Защита от брута акков+насилия над mysql

[comshat]

собственно, заметил 2 момента, которые очень негативны для современного форума. первое:
если вместо капчи поставить "свой вопрос" при регистрации, то перестает работать функция защиты от брута акков. Т.е. в настройках выставлено:

Максимальное количество попыток входа:
После указанного количества неудачных попыток входа на конференцию пользователь должен будет дополнительно визуально подтвердить свой вход (визуальное подтверждение).
2

и

Попытки регистрации:
Количество попыток регистрации с кодом подтверждения, которое могут сделать пользователи в течение одной сессии.
2

однако, ни то, ни другое не работает. пытаюсь зайти на форум с любым рандомным логином и паролем хоть 10 раз - никаких капч и вопросов не появляется... дыра, однако

и про поиск.. На многих форумах (тот же ipb) реализована либо задержка между запросами в поиске, либо ввод капчи. В phpBB я этого не заметил, можно "сёрчить" хоть 100500 раз в секунду, что не есть хорошо

[Айдар]

По поводу поиска, посмотрите в админке - общие - поиск - Интервал между поисковыми запросами

[nissin]

Не подтверждается.
Используете штатное текстовое подтверждение?

[Айдар]

nissin, в общем, есть такое по поводу текстового подтверждения. Попробуй сам: firm.forum-kaztur.ru - сейчас там стоит текстовое подтверждение.

[Sheer]

Не подтверждается. Даже с нестандартным вопросом/ответом. Вот как тут Тест при регистрации нового пользователя

[comshat]

По поводу поиска, посмотрите в админке - общие - поиск - Интервал между поисковыми запросами

омг, просмотрел этот пункт, хотя думал - в админке phpBB ориентируюсь с закрытыми глазами

Используете штатное текстовое подтверждение?

да. собственный сборник вопросов и ответов.
что делать?

[Sheer]

Мда... попытки входа ограничиваются, это факт, а вот при отключенной капче пытаться регистрироваться можно до посинения, в самом деле, ибо счетчик регистраций генерируется функцией get_attempt_count(), которая в файле includes/captcha/plugins/captcha_abstract.php и попытки регистрации записываются в таблицу _confirm функцией new_attempt()

что делать?

Давайте думать...

[nissin]

Стоит локально 3.0.8, после определённого количества неудачных попыток регистрации пишет:

Вы исчерпали предельное количество попыток регистрации для данной сессии. Повторите попытку позднее.

После определённого количества неудачных попыток входа пишет:

Вы превысили максимально допустимое количество попыток входа. Теперь, кроме имени пользователя и пароля, вы должны пройти проверку средством против спам-ботов.

[comshat]

Давайте думать...

ничего умного в голову не пришло по идее, баг в самом движке, надо ковырять.
nissin
3.07. ничего подобного не вижу даже после 20-30 попыток входа

[Sheer]

ничего подобного не вижу даже после 20-30 попыток входа

Ну не знаю, с этим должно быть все в порядке, потому как количество попыток входа записывается в таблицу users в поле user_login_attempts. Проверь.
А вот с регистрацией есть идея...

[nissin]

3.07. ничего подобного не вижу даже после 20-30 попыток входа

Проверил в локальной 3.0.7-PL1 тоже всё работает:

Вы превысили максимально допустимое количество попыток входа. Теперь, кроме имени пользователя и пароля, вы должны ввести код подтверждения, показанный на картинке ниже.

Вы ввели неправильный ответ на вопрос.
Вы исчерпали предельное количество попыток регистрации для данной сессии. Повторите попытку позднее.

Заполняйте шаблон запроса.

PS:
Попробовал указанный в подписи форум, при исчерпании попыток регистрации пишет:

Ты ввел неверный ответ на вопрос.
Ты исчерпал предельное количество попыток регистрации для данной сессии. Повтори попытку позднее.

Попытки входа не ограничиваются.

[Айдар]

nissin, попробуй на форуме, ссылка на который выше? Если что кину в личку доступ по фтп и доступ основателя.

[nissin]

При превышении количества входов с неверным паролем:

Вы превысили максимально допустимое количество попыток входа. Теперь, кроме имени пользователя и пароля, вы должны пройти проверку средством против спам-ботов.

После этого правда форум упал, проверку при регистрации не удалось сделать...

Код: Выделить всё

template->_tpl_load_file(): File ./styles/prosilver/template/../../../rokbb3.php does not exist or is empty

[Айдар]

форум упал

Извиняюсь, это я экспериментировал.
Сейчас проверил - действительно, все работает:

Добавлено спустя 4 минуты 13 секунд:
Вот тут не работает: http://kazbusiness.ru

[nissin]

Код: Выделить всё

Вы превысили максимально допустимое количество попыток входа. Теперь, кроме имени пользователя и пароля, вы должны пройти проверку средством против спам-ботов.

Код: Выделить всё

Вы дали неправильный ответ на вопрос.
Вы исчерпали предельное количество попыток регистрации для данной сессии. Повторите попытку позднее.