Invision Community Suite 4 [spraga lyg ir, nežinau kaip pavadint]

[elrasho]

Taigi, kažkada domėjaus labiau ips4 forumais, ir pastebėjau kelis dalykus, pirma kad registruojantis daromos užklausos kurios tikrina ar email užimtas ar laisvas, tačiau bandymų kiekis nėra ribojamas, tarkim tokios įmonės kaip paypal, ir panašiai, blokuoja, t.y yra limitas, bet ant ips4 šito nėra, ir tarkim pavogus kokia nors duomenų bazę galima automatizuotai tikrinti ar el. paštas yra registruotas ar ne, galima šitą panaudot social social engineering atakoms ir panašiai, mano manymu saugumo prasme šita funkcija turėtų būt patobulinta, turėtų būt koks nors limitas ar kažkas. Taip pat jeigu bandai prisijungti prie IPS4 forumo skirtingais duomenim, o dar tiksliau email/slapyvardžiu - prisijungimai neblokuojami, nesvarbu kiek užklausų daryčiau, prisijungimas blokuojamas tik tada jeigu bandau tą patį slapyvardį ar el. paštą tam tikrą skaičių, pvz 3 bandymai ir po to 15min ip block. Tai jeigu darant botą kuris automatiškai tikrintų ar vogti duomenys, t.y email užregistruoti, jeigu užregistruoti galima pasidaryt kad automatizuotai tikrintų prisijungimus, tam esu padaręs video:

kaip susitvarkyt? įsidėt recaptcha prisijungime, dėl registracijos nežinau, yra turbūt irgi kokie pluginai ips4 tam

 

P.s kas čia esat moderatoriai, jeigu galit netrinkit, darau čia ne tam kad kenkt kiti galėtų o tam kad kiti galėtų apsisaugot

[S'Jobs]

prieš 3 valandas(-ų), elrasho parašė:

pirma kad registruojantis daromos užklausos kurios tikrina ar email užimtas ar laisvas, tačiau bandymų kiekis nėra ribojamas

Daug kur taip yra. Net registruojant tą patį google email'ą (gmail). Visa tai turbūt dėl patogumo, jog užpildžius visus langelius nereikėtų jų pildyti iš naujo. Beje, kokį CAPTCHA tipą naudojai video filmavimo metu?

prieš 3 valandas(-ų), elrasho parašė:

Taip pat jeigu bandai prisijungti prie IPS4 forumo skirtingais duomenim, o dar tiksliau email/slapyvardžiu - prisijungimai neblokuojami

Naujausia IPS 4.5 versija jau turi CAPTCHA apsaugą prisijungimo metu ir tam nereikia jokio papildomo plugin'o.

[Zero Two]

viskas daroma del UX ir visai geras dalykas, padeda patikrinti ar esi prisiregistraves ar ne. Blokavimas sito butu ne itin protingas dalykas.  Tuolab, ne visur galesi panaudoti toki bota informacijos ieskojimui, nes jei siusi per daug requestu, prades atsaukinet juos, kas be ko, ne visur.