Пара слов о каптче…

[alexeydg]

>1) В форме сообщения об ошибке не следует использовать CAPTCHA — это уже неуважение. Пользователь хочет сообщить вам об ошибке, а вы его с роботом сравниваете и просите пройти еще какой-то тест.

ага конечно, и заспамят вам эту форму роботами, неоднократно с таким связывался

[yanajy]

лучше вообще потерять пользователя вообще? :)

[Razunter]

После кучи спама на мыле приходит мысль, что да, лучше потерять пару юзеров, чем терпеть это дальше.

[mamahtehok]

наверное стоит использовать хороший антиспам фильтр и будет счастье, нет?

[Razunter]

Не совсем. Ведь обычно антиспам работает по незнакомым разным мылам. А тут всё будет идти из одного источника — и спам, и нормальные письма. Соответственно, антиспам не сможет нормально работать и будет пропускать часть спама и блокировать часть нормальных писем.

[helios]

Как вариант — использовать фильтры типа akismet, которые работают не по email-адресу, а по тексту сообщения

Письма же определенные как спам можно не удалять, а складировать, чтобы, скажем, раз в неделю просматривать на предмет неверно определенных

[Barttos]

Если антиспам будет фильтровать по емайл адреса что вам мещает спросить пользователя его емайл и сделать: From: user@email?

[Razunter]

Тогда будет видно, что отправляется не с родного адреса (т.е. не с адреса-хостера мыла) -> велика вероятность спама

[mamahtehok]

хороший, внимание ключевое слово ХОРОШИЙ!!!, антиспам фильтр не опирается на одни лишь адреса отправителей!!!

[foe_nix]

любой бейзов фильтр избавит вас от этой проблемы, со временем… Возможно…

[yanajy]

Я тоже часто задумываюсь над альтернативными методами определения человечности, но, по-моему, CAPTCHA пока что лучший вариант.

Скажем, проверка по количеству обращений не очень хороша тем, что никто не мешает автоматически обращаться с разных IP через proxy. Та же проблема и у временного интервала.

[Guria]

метод определения человечности = CAPTCHA
CAPTCHA != картинка с буквами

[megazhuk]

пока что второе утверждение практически не верно, в отличии от теории.
Жаль.

[basilisk]

облегчение своей жизни за счёт посетителей — не самая удачная мысль в этом случае. они не дураки, и тоже это понимают и будут относиться соответственно.

[TiGR]

Поставьте honeypot.

[Pythoncheg]

It's a TRAP!!!

[AlexeyTokar]

вот чесно не понимаю смысла спамить форму фидбэка. Ведь и ежу понятно что все прийдет на один и тот же ящик…

[NULL_byte]

Флуд, DoS, DDoS.

[AlexeyTokar]

флуд на один почтовый ящик не актуально

досы можно и без формы видбека провернуть

[NULL_byte]

Как же не актуально? Это спам не актуально, а флуд актуально! Например, надо вам конкурентам на сайте сделать так, чтобы пользователи не могли написать в суппорт, и вуаля :)

[AlexeyTokar]

и зачем же мне, что бы клиенты не написали в саппорт?

я там понимаю что б клиенты не совершали покупок, что бы клиенты не могли пользоваться навигацией на сайте, но саппорт…
да и Вы действительно думаете что офильтровать поток флуда из формы фидбэка составит проблему?

[NULL_byte]

На войне все методы хороши:)
Да, думаю составит.

[panas]

> 1) В форме сообщения об ошибке не следует использовать CAPTCHA — это уже неуважение. Пользователь хочет сообщить вам об ошибке, а вы его с роботом сравниваете и просите пройти еще какой-то тест.

А каптча при авторизации на Хабре Вас не смущает?

[yoshitoshi]

А как это? я ее вижу каждый раз, когда перезагружаю браузер, несмотря на то, что пароль вбит в хранилище, и когда я нажимаю «авторизоваться», требуется только ввести капчу…

[kurokikaze]

На Хабре можно сообщить об ошибке в капче по email, хотя бы :)

[makados]

вставлю свои пять копеек :). Лично меня смущает и злит, лично для меня хабр далеко не самый приятный ресурс как для пользователя. Так же раздражает запрет комментировать чаще, чем раз в 5 минут. Уверен, что есть еще куча таких запретов, но с ними не сталкивался, так как в основном читаю. Да и комментировать активно все-равно не дают :)

[makados]

а зачем мне это? У меня нет несдерживаемого желания поделиться с людьми своими мыслями. Именно поэтому мне абсолютно все-равно, какая у меня карма на этом ресурсе, и что ставят за мои комментарии :)

[yanajy]

вы же сами писали, что вас это «смущает и злит» и «раздражает запрет комментировать чаще, чем раз в 5 минут» :)

а теперь пишете, что вам всё равно и нет желания писать комментарии :)

[makados]

я не писал, что нет желания писать комментарии, я писал, что могу без этого жить. Просто когда читаю, может появиться желания ответить — а мне — запрет :).

Если бы не местами интересный контент, уже давно бы с удовольтствием забыл об этом сайте

[Nc_Soft]

Адрес каптчи

[yanajy]

www.hip-hop.ru/forum/image.php?type=hv&hash=cb8ab824a4e1a3cc7cce1d205f73ca2c
Если вы это имеете в виду. На странице: www.hip-hop.ru/forum/sendmessage.php

[Nc_Soft]

Извиняюсь за непроизвольную отправку, так вот, адрес каптчи
.....hash=d8a193ec9e322e30c74640ede88514bf
это md5 хеш, надо расшифровать и ТОЛЬКО ТОГДА, ВОЗМОЖНО, получится написать фидбек :))

[Naty]

если это значение вставить теперь в поле ввода капчи то получатся заветные 6 букв цифр
только все равно не отправляется…

[yanajy]

разве по хешу можно определить исходный текст? :-)

[Naty]

судя по этому — можно…
ru.wikipedia.org/wiki/%D0%A0%D0%B0%D0%B4%D1%83%D0%B6%D0%BD%D0%B0%D1%8F_%D1%82%D0%B0%D0%B1%D0%BB%D0%B8%D1%86%D0%B0

[yanajy]

ух ты, круто! :)

[MiXei4]

Ну исходный текст можно восстановить только с некоторой долей вероятности, я так понимаю.
Одному и тому же хешу может соответствовать бесконечно много вариантов исходного текста…

[Guria]

какая разница какой из вариантов мы найдём, если проверка всё равно будет по хешу.

[MiXei4]

Всё понятно. Но это не «исходный текст»…
Например я могу представить такой вариант: допустим в md5-хэше мы храним пароль. Но кроме md5-хэша запоминаем ещё длину исходного пароля и пропускаем только при соответствии этих двух параметров. В данном случае подобрать «исходный текст» будет проблематичнее.

[megazhuk]

Можно еще хранить несколько хэшей (что плохо, лучше один последовательный), полученных разными алгоритмами(ГОСТ, md-5, md-4, sha-1,sha-2, и.т.д.) =)
Но это мы отвлеклись…

[helios]

коллизий то может быть много, но под наши ограничения (6 символов) попадет их мало.

Да и благодаря известной длине исходного текста подобрать его можно гораздо быстрее

[yanajy]

Ознакомился. Метод, конечно, хороший, но по сути является упрощённым подбором.

При этом вероятность нахождения пароля с помощью данных таблиц составит 0.7542 (75.42 %), сами таблицы займут 596 Гб, генерация их на компьютере уровня Пентиум-3 1ГГц займёт 3 года а поиск 1 пароля по готовым таблицам не более 22 минут.

20 минут на поиск пароля… легче руками ввести каптчу :) Если, конечно, есть что вводить XD

[Garg0t]

Можно, кстати,

[Garg0t]

*Можно, кстати, заюзать брутер md5, использующий CUDA.

[megazhuk]

Если хэш «солёный» — то нельзя.
search string: salted hash

[Grundiss]

Ну «не нашли пока метода» != «нельзя»
На вскидку — надо мутить что-то вроде двумерных rainbow-таблиц (сам объект хэширования × «salt»)

[Grundiss]

Кстати, не смотря на то, что у меня отключены теги, html-сущности (как &+times выше) я, похоже, использовать могу.
(сорри за оффтоп)

[megazhuk]

Не двухмерных, а многомерных. Причем оченьмногомерных. ))
Так как придется перебрать все возможные варианты подсаливания:
md5(pass+salt)
md5(md5(pass)+md5(salt))
и так далее.
еще менять местами слагаемые… в общем вариантов множество… так что это утопия…

[metaball]

конечно можно. Есть такая штука, rainbow tables называется, есть даже сервисы, которые в онлайн-режиме вам хеш вскроют.

[AlexeyTokar]

«вскройте» пожалуйста хеш: 1cacdbb35ac5db51166841f3f33a3c91
ответ: nt3XaXsTQ

это я к тому, что «тупоперебратьмноговариантов» это само по себе не вариант, когда используется богатая коллекция символов и увеличинное число символов.

[Naty]

эээ вопщем чет я прогналась ))) сорри

[yanajy]

Не за что вам извиняться, со всеми бывает :)

На самом деле, попытки сделать невозможное часто приводят к каким-то очень хорошим промежуточным решениям (изобретениям). Так что, может быть, стоит подумать над тем, как обратить необратимую последовательность :)

[angered]

Супер, идея!

Возле своих каптч поставлю «Если вдруг на сервер пропал шрифт, отпишите на почту [e-mail] — починим!»

[aubt]

Угу, и далее: «Если вдруг упал почтовый сервер, шлите телеграммы по адресу…» :)

[yanajy]

:-) что-то в этом есть

[Regis]

«Если вдруг война, то вам нужно добраться до дата-центра по такому-то адресу, обеспечить его электроэнергией и организовать оборону…» :)

[garlic]

помните «Землю Сисадминов» Кори Доктороу? www.computerra.ru/lib/354693/
А еще классный топик о подземном дата центре: habrahabr.ru/blogs/the_future_is_here/44845/

[seraph]

Вот так один сломавшийся путь к файлику со шрифтами лишил центр хип-хопа новых пользователей.

[dohlik]

Вполне вероятно, что на какое-то время он лишился и уже имеющихся (я про хабраэффект)

[mr_idiot]

Лишил нас новых звезд хип-хопа! Они расстроились и решили забить на хип-хоп :)

[s1im]

какой удар по гангста-культуре… :(

[hooz]

это у них не баг а фича )

[pointum]

Отличная капча для форума экстрасенсов.

[Theo_from_Sed]

Вспомнился анекдот:
— Нострадамус, иди кушать.
— А что на обед, мама?
— А то, ты, су#@, сам не знаешь!

[garlic]

типичная капча для форума времён глубокого будущего: полного превосходства идей всеобщей свободы доступа к информации, абсолютного равноправия*, искусственного интеллекта, обещанного коммунизма. Времён, где «random правит миром»; словом: что ни введи — сойдет.
________
*все люди, нелюди, боты и прочие равны. А капчу не упразднили потому, что она тоже имеет право на существование.

[mr_idiot]

Ого, прям таки модерн арт.

[timon_sk]

если вам действительно «горит» там зарегестрироваться, то попробуйте, может, послать письмо владельцу домена. наверняка он что-то предпримит. вот его почтовый ящик: [e-mail]
так же жоступен его телефон, но это уже вам на страницу whois.domaintools.com/hip-hop.ru

[yanajy]

:-) представляю себе лицо владельца домена, если позвонить ему в три часа ночи и срывающимся голосом сказать: «У ВАС КАПТЧА ПОЛОМАЛАСЬ!!!!»

[MiXei4]

Не, просто позвонив по телефону Вам придет ММС с этой каптчей и Вас попросят ввести таки эти символы на телефоне…

[yanajy]

Лучше по почте. В закрытом конверте. С защитным слоем, который нужно стирать ногтем :)

[Napolsky]

«отправь СМС с кодом капчи на короткий номер… ». И в защиту от брута каждая следующая СМС в 2 раза дороже предыдущей ))

[Theasus]

Администрация форума уведомлена об ошибке.

[MiXei4]

Если не заполнить одно из полей…
«1. Пожалуйста, заполните поля темы и текста сообщения. Вернитесь назад, заполните поля и попробуйте снова.»
Хитрый набор действий блин… :)

[LMaster]

1. Глюк скорее всего из-за того, что потерялись шрифты, или просто кто-то удалил функцию вывода текста. Бороться с таким очень просто — поставил, работает и не трогай.
2. Вариант контакта без капчи — E-Mail, телефон, ICQ.
А вот без капчи сейчас трудно. Недавно читал сообщения с такой же формы (без капчи) на своем сайте, так за одну ночь мне пришло около 500 сообщений от программы-сканера уязвимостей.

[Theasus]

Последние пару месяцев форум страшно штормит. Несколько раз меняли оборудование и сервер, совсем недавно форум пролежал в дауне неделю из-за хака. Админы на ресурсе не зарабатывают миллионов, к сожалению. В последние несоклько дней тоже часто появляются сообщения об ошибках. Можно почитать в этой теме на последних страницах и не только.

[3ybHa9_Fe9]

какие каптчи уже только не ломали!
кто сломает каптчу которая уже сломана?=)

[schottky]

Недавно проскакивали статьи с алгоритмами лома капчей.
Ждём от автора солюшн на это :-)

[Guria]

см выше

[koct9i]

нет человека — нет проблемы =)

[Goodkat]

а может ты робот?

[yanajy]

хм… возможно :) в терминаторе-4 тоже был мужик, который считал себя человеком, пока не увидел собственный металлический скелет :)

[saver_ag]

Спойлер = оторваные яйца.

[tim3r]

Пока под хабракат не залез, думал, что пойдет обсуждение о новых оригинальных методах проверки пользователей :)

[VladimirQbic]

Это капча защита от человека и предназначена для регистрации на сайте роботов О_о

[rayevg]

Пользуясь случаем задам вопрос. Существует ли исходник программы которая генерирует rainbow table и потом ищет пароль, на C++? Я сейчас осваиваюсь с Intel Parallel Studio, вот и подумал, а че бы и не распараллелить :)

[ibnteo]

Люди так боятся спама, что не публикуют адреса электронной почты. А это самый простой способ для связи. Для непопулярных ресурсов лучше поставить защиту на Javascript, и не мучить пользователей каптчей. Я именно так и делаю.

[Uratsakidogi]

На самом деле рядом с каптчей просто стоит не та подпись. Правильная должна звучать примерно так: «Пожалуйста, кратко опишите эмоции, возникающие у вас при просмотре изображения справа».
Такую каптчу точно не пройдет ни один робот — ведь у них эмоций!

[vilky]

Думаете, роботы не способны испытать когнитивный диссонанс?

[TuKTeeK]

Человек запрограммирует робота материться при отсутствии капчи.

[dembel14]

Видимо нужно угадать название фильтра в фотошопе

[DieSlogan]

Думаю, что опубликовав это на Хабре вы уже известили разработчиков этого ресурса.

[yanajy]

Именно так. Другого способа, к сожалению, не было :)

[medevic]

«Перегрузить Изображение» — это сильно. Люди по-русски написать правильно не могут, а вы хотите от них рабочую капчу. :)

[neelts]

вы ничего не поняли! это такой ПЕАР ))

сломай капчу и засветись на хабре!

[Theasus]

Администрация починила уже.
Ещё раз убеждаюсь, на сколько полезен хабр в подобных ситуациях.

[Nc_Soft]

уже починили

[PingMe]

Проблема, думаю, в библиотеке GD.

[Stebanoid]

Неужели никто не видит цифр на этих картинках? Это же элементарно!!!

[Stebanoid]

Ну бывает же такое! Написал это сообщение, и через две минуты попал на сайт, где все каптчи такие:

[Stebanoid]

хм… Фотка получилась так откадрированой, что кажется, что это news.ru. На самом деле это сайт, который заканчивается на ...news.ru

[yanajy]

я один вижу [Снимок.png] вместо изображения?

[Stebanoid]

Трудно сказать… Я вижу своё изображение…
попробуйте здесь глянуть. stebanoid.blogspot.com/

[spelesto]

А здесь все просто. Нужно лишь подсчитать количество точек и дверь откроется

[Stebanoid]

А! Стопудов! Эти точки — нули и единицы.
1. Дешифруем
2. Вводим
3. ??????
4. PROFIT

[MaximKat]

fritzmorgen.livejournal.com/176317.html

[ilyak]

А баги то красивые получаются

[deniamnet]

чтобы сообщить об ошибке — нужно сообщить об ошибке
интересно получается ;)

[deniamnet]

кстати, у меня все нормально отобразилось

и тут: www.hip-hop.ru/forum/register.php?do=register
и тут: www.hip-hop.ru/forum/sendmessage.php

что я не так делаю?
как можно видеть, приведенные вами снимки капчи — это просто фон от капчи, сами же буквы другие по цвету и фактуре
поэтому у меня подозрение, что у вашей капчи просто буквы не отобразились, почему — хз, может как раз попали в тот момент, когда они не работали или не генерились ;)

[mention]

хм. эти картинки навеяли одну теорию, по комментариям видно что проблема скорее всего действительно со шрифтами, но что если использовать в качестве капчи стерео-картинки (когда сосредотачиваешь зрение на одну точку, а потом отводишь глаза и видно изображение), не знаю на сколько это реально реализовать, но возможны проблемы с распознанием этого человеческим глазом:
— не у всех получается
— вариант распознавания долгий
— возможно на экранах монитора сложно будет это понять и определить что изображено!

[me76]

автор, а вы не пробовали ничего не вводить, может соль именно в этом и была? робот будет пытаться взломать, а человек должен догадаться, что поле нужно оставить пустым.

[yanajy]

как это ни странно — пробовал :)

но уже всё ОК, баг исправили (за что спасибо)

[nitro80]

а hip-hop.ru раньше другой был…

[korsakov]

Самое прекрасное что я видел современном вебе — сайт с неработающей регистрацией, где для отправки уведомления саппорту о проблемах регистрации нужно зарегистрироваться на сайте.

[yanajy]

«Регистрация на сайте доступна только зарегистрированным пользователям!»

[Shtorkin]

У меня на проекте никогда не было никаких каптч, регистрация идет с подтверждением по мылу, везде, где что-то куда-то постится, делается это при помощи jsHTTPRequest, за 3 года работы проекта на сайте не отписался ни один робот. На сайте конкурентов форум постоянно пробивается спам-ботами, хоть и имеет каптчу, хотя можно сделать скидку на убогий phpBB.

[purebill]

А популярный видно движок для капчи.

[yanajy]

Вот, кстати, навеяло вариант, как ещё усложнить каптчу. Итак, введите код, указанный на стереокартинке:

[ldv290384e]

0919937

[ldv290384e]

А ещё, эта капча легко обходится машинным способом. Вычисляется шаг паттерна. Копируется слой. Верхнему слою выставляется режим «разница» или «вычитание». Слой сдвигается на шаг паттерна. Код чётко виден чёрным на рябом фоне. :)

[lotas]

надо было null ввести, попробывать

[ldv290384e]

Не понял… там же ясно видно: b426zwk, 32e4hj, 4js99n и tb67p3, соответственно!

[mkechinov]

Использовать форму обратной связи с саппортом — идиотизм в целом. Для этого достаточно просто указать e-mail саппорта. Просто и каждый понимает. И никаких:
— лишних шагов
— левого спама (нарисуйте емейл на картинке, чтобы роботы не грабили его)
— «обязательных» полей
— выбора «департамента»
— глюков отправки писем через скрипты (когда может глючить)

Единственная необходимость в форме связи — это заказ обратного звонка. Когда клиент пишет, когда ему позвонить и на какую тему будет разговор.