Случайно обнаружил, что…

[casperrr]

Слабо в комментах написать хотя бы — «фи, ни о чем».
Вот тут один любитель шифроваться в одной теме про резанье заголовков писал, а еще в одном топике меня уверяли, что владелец халявного впн-сервиса вполне для моей собственной безопасности и анонимности так же может резать заголовки, меня об этом не спрашивая. Так что вопрос хоть и мелкий, но не праздный.

[zipper]

>>Слабо в комментах написать хотя бы — «фи, ни о чем».
Nobody cares

[mtp]

Некоторые сервера тупо не отвечают, если не видят User-Agent. Ботнетов что ли боятся.

[toxicdream]

Это я тот самый любитель шифроваться, правда никудышный :)
Недели три не мог залогиниться — думал последствия бана и режима рид-онли.
Пока случайно не запустил файрфокс без лополнении…
— Топик, имхо, ни о чем. Достаточно попросить администрацию выдавать вразумительно сообщения об ошибке. Ну или в крайнем случае, оповещать почтой.

[casperrr]

Ну как же он ни о чем. Душераздирающая история о невозможности залогиниться в течении аж трех недель противоречит этому тезису.

[Vass]

[casperrr]

Ну да, канешна.
Однако это не есть железное правило. Через тот же прокси контора человек в 300 ходит без проблем в инет весьма активно и указанная проблема всплыла первый раз. Вы, который ни разу, ессно, ни кэп, нашли бы эту причину на раз-два, я не сомневаюсь.

[zombic]

Извините за минус в коммент (с телефона промахнутся), в другом месте поправил.

[casperrr]

:)
Это не самое страшное в жизни. Просто любопытно. +12 и -14. Народ не равнодушен к мелочам жизни :)

[Nickel3000]

Если кто-то не хочет голосовать за топик, а хочет просто посмотреть результат голосования, то топику дается +0.5 и -0.5, при этом голосовать он уже не может. См. 8 троллей.

[karter]

И в комментариях там везде (+-)8, весело)

[Nickel3000]

Я даже без сканера QR знаю что на вашей аватарке :)

[karter]

Баловался как-то, а потом прижилась :)

[zombic]

Упс, мне тоже в другом месте поправили ))

[Vass]

Ну какбе, усиливать защиту различных форм ввода (особенно осуществляющие авторизацию) с помощью проверки Referer, это стандартная практика вот уже десяток лет, было бы странно как раз, если бы Хабр этого не делал.
Понятно, что в определенной степени это «защита» по большей части от дурака, но тем не менее это довольно таки старая практика, о чем я кратко и графически сообщил в предыдущем комментарии, но видимо уровень интуитивного восприятия на хабре уже не высок и тонкие намеки прикрытые толстой баянистой картинкой слишком сложны для читателей.

[Sannis]

Это дурацкая практика защиты от CSRF, которая не спасает от этой атаки.

[seriyPS]

почему же не спасает?

[SegaZero]

я так понимаю, негодование не из за наличия этой «защиты», а то, что ошибка говорила про неверные логин и пароль, а не «включите referrer»

[casperrr]

Негодования вообще никакого. Сюда топик перенесли.

[spmbt]

Какие ещё столь же важные новости можно представить, о которых можно сказать в 1 строчке?

На Марсе обнаружили жизнь.
С 1 августа запретят интернет.
Правительство подало в отставку.
На Хабре нельзя залогиниться, если… а, ну это уже было.

По теме, это довольно легко вычислить, поэтому совершенно не к месту загадки в заголовке. От чего может зависеть логин? Содержимое запроса, токен, заголовки, куки — всё. Сравнимо ли это с обнаружением жизни на марсе или подобным?

[casperrr]

Соглашусь, пожалуй. Не совсем удачное оформление.

[casperrr]

С другой стороны, тэг говорящий.
Хотя «На Марсе обнаружили жизнь» с тэгом «мелочи жизни» звучало бы прикольней :)

[AmdY]

Спасибо, о вреде завязки на реферела сто раз говорилось, потому что он режется прокси серверами и фаерволами. Оставлю пост в фаворитах в качестве аргументации.

[pro100tak]

Кстати — очень надоедает предложение ввести капчу при логине В ПЕРВЫЙ РАЗ, а не после неправильного ввода пароля, как это сделано на автокадабре. Как будто администрация априори всех считает роботами.

[obiwanus]

Убирали причем вроде ведь уже, а потом опять она появилась. Почему?

[spmbt]

Об этом Бумбурум подробно писал. Потому что массово взламывали аккаунты со слабыми паролями.

[orionll]

И что теперь из-за кучи идиотов должны страдать все остальные? Таким не место на хабре, ИМХО

[obiwanus]

Не очень понимаю, как можно массово взломать много аккаунтов с одной попытки — ведь после первой попытки все же нужно было ввести капчу.

[amosk]

Перебор паролей делают не с одного IP, а с разных.
Поэтому капчу надо включать после первого неверного пароля независимо от IP.
При этом, первая попытка на ввод скорее всего будет использована не вами, а теми кто 24х7 пытается взломать пароли ко всем экаунтам.

Вам от этого легче?

[Voenniy]

Кажется перед выборами президента был массовый взлом аккаунтов и от имени этих аккаунтов писались всякий политический шлак. Если мне не изменяет память — в основном против оппозиции.
Как я понимаю — сразу после этого ввели обратно капчу.
Капча конечно жуткая — хуже нигде не видел. Уже думаю написать плагин для хрома, чтобы при входе капча отсылалась на какой-нить антигейт, чтобы самому не мучаться.
Хабр и капча

[wersoo]

Да, это было очень мерзко со стороны ТМ.

[pietrovich]

А у меня эпизодически нажатия на плюсик/минусик ошибку возвращает. При этом в соседней вкладке хрома все ок. Заголовки анализировал, в консольк логи смотрел, ресурсы вроде все подтягивает… в общем наблюдаю пока. И да, вернувшаяся капча при первом входе, утомляет.

[milast]

Пасхальные яйца? )))

[yateam]

А к чему такая интрига? Можно было и без ката.

[VereVa]

Тогда б Вы не зашли и не оставили этот коментарий ;)

[yateam]

Вот именно, что я теряю время. Еще вот зашел, чтобы вам ответить :(

[mtp]

Заходите ещё :-)

[torkve]

Ваш забан user-agent'а гораздо страшнее — половина сайтов, особенно написанных на ASP.Net, ломаются и перестают работать, если не обнаруживают выставленный UA.

[torkve]

Ну, в смысле, сам сайт-то работать будет, а вот пользователь без юзерагента будет получать ошибку.

[casperrr]

Он не мой. Чел уже подчистил правила, оставив самое необходимое.

[casperrr]

Проголосовать не могу, кармы не хватает.

[Methos]

Могли бы сделать так:

1. При удачном входе запоминать солёную шифрованную куку.
2. При последующем ситуации открытия страницы логина проверять, что если эта кука присутствует, то значит это доверенный юзер (которого мы уже знаем) и поэтому капчу не выводить.

[Vass]

Ерунда же.
Заходим один раз с браузера, получаем соленую шифрованную куку, вставляем ее в свой скрипт подбора паролей (прямо всю такую шифрованную и соленую) и имеем страницу без капчи.

[Methos]

Во-первых, не туда ответили.
Во-вторых, детали реализации — вопрос второй. Нужно (и можно) сделать так, чтобы ваш хак не работал. Самое простое — эта кука будет действовать для попытки ввода пароля ТОЛЬКО ДЛЯ СВОЕГО логина. То есть, кука конечно же привязывается к логину.