• 69763
  • 1363
  • 82
Нравится блог?
Подписывайтесь!

Толпа, контроль, власть ... Kаптча?

Контролируя толпу вы получаете власть.

На yvision есть пару тысяч активных учётных записей, и есть 13-14 000 заброшенных учётных записей, клонов и т.д. - то есть толпа.

Как можно контролировать толпу здесь на yvision? Легко. Так как пароли у большинства этих пользователей достаточно лёгкие для подбора, достаточно воспользоваться соответствующей программой и получить себе под контроль пару тысяч таких пользователей. Это уже было продемонстрировано (ни мною).

Ответом на это мы получили Каптчу на странице входа. Это конечно затрудняет процесс. Но странный выбор типа каптчи сразу бросился мне в глаза и я решил проверить надёжность этого решения.

Решение оказалось совсем ненадёжным. В доказательство этому я написал скрипт, который способен опозновать каптчу с точностью примерно 80% (легко довести до 90%). Этот скрипт делает следующее:
  • Берёт картинку 
  • Убирает мусор  
  • Разделяет символы и сравнивает с заранее заготовленной библиотекой символов.
  • Найдя наименьшую разницу выдаёт ответ

Ниже привожу сам код (20 строк Python):

import Image,ImageEnhance,ImageFilter

etalons = [(symbol, Image.open('%s.png' % symbol) for symbol in '23456789bcdfhjkmnpqrstvwxz']
for symbol in ('23456789bcdfhjkmnpqrstvwxz'):
etalons.append((symbol, Image.open('%s.png' % symbol)))

def solve(img):
img = im.filter(ImageFilter.MinFilter).filter(ImageFilter.DETAIL).filter(ImageFilter.MaxFilter)
img = Image.eval(ImageEnhance.Color(img).enhance(0.0),lambda i: i < 100 and 1 or 255)
solution = []
for part in range(1,4):
slice = img.transform((8,28),Image.EXTENT,(5 + 10*part,0,5 + 10*part + 8,28))
px_data = [d[0] for d in slice.getdata()]
for top in range(0,10):
if sum([(d == 255 and 1 or 2) - 1 for d in px_data [8*top :8*(top + 1)]]) != 0:
break
slice = slice.transform((8,16),Image.EXTENT, (0,top,8,top + 16))
difs = []
for etalon in etalons:
deltas = [(d2[0] != d1[0] and 1 or 0) for d1,d2 in zip(slice.getdata(),etalon[1].getdata())]
difs.append((sum(deltas),etalon[0]))
solution.append(min(difs, key = lambda v:v[0])[1])
return solution

библиотека символов:

 

P.S. к сожалению я до сих пор немогу найти как сохранить alignment в коде, а для Python это очень важно. Подскажите пожалуйста. Сам код можно скачать так же по этой ссылке: Python code

Vitaliy Tsvayer tsvayer
17 октября 2010, 19:11
1659

Загрузка...
Loading...

Комментарии

что бы мы без вас делали...
ыыы:) кажется его кто-то не любит?:)
супер
распознавание это всегда очень интересно)
интересно, это точно
tsvayer, Вы такой исследователь лагов\ошибок\недочетов ювилюшечки,что я Вами восхищаюсь :)
мне бы такую страсть в каком-то деле, свою работу я не перерабатываю даже на минуту)))
Так конечно трудно работать. Но на работе бывает такая рутина, что там хоть как люби своё дело, не поможет.
по-моему надо использовать recaptcha - бесплатный сервис каптчи, который очень сложно взломать и при помощи которого к тому же оцифровываются книги
Наверно, придется вернуть. :) Использовали на регистрации, иногда лагал.
а я удивился почему на регистрации recaptcha а на входе нет.
да, что то вроде того нужно, но ни как ни ровный шрифт даже без наклона
E-Man
0
0
Давайте взломаем эти все многотысячные акк?!!!! *злой смех*
E-Man
0
0
Заплюсуем себя, заминусуем администрацию!
не интересно получается :)
Засрем юви =) Очень интересно! Вы же можете сделать так, чтобы каждый акк который мы взломаем, напишет пост: "Засрем Юви" =) Интересно?
почему то нет :-/
в голове один только вопрос, а дельше то что?
А дальше мы станем хозяевами Юви! Бугагагагага *злой смех*
Скучно, когда все легко.
1. получаем хеш пароля
2. получаем пароль исследуя хеш-функцию
3. проверяем его совпадение с паролем на почту
4. шлём спам с этой почты и на эту почту

ещё можно попытаться залогиниться в вебмани, яд и пр. )
Вот он штаб ботов)
Я пару лет назад для phpBB написал распознаватель каптчи ) потом для ipb и еще для нескольких) по такой же схеме кстати )
интересно, а комменты E-Man зашибись))) tsvayer, вы где учились?
ITU (Istanbul Technical University)
а как поступали туда?
раньше был такой экзамен YÖS. Но в этом году была вот такая информация, незнаю на сколько достоверная: "YÖS в этом году был в последний раз. С этого года каждый универ. самостоятельно устанавливает условия приема иностранных студентов (помимо экзамена YÖS). Поэтому заходите на сайт интересующего университета и смотрите (только не все универы еще опубликовали свои условия). Некоторые университеты уже с этого года проводят свой экзамен."
адрес ITU www.itu.edu.tr
Да-да, капча легкая. В свое время занимался очисткой и натаскиванием ФайнРидера в автоматическом режиме. Капча на юви только бесит, мне теперь просто лень логиниться для комментирования.
reCaptcha я иногда сам затрудняюсь прочитать что там написано :)
megido
0
0
не говори ) надеюсь теперь количество подобных инцидентов уменьшится
я вспомнил, что здесь на yvision, кто то говорил, что написал plugin wordpress для кросспостинга на yvision.
Получается что этот плугин теперь не работает?
Интересно кстати, помню тогда многие радовались по этому поводу, что мол наконец то. Однако сейчас никто не жалуется :) Значит...
признаю, без Вас было бы однозначно скучно...и цветы были о*уенны!
а вам с тех пор кто-нибудь уже дарил цветы? :)
такие, как Вы дарили-нет)))
Madboy
0
0
Эмммм я тут наткнулся на вас так вот насколько я помню то recaptcha можно опять таки взломать посредством charles-а который тупо перехватит данные, которые можно изменить уже на готовые, так как данные капчи статичные: www.google.com Написанно: Otherwise nerba Так вот я хочу узнать можете ли вы создать скрипт, либо программку которая посредством Charles-a будет автоматом менять входные данные и высылать им уже заранее подготовленный ответ. Главная особенность чтобы можно было заранее подготовить 150-5000 заранее подготовленных ответов для 150-5000 каптч и чтобы он автоматом их юзал? Можна?
если верить вот этому: markmail.org То на reCaptcha не возможны replays. можно конечно проверить, но думаю что через столько лет такие обходы уже закрыли. Тем более они об этом говорят здесь www.captcha.net "Building a secure CAPTCHA code is not easy. In addition to making the images unreadable by computers, the system should ensure that there are no easy ways around it at the script level. Common examples of insecurities in this respect include: (1) Systems that pass the answer to the CAPTCHA in plain text as part of the web form. (2) Systems where a solution to the same CAPTCHA can be used multiple times (this makes the CAPTCHA vulnerable to so-called "replay attacks"). Most CAPTCHA scripts found freely on the Web are vulnerable to these types of attacks."
Madboy
0
0
Интересна, я както читал ветку на закрытом форуме Lockerz-нутых, так вот они там поляки придумали некий скрипт, который юзает Чарлез для автоматического изменения входных и исходящих данных от repactcha. И то что вы говорите про replays да стоит защита если воспользоваться один раз на одном компьютере с одного ипа и кукиса, то второй раз он не выдаст такую капчу, но этаже капча может быть показана на другом компе с другой конфигой, с другим ипом и другими кукис данными (про кукисы точно не знаю, но предполагаю что они тоже требуются), так как одну и ту же капчу вбивают не единожды, ибо ее неимоверное число раз вбивают другие юзеры проверяя и подтверждая друг друга тем самым помогая "оцифровывать книги". Так вот идея заключается в следующем: возьмем один комп с другим инетом, автоматизированно собираем на нем нужные данные каптчи, и ответы на неё, записываем и собираем все в базу данных для проги. На втором компе с другим инетом создаем прогу-скрипт который автоматически юзает Чарлез и перехватывая данные Recaptcha автоматически меняет их на заранее подготовленные данные, а какой нить скрипток тут же вводит правильный ответ на данную капчу. Причем получается так что на втором компе нету никакого replay ибо для него эта капча высвечивается впервые. При нужном количестве человек юзающих метод (найти не проблема) можно обмениваться своими подготовленными базами данных между собой чтобы не мучатся и не Replay-ить. Я не прогер, не подумай, просто заинтересован в этом, поэтому такие вот абстрактные мысли у меня. Для чего? Да просто как то фигней страдал на lockerz.com урвал на халяву там парочку призов от Paypal до iPodа (прислали в КЗ), но сейчас другая система там на аукцион причем разменной валютой являются PTZ которые набрать как делать нефига, так вот там на аукционе дофига всяческих различных лотов от Rayban до Xbox и более разыгрываются каждый час (правдо теперь они не отправляют в страны вне США, а заменяют их денежным эквивалентом на AlertPay и Paypal, с последним вообще не проблема ибо у меня американский аккаунт Paypal с моим Американским банковским счетом, так что бабки принимать могу), причем каждые 3 секунды перебивают ставку, и поэтому выиграть что либо своими ручками достаточно трудно, так вот когда делаешь ставку все что нужно просто ввести вовремя правильно капчу от recaptcha, и все. Надеюсь ты понял меня =)))
у каждого сайта(клиента reCaptcha) есть свой public and private key. Browser делает запрос на сервер reCaptcha, в котором посылается public key сайта, в ответ получаем "a challenge and a token that identifies the challenge." Затем вы вводите ответ и посылаете его вместе с Token на сервер сайта, который в свою очередь делает запрос на reCaptcha сервер посылая туда private key, Token, ваш ответ и ваш IP. Таким образом, одна и та же каптча на разных сайтах, разных client IP и возможно в разные промежутки времени будут иметь разные Token. Таким образом получается, что использование уже известных вариантов бесполезно. Мешает Token. Но это теоретически, нужно проверить как на практике.
Интересненько получается, насчет того что на разных сайтах не будет работать, думаю проблемы не будет если брать базу данных именно с этого сайта, куда мы потом будем вводить с другого компа, Так ведь приват и паблик кеи мы не затронем получается, главное чтобы Токены были этакими статичными, что таки не известно. Почему то мне кажется что есть надежда что все сработает =)

Оставьте свой комментарий

Спасибо за открытие блога в Yvision.kz! Чтобы убедиться в отсутствии спама, все комментарии новых пользователей проходят премодерацию. Соблюдение правил нашей блог-платформы ускорит ваш переход в категорию надежных пользователей, не нуждающихся в премодерации. Обязательно прочтите наши правила по указанной ссылке: Правила

Также можно нажать Ctrl+Enter

Популярные посты

Почему я больше не поеду отдыхать на северное побережье Алаколя

Почему я больше не поеду отдыхать на северное побережье Алаколя

Нам казалось, что на Алаколе мы сможем хорошо отдохнуть, расслабиться и набраться сил на весь следующий год. Вроде, и достаточно бюджетно, и не так далеко.
RisKaS
26 июня 2017 / 18:05
  • 8116
  • 38
ЭКСПО-2017. Каким бы правдоподобным ни казался обман, он всё равно раскроется

ЭКСПО-2017. Каким бы правдоподобным ни казался обман, он всё равно раскроется

Изначально про ЭКСПО было очень много слухов. Лишь только усаживаясь в поезд «тальго» до Астаны, мы уже были изрядно загружены этими слухами. Кто их запускал, для чего – отдельный вопрос..
openqazaqstan
27 июня 2017 / 15:45
  • 7387
  • 41
Эксперимент. Два парня и девушка в поисках лучшего донера в Астане

Эксперимент. Два парня и девушка в поисках лучшего донера в Астане

Нас трое: девушка и двое парней. Мы обошли 7 заведений, где продают донеры. Оценивали по 10-бальной шкале только по вкусовым качествам донера. Никто нам за рекламу не платил, бесплатными донерами не кормил!
nargiz_15
27 июня 2017 / 10:08
  • 6459
  • 15
На каких улицах города Алматы вы точно попадете в «пробку»

На каких улицах города Алматы вы точно попадете в «пробку»

Строятся пешеходные и велосипедные дорожки, трамвайные пути "сносят", а главная традиция нашего мегаполиса - замена подземных коммуникаций и в этом году не была нарушена.
beoblod
26 июня 2017 / 17:22
  • 4186
  • 3
Где отлично провести летние месяцы с пользой для здоровья и кошелька?

Где отлично провести летние месяцы с пользой для здоровья и кошелька?

Я обратил внимание, что в случае с уникальными природными зонами Павлодарской области применима поговорка: «что имеем – не ценим», а ведь они легко могли бы стать международными курортами.
Muzalevskiy
23 июня 2017 / 22:57
  • 3612
  • 11
Это «колхозное сооружение» вредит имиджу города. Я, как алматинка, против!

Это «колхозное сооружение» вредит имиджу города. Я, как алматинка, против!

Почему эту трубу не проложили под землей? Она обезображивает улицу, как дикий багровый шрам от раны, зашитой равнодушным, криворуким и ленивым хирургом, обезображивает лицо.
ValentinaVladimirska
23 июня 2017 / 12:10
  • 2914
  • 45
На Иссык-Куль через Юг. Не бойтесь ехать в Киргизию своим ходом!

На Иссык-Куль через Юг. Не бойтесь ехать в Киргизию своим ходом!

Очень живописная и бюджетная поездка вдоль всего берега по Иссык-Кулю! Мы, две обаятельные девушки, поехали вдвоем, подготовленные к совершенно автономной жизни в палатке, и ни разу ничего не...
yelenasergiyenko
22 июня 2017 / 13:20
  • 3127
  • 23
Неравенство в Казахстане – доходы самых богатых граждан в 6 раз больше заработка бедных

Неравенство в Казахстане – доходы самых богатых граждан в 6 раз больше заработка бедных

Почти 46% расходов казахстанцев уходит на продукты. При этом бедные казахстанцы стали есть меньше, богатые - больше. Инфографика
ZonaKZ
25 июня 2017 / 9:06
  • 2566
  • 23
Миф о героях нашего времени: «Они лишь дешевые подделки»

Миф о героях нашего времени: «Они лишь дешевые подделки»

Они назвали лизоблюдство – нетворкинг. Они назвали бессовестное самохвальство – селфбрендинг. Они назвали беспринципность и отсутствие морали – гибкость и креативный подход.
Aks_Ras
22 июня 2017 / 17:32
  • 2253
  • 12