nram Posted January 14, 2008 at 11:24 AM Report Share #159729 Posted January 14, 2008 at 11:24 AM Como posso fazer em php,um sistema de login Anti brute Force? Link to comment Share on other sites More sharing options...
pedrotuga Posted January 14, 2008 at 11:32 AM Report Share #159731 Posted January 14, 2008 at 11:32 AM É uma coisa que nunca fiz, mas de rajada, o que eu faria era umplementar um limite de frequencia temporal de tentativas. Penso que mais vale deixar isso para o apache ( ou outro servidor web ) pois já tem mecanismos para lidar precisamente com essas situações, e podes deixar o teu código php mais limpinho e versátil. Link to comment Share on other sites More sharing options...
nram Posted January 14, 2008 at 11:36 AM Author Report Share #159733 Posted January 14, 2008 at 11:36 AM sim... eu pensei nisso do limite do tempo... pois, apache, mas ele por si nao vai fazer nada... se eu fizer brute force á pagina de login, ele nao vai fazer nada... (acho eu) Link to comment Share on other sites More sharing options...
pedrotuga Posted January 14, 2008 at 01:14 PM Report Share #159751 Posted January 14, 2008 at 01:14 PM sim... eu pensei nisso do limite do tempo... pois, apache, mas ele por si nao vai fazer nada... se eu fizer brute force á pagina de login, ele nao vai fazer nada... (acho eu) Eu não tenho muito experiencia em configurações e módulos do apache, mas penso que te permite fazer precisamente isso, limitar o numero de pedidos no dominio do tempo, do ip, da directoria, do tipo de ficheiros, etc. Link to comment Share on other sites More sharing options...
magician Posted January 14, 2008 at 01:56 PM Report Share #159753 Posted January 14, 2008 at 01:56 PM Tens outra forma de fazer que é como muitos sites fazer fazes uma contagem de passwords erradas por IP ao errar tipo 3 vezes bloqueia o IP por determinado tempo. É verdade que podem depois usar proxys ou renovar o IP mas já dá mais algum trabalho, podes depois também fazer tipo aos 10 login errados para 1 utilizador a conta é bloqueada e envia um email para o user a avisar do acontecido e como desbloquear. I haven’t lost my mind; it’s backed up on DVD somewhere! Link to comment Share on other sites More sharing options...
softklin Posted January 14, 2008 at 02:20 PM Report Share #159760 Posted January 14, 2008 at 02:20 PM Tens outra forma de fazer que é como muitos sites fazer fazes uma contagem de passwords erradas por IP ao errar tipo 3 vezes bloqueia o IP por determinado tempo. É verdade que podem depois usar proxys ou renovar o IP mas já dá mais algum trabalho, podes depois também fazer tipo aos 10 login errados para 1 utilizador a conta é bloqueada e envia um email para o user a avisar do acontecido e como desbloquear. Concordo com a primeira, até já a vi ser aplicada em muitas páginas. Agora a 2ª pode tornar-se frustante para o utilizador, e até ser motivo para brincadeiras de mau gosto se me percebem (bloquearem a conta de outra pessoa constantemente). Nick antigo: softclean | Tens um projeto? | Wiki P@P Ajuda a comunidade! Se encontrares algo de errado, usa a opção "Denunciar" por baixo de cada post. Link to comment Share on other sites More sharing options...
magician Posted January 14, 2008 at 02:54 PM Report Share #159769 Posted January 14, 2008 at 02:54 PM Se no mail enviares um link para o desbloqueio directo não vejo nada de mais I haven’t lost my mind; it’s backed up on DVD somewhere! Link to comment Share on other sites More sharing options...
softklin Posted January 14, 2008 at 03:56 PM Report Share #159773 Posted January 14, 2008 at 03:56 PM Se no mail enviares um link para o desbloqueio directo não vejo nada de mais Sim, isso tudo bem, mas imagina que tens uma conta e eu sei que esse sistema está implementado. Se eu quiser bloquear-te a conta, erro o login 10 vezes, ok, recebes o mail e desbloqueias. Agora imagina isto repetir-se sem fim... logo no minuto a seguir ja te bloqueei a conta outra vez... Nick antigo: softclean | Tens um projeto? | Wiki P@P Ajuda a comunidade! Se encontrares algo de errado, usa a opção "Denunciar" por baixo de cada post. Link to comment Share on other sites More sharing options...
magician Posted January 14, 2008 at 04:09 PM Report Share #159774 Posted January 14, 2008 at 04:09 PM Tão mas por isso é que sugeri esta implementação juntamente com a outra do bloquear IP,, bloqueia o IP aos 5 e aos 10 bloqueia a conta e o IP. I haven’t lost my mind; it’s backed up on DVD somewhere! Link to comment Share on other sites More sharing options...
softklin Posted January 14, 2008 at 04:21 PM Report Share #159776 Posted January 14, 2008 at 04:21 PM Tão mas por isso é que sugeri esta implementação juntamente com a outra do bloquear IP,, bloqueia o IP aos 5 e aos 10 bloqueia a conta e o IP. Ah, ok, pensei que eram duas soluções distintas... Sim, dessa forma é mais eficaz realmente.. 😛 Nick antigo: softclean | Tens um projeto? | Wiki P@P Ajuda a comunidade! Se encontrares algo de errado, usa a opção "Denunciar" por baixo de cada post. Link to comment Share on other sites More sharing options...
fnds Posted January 14, 2008 at 04:52 PM Report Share #159780 Posted January 14, 2008 at 04:52 PM usa uma imagem para validar o login, como está neste tópico http://www.portugal-a-programar.pt/index.php?showtopic=14896 podes fazer como no gmail, a imagem só aparece passado algumas tentativas falhadas Link to comment Share on other sites More sharing options...
magician Posted January 14, 2008 at 05:10 PM Report Share #159785 Posted January 14, 2008 at 05:10 PM usa uma imagem para validar o login, como está neste tópico http://www.portugal-a-programar.pt/index.php?showtopic=14896 podes fazer como no gmail, a imagem só aparece passado algumas tentativas falhadas Um bom OCR resolve o problema um colega meu implementou um em Java e já lê uma grande % de imagens. I haven’t lost my mind; it’s backed up on DVD somewhere! Link to comment Share on other sites More sharing options...
djthyrax Posted January 14, 2008 at 05:32 PM Report Share #159791 Posted January 14, 2008 at 05:32 PM Fail2ban -> http://forums.ptsec.net/index.php?showtopic=27 Não peças ajuda por PM! A tua dúvida vai ter menos atenção do que se for postada na secção correcta do fórum! Link to comment Share on other sites More sharing options...
nram Posted January 14, 2008 at 06:28 PM Author Report Share #159797 Posted January 14, 2008 at 06:28 PM o motivo disto... digamos que é para nenhum aluno espertinho lá da minha escola nao andar a brincar com uma aplicaçao que estou a fazer para o Centro de aprendizagem da Escola.... Que akilo só vai ter mesmo acesso a admin para adicionar, remover, requisiçoes e assim, na parte de manuais escolares etc... mas é sempre bom nao andarem a estragar as coisas.. (e penso que aquele servidor onde vou alojar na escola nao tem acesso á internet, mas tem acesso á rede da escola. ) Link to comment Share on other sites More sharing options...
magician Posted January 14, 2008 at 06:34 PM Report Share #159798 Posted January 14, 2008 at 06:34 PM Porque nao usas simplesmente um link estatico tipo localhost/admin/login.php assim só quem sabe o link pode aceder. I haven’t lost my mind; it’s backed up on DVD somewhere! Link to comment Share on other sites More sharing options...
djthyrax Posted January 14, 2008 at 06:41 PM Report Share #159801 Posted January 14, 2008 at 06:41 PM Porque nao usas simplesmente um link estatico tipo localhost/admin/login.php assim só quem sabe o link pode aceder. Sim, e esse URI não é óbvio nem nada... Não peças ajuda por PM! A tua dúvida vai ter menos atenção do que se for postada na secção correcta do fórum! Link to comment Share on other sites More sharing options...
karva Posted January 14, 2008 at 06:44 PM Report Share #159805 Posted January 14, 2008 at 06:44 PM Se esse login apenas for efectuado no servidor físico, podes limitar essa página ao localhost... Proud LEIC-A@IST student! Link to comment Share on other sites More sharing options...
magician Posted January 14, 2008 at 07:01 PM Report Share #159811 Posted January 14, 2008 at 07:01 PM Porque nao usas simplesmente um link estatico tipo localhost/admin/login.php assim só quem sabe o link pode aceder. Sim, e esse URI não é óbvio nem nada... Era um exemplo como é óbvio não seria algo tão directo. I haven’t lost my mind; it’s backed up on DVD somewhere! Link to comment Share on other sites More sharing options...
nram Posted January 14, 2008 at 07:04 PM Author Report Share #159814 Posted January 14, 2008 at 07:04 PM sim.. vou usar isso.. e que adianta?? nao podem na mesma descobrir o link? e explorar... Link to comment Share on other sites More sharing options...
djthyrax Posted January 14, 2008 at 07:21 PM Report Share #159822 Posted January 14, 2008 at 07:21 PM sim.. vou usar isso.. e que adianta?? nao podem na mesma descobrir o link? e explorar... Podem, mas nada é impossível de ultrapassar, mas o factor psicológico é bastante importante, e quanto mais difícil for a tarefa, mais tempo tens para detectar as tentativas e poderes apanhar o bife. Não peças ajuda por PM! A tua dúvida vai ter menos atenção do que se for postada na secção correcta do fórum! Link to comment Share on other sites More sharing options...
Recommended Posts
Create an account or sign in to comment
You need to be a member in order to leave a comment
Create an account
Sign up for a new account in our community. It's easy!
Register a new accountSign in
Already have an account? Sign in here.
Sign In Now