Защита от нч запросов.

[Aroused]

Здравствуйте.

Прикручиваю не сложную регистрацию.

Форма Name Login Pass E-mail. Отправляется post конечно, затем условно reg.php обрабатывает запрос (если всё нормально) и добавляет в базу.

Что предусмотреть, (ну, к примеру) какая-то программа будет делать нч запросы на сервер и серв может лечь допустим. Капча не подходит, т.к. для клиента (и меня субъективно) это может послужить источником раздражения. Есть какие либо варианты? Я просто подумал, может, отслеживать такие атаки и закрывать доступ по ip. хотя толку мало. Всё равно будет проверка на серве забанен ip или нет.

Вообще желание сделать регистрацию максимально простой, что бы не напрягать клиента.

Скорее всего я чего-то не знаю, вот и прошу вашего совета.

upd: "нч" - низкочастотные

Edited February 6, 2012 by Aroused

[Radiocity]

Что такое "нч" запросы?

[rus]

может быть таймаут? если к примеру в минуту будет n запросов с одного и того же ипа - то бан на время, или навсегда - это как душе угодно, но при этом мне кажется нужно будет еще сверять его куку и сессионные данные, так как и айпи можно подделать через проксю, да и браузер тоже можно подделать, вот разрешение экрана конечно не подделаешь, просто тут Golden_Dragon предлагал использовать связку: ip+browser+разрешение экрана, но я думаю это уже изврат. вполне достаточно будет проверять куку, сессию и айпи, и если кол-во запросов за интервал времени превышает допустимую норму - то бан.

[Radiocity]

  On 2/6/2012 at 8:40 PM, Aroused said:

Есть какие либо варианты?

Если установлен Apache, можно выставить значение MaxKeepAliveRequests поменьше

[Aroused]

  Quote

rus

С куками понятно. А вот на счет механизма проверки с таймером и если что последующим баном мне не ясно. Я к тому что, единственное в голову приходит это создать в базе табличку к примеру `activity` и пихать в неё каждое подключение и ++счетчик в ячейке +время. но само по себе это и будет запрос даже когда бан, я должен буду получать ip клиента, обрабатывать на серве и отфутболивать. что тоже запрос. Или это нормальный вариант? Или это не то?

Пусть даже вся подсеть будет в бане из-за ip, это ничего, главное,

что бы серв был "морозоустойчевый" И спать спокойно.

  Quote

ip+browser+разрешение экрана, но я думаю это уже изврат

Как-то слижком круто

  Quote

Если установлен Apache, можно выставить значение MaxKeepAliveRequests поменьше

Стоит рассматривать. Спасибо Правда я почитал, что боты могут взять на себя 80% подключений. Может и надуманно.

Не поднимаю ли я панику? А вообще такое часто бывает?

Edited February 7, 2012 by Aroused

[LunatiK]

  On 2/6/2012 at 8:40 PM, Aroused said:

Что предусмотреть, (ну, к примеру) какая-то программа будет делать нч запросы на сервер и серв может лечь допустим. Капча не подходит, т.к. для клиента (и меня субъективно) это может послужить источником раздражения.

Сервер при НЧ не ляжет, подзасрётся - да, но не ляжет.

Есть два варианта, точнее их больше, но думаю модерирование это уж через чур., кароче:

1. Это подтверждение регистрации по почте, кстати заодно будете уверены что емаил реальный, а через сутки, к примеру, неподтверждённые будут удаляться.

2. Что бы вы не говорили - это капча, простая понятная (можно вообще чтоб число зелёных шариков вводили, одна цифра никого не напрягала ещё), подгружаемая аяксом после заполнения обязательных полей.

А лучше всего сочетание и того и другого, а IP палить это отстой, у нас многотысячные сети сидят с одним внешним IP. и уж точно у 30% разрешение экрана и браузер совпадают.

[Aroused]

  Quote

а через сутки, к примеру, неподтверждённые будут удаляться.

Это как раз тот самый MySql Scheduler

  Quote

не ляжет

Я так понял моё беспокойство напрасно.

  Quote

подтверждение регистрации по почте, капча, простая понятная

Значит лучше сделать как у всех, что поделать...

Хорошо. Спасибо свсем за советы.

[rus]

  On 2/7/2012 at 5:37 PM, Aroused said:

С куками понятно. А вот на счет механизма проверки с таймером и если что последующим баном мне не ясно. Я к тому что, единственное в голову приходит это создать в базе табличку к примеру `activity` и пихать в неё каждое подключение и ++счетчик в ячейке +время. но само по себе это и будет запрос даже когда бан, я должен буду получать ip клиента, обрабатывать на серве и отфутболивать. что тоже запрос. Или это нормальный вариант? Или это не то?

Пусть даже вся подсеть будет в бане из-за ip, это ничего, главное,

что бы серв был "морозоустойчевый" И спать спокойно.

ну можно в принципе не банить, но хотя бы на время оградить от посылки запросов типа автообновления браузера, тут Int приводил очень хороший вариант и я его взял себе на вооружение:

if (isset($_SESSION['flag']) && (time()-$_SESSION['flag'] < 15)) {
    echo '<h1>Защита от повторного обновления! Нужно подождать 15 сек...</h1>';
} else {
//тут код занесения инфы в бд...
  echo '<h1>Информация успешно добавлена!</h1>';
  $_SESSION['flag']=time();
}

время можно и побольше выставить, например минуты 3, для регистрации пойдет.

ну это не совсем паника, но и увлекаться тоже не стоит, в меру все, в меру

[Aroused]

  Quote

Во-первых, помните, что сессии можно применять только тогда, когда они нужны самому пользователю, а не для того, чтобы чинить ему препятствия. Ведь он в любой момент может избавиться от идентификатора!

Скажем, при проверке на то, что заполняет форму человек, а не скрипт, пользователь сам заинтересован в том, чтобы сессия работала - иначе он не сможет отправить форму! А вот для ограничения количества запросов к скрипту сессия уже не годится - злонамеренный скрипт просто не будет возвращать идентификатор.

http://phpfaq.ru/sessions

  Quote

но хотя бы на время оградить от посылки запросов типа автообновления браузера

Я думаю это хорошая защита от дурака (ну или от нервного ).

Честно говоря меня пугает подтверждение регистрации по мылу тем, что я этого еще не делал и мне кажется, одним

bool mail ()

и `secret` в базе тут не отвертишься. Предположу, что нужно будет хитро настроить что-то на серве и поговорить с буржуйской т.п.

[rus]

  On 2/8/2012 at 8:02 PM, Aroused said:

Предположу, что нужно будет хитро настроить что-то на серве и поговорить с буржуйской т.п.

возможно, но это только тогда, когда имеет место быть, а заранее... ну хз, драть на попе волосы...

а на счет т.п. так они вам сами отрубят сайт, когда запросов к нему будет превышать установленный лимит, что бы их хост не вешать

[shopmobitel]

Используй функцию SLEEP ипроверку на инекции и я думаю этого будет достаточно...

[K313]

использовать sleep(); желательно только в самых крайних случаях