
по-моему надо использовать recaptcha - бесплатный сервис каптчи, который очень сложно взломать и при помощи которого к тому же оцифровываются книги
Наверно, придется вернуть. :) Использовали на регистрации, иногда лагал.
а я удивился почему на регистрации recaptcha а на входе нет.
да, что то вроде того нужно, но ни как ни ровный шрифт даже без наклона
E-Man
0
0
Давайте взломаем эти все многотысячные акк?!!!! *злой смех*
E-Man
0
0
Заплюсуем себя, заминусуем администрацию!
не интересно получается :)
Засрем юви =) Очень интересно! Вы же можете сделать так, чтобы каждый акк который мы взломаем, напишет пост: "Засрем Юви" =) Интересно?
почему то нет :-/
в голове один только вопрос, а дельше то что?
А дальше мы станем хозяевами Юви! Бугагагагага *злой смех*
Скучно, когда все легко.
1. получаем хеш пароля
2. получаем пароль исследуя хеш-функцию
3. проверяем его совпадение с паролем на почту
4. шлём спам с этой почты и на эту почту

ещё можно попытаться залогиниться в вебмани, яд и пр. )
Вот он штаб ботов)
Я пару лет назад для phpBB написал распознаватель каптчи ) потом для ipb и еще для нескольких) по такой же схеме кстати )
интересно, а комменты E-Man зашибись))) tsvayer, вы где учились?
ITU (Istanbul Technical University)
а как поступали туда?
раньше был такой экзамен YÖS. Но в этом году была вот такая информация, незнаю на сколько достоверная: "YÖS в этом году был в последний раз. С этого года каждый универ. самостоятельно устанавливает условия приема иностранных студентов (помимо экзамена YÖS). Поэтому заходите на сайт интересующего университета и смотрите (только не все универы еще опубликовали свои условия). Некоторые университеты уже с этого года проводят свой экзамен."
адрес ITU www.itu.edu.tr
Да-да, капча легкая. В свое время занимался очисткой и натаскиванием ФайнРидера в автоматическом режиме. Капча на юви только бесит, мне теперь просто лень логиниться для комментирования.
reCaptcha я иногда сам затрудняюсь прочитать что там написано :)
megido
0
0
не говори ) надеюсь теперь количество подобных инцидентов уменьшится
я вспомнил, что здесь на yvision, кто то говорил, что написал plugin wordpress для кросспостинга на yvision.
Получается что этот плугин теперь не работает?
Интересно кстати, помню тогда многие радовались по этому поводу, что мол наконец то. Однако сейчас никто не жалуется :) Значит...
признаю, без Вас было бы однозначно скучно...и цветы были о*уенны!
а вам с тех пор кто-нибудь уже дарил цветы? :)
такие, как Вы дарили-нет)))
Madboy
0
0
Эмммм я тут наткнулся на вас так вот насколько я помню то recaptcha можно опять таки взломать посредством charles-а который тупо перехватит данные, которые можно изменить уже на готовые, так как данные капчи статичные: www.google.com Написанно: Otherwise nerba Так вот я хочу узнать можете ли вы создать скрипт, либо программку которая посредством Charles-a будет автоматом менять входные данные и высылать им уже заранее подготовленный ответ. Главная особенность чтобы можно было заранее подготовить 150-5000 заранее подготовленных ответов для 150-5000 каптч и чтобы он автоматом их юзал? Можна?
если верить вот этому: markmail.org То на reCaptcha не возможны replays. можно конечно проверить, но думаю что через столько лет такие обходы уже закрыли. Тем более они об этом говорят здесь www.captcha.net "Building a secure CAPTCHA code is not easy. In addition to making the images unreadable by computers, the system should ensure that there are no easy ways around it at the script level. Common examples of insecurities in this respect include: (1) Systems that pass the answer to the CAPTCHA in plain text as part of the web form. (2) Systems where a solution to the same CAPTCHA can be used multiple times (this makes the CAPTCHA vulnerable to so-called "replay attacks"). Most CAPTCHA scripts found freely on the Web are vulnerable to these types of attacks."
Madboy
0
0
Интересна, я както читал ветку на закрытом форуме Lockerz-нутых, так вот они там поляки придумали некий скрипт, который юзает Чарлез для автоматического изменения входных и исходящих данных от repactcha. И то что вы говорите про replays да стоит защита если воспользоваться один раз на одном компьютере с одного ипа и кукиса, то второй раз он не выдаст такую капчу, но этаже капча может быть показана на другом компе с другой конфигой, с другим ипом и другими кукис данными (про кукисы точно не знаю, но предполагаю что они тоже требуются), так как одну и ту же капчу вбивают не единожды, ибо ее неимоверное число раз вбивают другие юзеры проверяя и подтверждая друг друга тем самым помогая "оцифровывать книги". Так вот идея заключается в следующем: возьмем один комп с другим инетом, автоматизированно собираем на нем нужные данные каптчи, и ответы на неё, записываем и собираем все в базу данных для проги. На втором компе с другим инетом создаем прогу-скрипт который автоматически юзает Чарлез и перехватывая данные Recaptcha автоматически меняет их на заранее подготовленные данные, а какой нить скрипток тут же вводит правильный ответ на данную капчу. Причем получается так что на втором компе нету никакого replay ибо для него эта капча высвечивается впервые. При нужном количестве человек юзающих метод (найти не проблема) можно обмениваться своими подготовленными базами данных между собой чтобы не мучатся и не Replay-ить. Я не прогер, не подумай, просто заинтересован в этом, поэтому такие вот абстрактные мысли у меня. Для чего? Да просто как то фигней страдал на lockerz.com урвал на халяву там парочку призов от Paypal до iPodа (прислали в КЗ), но сейчас другая система там на аукцион причем разменной валютой являются PTZ которые набрать как делать нефига, так вот там на аукционе дофига всяческих различных лотов от Rayban до Xbox и более разыгрываются каждый час (правдо теперь они не отправляют в страны вне США, а заменяют их денежным эквивалентом на AlertPay и Paypal, с последним вообще не проблема ибо у меня американский аккаунт Paypal с моим Американским банковским счетом, так что бабки принимать могу), причем каждые 3 секунды перебивают ставку, и поэтому выиграть что либо своими ручками достаточно трудно, так вот когда делаешь ставку все что нужно просто ввести вовремя правильно капчу от recaptcha, и все. Надеюсь ты понял меня =)))
у каждого сайта(клиента reCaptcha) есть свой public and private key. Browser делает запрос на сервер reCaptcha, в котором посылается public key сайта, в ответ получаем "a challenge and a token that identifies the challenge." Затем вы вводите ответ и посылаете его вместе с Token на сервер сайта, который в свою очередь делает запрос на reCaptcha сервер посылая туда private key, Token, ваш ответ и ваш IP. Таким образом, одна и та же каптча на разных сайтах, разных client IP и возможно в разные промежутки времени будут иметь разные Token. Таким образом получается, что использование уже известных вариантов бесполезно. Мешает Token. Но это теоретически, нужно проверить как на практике.
Интересненько получается, насчет того что на разных сайтах не будет работать, думаю проблемы не будет если брать базу данных именно с этого сайта, куда мы потом будем вводить с другого компа, Так ведь приват и паблик кеи мы не затронем получается, главное чтобы Токены были этакими статичными, что таки не известно. Почему то мне кажется что есть надежда что все сработает =)

Оставьте свой комментарий

Спасибо за открытие блога в Yvision.kz! Чтобы убедиться в отсутствии спама, все комментарии новых пользователей проходят премодерацию. Соблюдение правил нашей блог-платформы ускорит ваш переход в категорию надежных пользователей, не нуждающихся в премодерации. Обязательно прочтите наши правила по указанной ссылке: Правила

Также можно нажать Ctrl+Enter

Популярные посты

Архивные фотографии Алма-Аты из семейного альбома. Ностальгический пост

Архивные фотографии Алма-Аты из семейного альбома. Ностальгический пост

Насобирал разных фотографий про наш город, из семейного архива. Фотографии не от сканированные, а пересняты на телефон. Давно хотел выставить, но не решался) Сейчас уже мы все поменялись, уже...
Ispanec
22 февр. 2017 / 11:05
  • 11950
  • 23
«Ау, дорогой, проснись! 21 век на дворе давно!». Бездипломный-безработный-бесквартирный!

«Ау, дорогой, проснись! 21 век на дворе давно!». Бездипломный-безработный-бесквартирный!

Ну реально же, парни, откуда вы только беретесь такие простые, а? Я сейчас просто расскажу несколько историй из личного опыта, и судите сами – нормально это? Но для начала расскажу немного о себе...
socium_kzo
22 февр. 2017 / 11:38
  • 6791
  • 93
Вспомнились слова однокурсника: «Не завидую твоему будущему мужу»

Вспомнились слова однокурсника: «Не завидую твоему будущему мужу»

Среди моих знакомых есть одна милая девушка, она тоже молодая мама как и я. Очень открытая, видная, недавно вышла на работу. У нее счастливая семья и все, тьфу-тьфу, складывается хорошо.
Roza_pvl
19 февр. 2017 / 11:49
  • 5896
  • 43
Диана Шурыгина – жертва или змея? Девочка красивая, а весь мир судит её именно за это

Диана Шурыгина – жертва или змея? Девочка красивая, а весь мир судит её именно за это

Я совсем не смотрю передачу "Пусть говорят", слишком много ругани и негатива, но новость про какую-то девушку заполонила все мои социальные сети, я открыла youtube и посмотрела несколько передач...
Roza_pvl
22 февр. 2017 / 11:49
  • 4853
  • 33
Как купить свое жилье при зарплате в 100 тысяч тенге

Как купить свое жилье при зарплате в 100 тысяч тенге

Итак, по просьбам трудящихся и по крикам души коллективного бессознательного решила я написать пост на эту тему. Вводные данные: 1) нет имущества, которое можно продать для покупки собственного...
DanaJarlygapova
20 февр. 2017 / 16:17
  • 4151
  • 46
50 бизнес-встреч с лучшими предпринимателями Астаны. «Наш бизнес начинался как хобби»

50 бизнес-встреч с лучшими предпринимателями Астаны. «Наш бизнес начинался как хобби»

Друзья, представляю вашему вниманию второго героя моей рубрики "50 бизнес-встреч с лучшими (по моей версии) предпринимателей Астаны за 100 дней" - Асхата Солтанова!
Kultursyn
20 февр. 2017 / 12:46
  • 3945
  • 18
Я не националист, но выйду замуж только за казаха. 22 факта обо мне

Я не националист, но выйду замуж только за казаха. 22 факта обо мне

Всем доброго времени суток! Поскольку сейчас долгожданные выходные, я болею и имею полное право ничего не делать за чашечкой горячего чая, то решила все-таки написать этакий скромный пост о себе...
Sserikyzy
18 февр. 2017 / 16:35
Замуж в 27. Это как отправиться на войну, но без оружия

Замуж в 27. Это как отправиться на войну, но без оружия

Я очень долго думала писать данный пост или нет. Потому, что тема очень тонкая, возможно кого-то может задеть, а, возможно, наоборот кому-то откроет глаза. Тема замужества в каждом поколении была и...
Adilyan
21 февр. 2017 / 20:22
  • 3481
  • 18
Диана Шурыгина как один из PR-инструментов продвижения своего товара и бренда

Диана Шурыгина как один из PR-инструментов продвижения своего товара и бренда

Простому обывателю социальных сетей уже известно, что самой обсуждаемой персоной в последнее время является печально известная 16-ти летняя девушка из Ульяновска Диана Шурыгина.
tala03
21 февр. 2017 / 13:27
  • 3277
  • 13