SHA256 hashini istemciye gnderirsen adam çok basit bi script ile aynı hashi sana geri gnderir hocam. never say never...

beyler kimse anlamamış sanırım. kontrolü gene sunucu tarafında yapacağım zaten. Yani sesion ya da DB de son oluşturulan captchanın değerini tutup. Gnderilen captcha sonucu ile aynı olup olmadığını sunucuda kontrol edeceğim zaten. Sadece yanlış kod girişlerinde, girilen verileri daha sunucuya gndermeden client tarafında gstermek ve yeniden captcha kodunu oluşturmayı engellemek amacım. DrKill tarafından 01/May/15 15:27 tarihinde düzenlenmiştir Bu imzayı her grdüğünüzde 4gb kotanızın 0,00000358559191226959228515625 azalmaktadır. Bilerek ve istenerek bu imza yapılmıştır. Amaç kotanızı smürmektir

Şimdi anladım hocam ne demek istediğini. Dediğin mantık doğru ama %70-%80 oranını okumayı başarmış birisi varsa zaten %100nüde okur gibi geliyor. Amma velakin senin mantığındanda gitsek gene işler çok karışık. 7 karakterli bir captcha'nın 5'ni doğru okuyan bir reader 2 karakterini okuyamadığını ya da yanlış okuduğunu varsaylım. Bu okuyamadığı iki karakter neresi? Son iki karakter mi? 3. ve 7. karakter mi? Okuyamadığı karakterlerin yerini belirlemek zaten insan gzüyle yapılacak birşey. Bunu insan gzüyle yaparsan bota gerek yok. İnsan gzüyle yapmayıp olasılıkları denersen? İşte burada botun olasılıkları deneyerek doğru sonuca ulaşacak kadar kaliteli olması için 1-) kaç karakteri okuyamadığını doğru tespit edebilmesi gerekmekte. 2-) bu karakterlerin kaçıncı karakterler olduğunuda tespit edebilmesi gerekmekte. E bunları yapabilen bot zaten sha256 yı brute force ile kırmaktansa, gz ucuyla 2 karakterin girilmesini istemesi daha hızlı sonuç almasına sebep olacaktır. Ben bu olasılığın olacağını pek sanmıyorum hocam. Yani olabilir ama captcha'nın kalitesine bağlı bir durum açıkçası. Ya da hepsini sie edip google capcha kullanacaksın ki o da integral sorusu çzmek kadar zorlaştırıyor işlemleri, deneyimsiz son kullanıcı açısından. Hocam bilmiyorum daha nce makine ğrenmesi temelli şeylerle çalıştın mı? Ama işler tam o şekilde yürümüyor :) Mesela gelen kod 7a254b olsun bunu çzmeye çalışan bot sana 1a254b,7a254b,7o254b gibi 3-4 tane alternatifin olasılıklarını yüksek bulur. Sırası ile yüksek ihtimalliden düşük ihtimalliye doğru gider. Ha şu an piyasada pazarlanan captcha readerların ne kadarı bu derece kasmış bilmiyorum, ayrıca kullandığın captcha ne kadar karmaşık onu da bilmiyorum. Ayrıca sistemini atlatmak kişiye fayda sağlar mı onu da bilmiyorum :) Kullandığın captcha'dan rnek bir tane yollar mısın? Merak ettim. There are 10 types of people in the world. Those who knows binary and those who dont...

DrKill bunu yazdı NmC bunu yazdı Hocam byle bir durumda da adam brute force işini localde deneyeceği için eğer captcha'nı atlatacaksa daha kolay atlatır. Tamam sunucuya yük binmez ama yanlış girilen captcha için doğrusunu bulana kadar tekrar tekrar deneme şansı veriyorsun. Normalde aynı captcha iki kere gsterilmez işin raconu budur :D Bu arada form'un tekrar doldurulmasını istemiyorsan, request'i ajax şeklinde yapıp halledebilirsin de. Hocam brute force işide zor. SHA256 dan bahsediyorum ki bunu tek sefer için düşünürsek. 2 üzeri 256 bir eder. SHA256dan işlemi 2 kere geçirirsen zaten bu olasılık katlanıyor. (1,1579208923731619542357098500869 10 ÜZERİ 77 ) ÇARPI (1,1579208923731619542357098500869 10 ÜZERİ 77 ) eder ki. İmkansıza yakın bir bulunma olasılı ortaya çıkıyor. Yaklaşık 10 ÜZERİ 144 de bir olasılık çıkıyor. Bunu yakalayacak adamın süper computer'ı olması lazım ki kıçı kıytırık form hackleme işlemi ile uğraşabilsin. Zaten süper computer'ıda olsa düzgün bir içeriği kırması YıLLAR alır. MD5 den bahsetmiyoruz burada. Aşağıda bununla ilgili bir makale var. http://stackoverflow.com/questions/6776050/how-long-to-brute-force-a-salted-sha-512-hash-salt-provided Yok hocam kastettiğim şey o değil. Adamın yazdığı bot bir oranda captcha okuyodur (genelde %70-%80 oranında çalışıyor captcha readerlar.) Bir kere denedikten sonra yeni kod gelmesi bu oranı koruyor. Fakat senin durumda adamın en yüksek ihtimal tutacak n kombinasyonunu üst üste deneme şansı ortaya çıkıyor. Şimdi anladım hocam ne demek istediğini. Dediğin mantık doğru ama %70-%80 oranını okumayı başarmış birisi varsa zaten %100nüde okur gibi geliyor. Amma velakin senin mantığındanda gitsek gene işler çok karışık. 7 karakterli bir captcha'nın 5'ni doğru okuyan bir reader 2 karakterini okuyamadığını ya da yanlış okuduğunu varsaylım. Bu okuyamadığı iki karakter neresi? Son iki karakter mi? 3. ve 7. karakter mi? Okuyamadığı karakterlerin yerini belirlemek zaten insan gzüyle yapılacak birşey. Bunu insan gzüyle yaparsan bota gerek yok. İnsan gzüyle yapmayıp olasılıkları denersen? İşte burada botun olasılıkları deneyerek doğru sonuca ulaşacak kadar kaliteli olması için 1-) kaç karakteri okuyamadığını doğru tespit edebilmesi gerekmekte. 2-) bu karakterlerin kaçıncı karakterler olduğunuda tespit edebilmesi gerekmekte. E bunları yapabilen bot zaten sha256 yı brute force ile kırmaktansa, gz ucuyla 2 karakterin girilmesini istemesi daha hızlı sonuç almasına sebep olacaktır. Ben bu olasılığın olacağını pek sanmıyorum hocam. Yani olabilir ama captcha'nın kalitesine bağlı bir durum açıkçası. Ya da hepsini sie edip google capcha kullanacaksın ki o da integral sorusu çzmek kadar zorlaştırıyor işlemleri, deneyimsiz son kullanıcı açısından. DrKill tarafından 01/May/15 16:56 tarihinde düzenlenmiştir Bu imzayı her grdüğünüzde 4gb kotanızın 0,00000358559191226959228515625 azalmaktadır. Bilerek ve istenerek bu imza yapılmıştır. Amaç kotanızı smürmektir

DrKill bunu yazdı Şimdi anladım hocam ne demek istediğini. Dediğin mantık doğru ama %70-%80 oranını okumayı başarmış birisi varsa zaten %100nüde okur gibi geliyor. Amma velakin senin mantığındanda gitsek gene işler çok karışık. 7 karakterli bir captcha'nın 5'ni doğru okuyan bir reader 2 karakterini okuyamadığını ya da yanlış okuduğunu varsaylım. Bu okuyamadığı iki karakter neresi? Son iki karakter mi? 3. ve 7. karakter mi? Okuyamadığı karakterlerin yerini belirlemek zaten insan gzüyle yapılacak birşey. Bunu insan gzüyle yaparsan bota gerek yok. İnsan gzüyle yapmayıp olasılıkları denersen? İşte burada botun olasılıkları deneyerek doğru sonuca ulaşacak kadar kaliteli olması için 1-) kaç karakteri okuyamadığını doğru tespit edebilmesi gerekmekte. 2-) bu karakterlerin kaçıncı karakterler olduğunuda tespit edebilmesi gerekmekte. E bunları yapabilen bot zaten sha256 yı brute force ile kırmaktansa, gz ucuyla 2 karakterin girilmesini istemesi daha hızlı sonuç almasına sebep olacaktır. Ben bu olasılığın olacağını pek sanmıyorum hocam. Yani olabilir ama captcha'nın kalitesine bağlı bir durum açıkçası. Ya da hepsini sie edip google capcha kullanacaksın ki o da integral sorusu çzmek kadar zorlaştırıyor işlemleri, deneyimsiz son kullanıcı açısından. Hocam bilmiyorum daha nce makine ğrenmesi temelli şeylerle çalıştın mı? Ama işler tam o şekilde yürümüyor :) Mesela gelen kod 7a254b olsun bunu çzmeye çalışan bot sana 1a254b,7a254b,7o254b gibi 3-4 tane alternatifin olasılıklarını yüksek bulur. Sırası ile yüksek ihtimalliden düşük ihtimalliye doğru gider. Ha şu an piyasada pazarlanan captcha readerların ne kadarı bu derece kasmış bilmiyorum, ayrıca kullandığın captcha ne kadar karmaşık onu da bilmiyorum. Ayrıca sistemini atlatmak kişiye fayda sağlar mı onu da bilmiyorum :) Kullandığın captcha'dan rnek bir tane yollar mısın? Merak ettim. Veri madenciliğinde bahsedilmişti biraz ama makine ğrenmesi hakkında net bilgim yok. Bayes ağları felan birşey var bildiğim kadarıyla. Açıkçası kritik olmayan durumlarda kullanacağım bu yntemi. Dediğin olasılıklar doğru ancak bu iş biraz tercih meselesi. Bu imzayı her grdüğünüzde 4gb kotanızın 0,00000358559191226959228515625 azalmaktadır. Bilerek ve istenerek bu imza yapılmıştır. Amaç kotanızı smürmektir

SHA256 hashini istemciye gnderirsen adam çok basit bi script ile aynı hashi sana geri gnderir hocam. tam olarak o değil dediği. şyle düşün. captcha nın md5 ini de gndericek istemciye. istemci tarafında md5 kırılıp captchayı çıkaramaz içinden. ama submite bastığında girilen inputu md5 leyip gelen md5 le karşılaştırıp tutmuyosa gndermez. gnderdikten sonra zaten sunucu tarafında da kontrol edicek. şey gibi güşün login formuna mailini giriyosun mail dogru formatta girilmişse yeşil yanıyo buda aynı. yeşil yanması login olduğun anlamına gelmiyo ama henüz bi hata yok güzel fikir. tuttum black implies white, self implies other, life implies death.

google capchanın zorluk ayarları var diye biliyorum çoğu sitede bina kapı numarası filan gsteriyor kolayca yazabiliyorsun hatta bir kaç sitede sadece robot değilim diye işaretleyince geçiyordu. :|

Hocam byle bir durumda da adam brute force işini localde deneyeceği için eğer captcha'nı atlatacaksa daha kolay atlatır. Tamam sunucuya yük binmez ama yanlış girilen captcha için doğrusunu bulana kadar tekrar tekrar deneme şansı veriyorsun. Normalde aynı captcha iki kere gsterilmez işin raconu budur :D Bu arada form'un tekrar doldurulmasını istemiyorsan, request'i ajax şeklinde yapıp halledebilirsin de. There are 10 types of people in the world. Those who knows binary and those who dont...

"Eğer zetler eşit ise sunucuya veriler yollanır." eşit değilse ama ben yinede yollarsam? Who is detCode?

NmC bunu yazdı Hocam byle bir durumda da adam brute force işini localde deneyeceği için eğer captcha'nı atlatacaksa daha kolay atlatır. Tamam sunucuya yük binmez ama yanlış girilen captcha için doğrusunu bulana kadar tekrar tekrar deneme şansı veriyorsun. Normalde aynı captcha iki kere gsterilmez işin raconu budur :D Bu arada form'un tekrar doldurulmasını istemiyorsan, request'i ajax şeklinde yapıp halledebilirsin de. Hocam brute force işide zor. SHA256 dan bahsediyorum ki bunu tek sefer için düşünürsek. 2 üzeri 256 bir eder. SHA256dan işlemi 2 kere geçirirsen zaten bu olasılık katlanıyor. (1,1579208923731619542357098500869 10 ÜZERİ 77 ) ÇARPI (1,1579208923731619542357098500869 10 ÜZERİ 77 ) eder ki. İmkansıza yakın bir bulunma olasılı ortaya çıkıyor. Yaklaşık 10 ÜZERİ 144 de bir olasılık çıkıyor. Bunu yakalayacak adamın süper computer'ı olması lazım ki kıçı kıytırık form hackleme işlemi ile uğraşabilsin. Zaten süper computer'ıda olsa düzgün bir içeriği kırması YıLLAR alır. MD5 den bahsetmiyoruz burada. Aşağıda bununla ilgili bir makale var. http://stackoverflow.com/questions/6776050/how-long-to-brute-force-a-salted-sha-512-hash-salt-provided Yok hocam kastettiğim şey o değil. Adamın yazdığı bot bir oranda captcha okuyodur (genelde %70-%80 oranında çalışıyor captcha readerlar.) Bir kere denedikten sonra yeni kod gelmesi bu oranı koruyor. Fakat senin durumda adamın en yüksek ihtimal tutacak n kombinasyonunu üst üste deneme şansı ortaya çıkıyor. There are 10 types of people in the world. Those who knows binary and those who dont...

sayfa açılıp form geldiğinde sayfan bir captcha oluşturup sessiona atasın ve bunu da javascripte hashlanmiş şekilde atsın. form submit edilirken formdan gelen veriyi hashleyerek daha nce oluşturulan hasle karşılaştır değer aynı değilse false dndürüp submit yaptırma captcha yanlış de. hash doğruysa submit işlemi yapılsın yapıldıktan sonra da sunucu taraflı formdan gelen veriyle sessiondaki gerçek captcha değerini karşılaştırsın. Düşündüğün mantıklı bir olay fekat @NmC doğru bir noktaya parmak basmış o açıdan mantıksız bir olay. pesimistzombie tarafından 01/May/15 16:30 tarihinde düzenlenmiştir :|

SHA256 hashini istemciye gnderirsen adam çok basit bi script ile aynı hashi sana geri gnderir hocam. Sunucuda son oluşturulan captcha'nın değeri ile client tarafından yollanan captcha'nın değerini zaten karşılaştıracağım ki? Bu imzayı her grdüğünüzde 4gb kotanızın 0,00000358559191226959228515625 azalmaktadır. Bilerek ve istenerek bu imza yapılmıştır. Amaç kotanızı smürmektir

smok3 bunu yazdı SHA256 hashini istemciye gnderirsen adam çok basit bi script ile aynı hashi sana geri gnderir hocam. tam olarak o değil dediği. şyle düşün. captcha nın md5 ini de gndericek istemciye. istemci tarafında md5 kırılıp captchayı çıkaramaz içinden. ama submite bastığında girilen inputu md5 leyip gelen md5 le karşılaştırıp tutmuyosa gndermez. gnderdikten sonra zaten sunucu tarafında da kontrol edicek. şey gibi güşün login formuna mailini giriyosun mail dogru formatta girilmişse yeşil yanıyo buda aynı. yeşil yanması login olduğun anlamına gelmiyo ama henüz bi hata yok güzel fikir. tuttum Heh hocam sen anlamışsın ne demek istediğimi. Yani normal session kontol işlemine bir client tarafında doğrulama ekliyorum. Captcha'nın sonucunu belli etmeden. Bu imzayı her grdüğünüzde 4gb kotanızın 0,00000358559191226959228515625 azalmaktadır. Bilerek ve istenerek bu imza yapılmıştır. Amaç kotanızı smürmektir

Hocam byle bir durumda da adam brute force işini localde deneyeceği için eğer captcha'nı atlatacaksa daha kolay atlatır. Tamam sunucuya yük binmez ama yanlış girilen captcha için doğrusunu bulana kadar tekrar tekrar deneme şansı veriyorsun. Normalde aynı captcha iki kere gsterilmez işin raconu budur :D Bu arada form'un tekrar doldurulmasını istemiyorsan, request'i ajax şeklinde yapıp halledebilirsin de. Hocam brute force işide zor. SHA256 dan bahsediyorum ki bunu tek sefer için düşünürsek. 2 üzeri 256 bir eder. SHA256dan işlemi 2 kere geçirirsen zaten bu olasılık katlanıyor. (1,1579208923731619542357098500869 10 ÜZERİ 77 ) ÇARPI (1,1579208923731619542357098500869 10 ÜZERİ 77 ) eder ki. İmkansıza yakın bir bulunma olasılı ortaya çıkıyor. Yaklaşık 10 ÜZERİ 144 de bir olasılık çıkıyor. Bunu yakalayacak adamın süper computer'ı olması lazım ki kıçı kıytırık form hackleme işlemi ile uğraşabilsin. Zaten süper computer'ıda olsa düzgün bir içeriği kırması YıLLAR alır. MD5 den bahsetmiyoruz burada. Aşağıda bununla ilgili bir makale var. http://stackoverflow.com/questions/6776050/how-long-to-brute-force-a-salted-sha-512-hash-salt-provided DrKill tarafından 01/May/15 16:23 tarihinde düzenlenmiştir Bu imzayı her grdüğünüzde 4gb kotanızın 0,00000358559191226959228515625 azalmaktadır. Bilerek ve istenerek bu imza yapılmıştır. Amaç kotanızı smürmektir

Captcha doğrulamasını illa kullanıcının girdiği veri sunucuya yollandıktan sonra mı kontrol etmek lazım? Şu şekilde bir mantık düşündüm. Amacım: 1-)Yanlış Captcha girişinde sayfa yenilenmesini, form verilerinin yeniden doldurulmasını engellemek. 2-)Yanlış kod girişleri sonucunda, sunucuda tekrar captcha doğrulamasını ve captcha oluşturulmasını engellemek. Çok az da olsa performans katkısında bulunmak. Yntemim. İstemciye CAPTCHA resmi gnderilir. Ayrıca doğru sonucun SHA256 ile zetlenmiş hali istemciye yollanır. Son kullanıcı form verilerini doldurur ve captcha doğrulama kodunu girip form'u submit eder. Javascript ile form gnderilmeden nce doğrulama koduna girilen değer SHA256 ile zetlenir ve sunucudan gelen SHA256 zeti ile karşılaştırılır. Eğer zetler eşit ise sunucuya veriler yollanır. Eşit değilse submit işi iptal edilir ve sayfa yenilenmeden, kullanıcıya doğrulama kodunu doğru girmesi için uyarıda bulunulur. Bu yntemi düşündüm. Muhtemelen bir güvenlik açığına sebep vermez. Sizinde fikirinizi alayım dedim. Byle bir yntem uygulanıyor mu onuda bilmiyorum açıkçası. NOT: Sunucuda sessionda ya da DB'de, captcha'nın sonucunu zaten tutacağım ve sunucuda kontrol edeceğim. Amacım yanlış captcha yazımlarında sunucuda yeniden captcha oluşturmayı engellemek ve form verilerinin sunucuya tekrar gidip gelmesini engellemek. Bu imzayı her grdüğünüzde 4gb kotanızın 0,00000358559191226959228515625 azalmaktadır. Bilerek ve istenerek bu imza yapılmıştır. Amaç kotanızı smürmektir

Captcha doğrulamasını illa kullanıcının girdiği veri sunucuya yollandıktan sonra mı kontrol etmek lazım? Şu şekilde bir mantık düşündüm. Amacım: 1-)Yanlış Captcha girişinde sayfa yenilenmesini, form verilerinin yeniden doldurulmasını engellemek. 2-)Yanlış kod girişleri sonucunda, sunucuda tekrar captcha doğrulamasını ve captcha oluşturulmasını engellemek. Çok az da olsa performans katkısında bulunmak. Yntemim. İstemciye CAPTCHA resmi gnderilir. Ayrıca doğru sonucun SHA256 ile zetlenmiş hali istemciye yollanır. Son kullanıcı form verilerini doğrular ve captcha doğrulama kodunu girip form'u submit eder. Javascript ile form gnderilmeden nce doğrulama koduna girilen değer SHA256 ile zetlenir ve sunucudan gelen SHA256 zeti ile karşılaştırılır. Eğer zetler eşit ise sunucuya veriler yollanır. Eşit değilse submit işi iptal edilir ve kullanıcıya doğrulama kodunu doğru girmesi için uyarıda bulunulur. Bu yntemi düşündüm. Muhtemelen bir güvenlik açığına sebep vermez. Sizinde fikirinizi alayım dedim. Byle bir yntem uygulanıyor mu onuda bilmiyorum açıkçası. Hocam sunucu tarafında tutmaz isen adam her seferinde doğru bir kod ile onun sha256'sını sürekli gnderirse bunu nasıl engelleyeceksin? Yani her seferinde aynı güvenlik kodunu aynı sha256 ile yollarsa? There are 10 types of people in the world. Those who knows binary and those who dont...