Защита от brute force атак

•

Здравствуйте!
Теоретически, злоумышленник может подобрать пароль юзера (или, что хуже, админа) простым повторением одного запроса на авторизацию, меняя в нём только пароль. Перебрать все возможные пароли - задача не из лёгких, но короткий пароль вполне может стать жертвой брутфорсера. А при достаточном терпении - и длинный.
А это значит, что нужна защита от такого рода атак.

•

Подумав над сей проблемой, я сделал один очередной мод.
Привожу фрагмент кода, который и осуществляет анти-брутфорс:

Код:

//антибрутфорс
$loginname=$name;
$loginname=str_replace("\r","",$loginname);
$login name=str_replace("\n","",$loginname);
$loginname=str_replace("\t","",$loginname);
$loginname=strtolower($log inname);
$filename = "$datadir/logins.dat";
$failik = fopen($filename,"a+") or exit("chlen");
flock ($failik,LOCK_EX);
$lstext = fread($failik, filesize ($filename));
$content = explode("\n",$lstext);
$sizearray = sizeof($content);
$numofsame = 0;
$ip = getenv("REMOTE_ADDR");
$now = time();
for ($i=0; $i<$sizearray; ++$i)
{
if ($content[$i] !== "")
{
$thedt = explode("|", $content[$i]);
if (($thedt[0] == $ip) || ($thedt[1] == $loginname))
{
if ($now < $thedt[2]+600) { $numofsame++; }
}
}
}
if ($numofsame > 2)// если 3 или больше таких попыток
{
flock ($failik,LOCK_UN);
fclose($failik);
exit("Слишком много попыток войти. Попробуйте через 10 минут.");
}
else
{
ftruncate($failik,0);
for ($i=0; $i<$sizearray; ++$i)
{
if ($content[$i] !== "")
{
$thedt = explode("|", $content[$i]);
if ($now < $thedt[2]+600)
{
$zapis = $content[$i];
fputs($failik, "$zapis\n");
}
}//end if
}//end for
fputs($failik, "$ip|$loginname|$now|\n");
flock ($failik,LOCK_UN);
fclose($failik);
}

//конец антибрутфорса

Вот такими (или похожими) кусками кода я наполнил файлы. Кто хочет видеть их, может взять (ссылу давал в теме про мой мод SM v.1.0), теперь версия мода 1.2.5.
В качестве $name должно быть имя пользователя (модера, админа) или имя отправителя письма, извлечённое из куков.
logins.dat в случае модера-админа заменяем на loginsadmin.dat или loginsmail.dat для личных сообщений.
Вероятно, для полной защиты от брутфорсеров нужно ещё как-то проверять отправку сообщений или что-то ещё, но до этого я пока не додумался

•

Заметил глюк:
во фрагменте
$loginname=strtolower($log inname);
на самом деле должно быть не ($log inname), а ($loginname)
Этот прикол возник из-за разрывания слишком длинных слов. В исходном же коде слово, конечно, не разорвано

•

Кто подскажет, нашел в комментариях фотогалереи вот этот кусок
YSun0Y bnnLst19hdY6llAd3fg6
это что просто нечего делать или что похуже?

•

попробуй base64_decode
но если в комментах, то вряд ли стоит этого бояться

Бесплатные PHP скрипты - форум техподдержки

Защита от brute force атак