protip dla programistów-stażystów w @wykop @Moderacja https://www.google.com/recaptcha/admin#list
powinniście po prostu dodać że po X nieudanych logowaniach będzie prosiło o wypełnienie recaptchy, polecam

no i jeszcze kolejny protip - jeśli nie macie 100% pewności co się stało tj czy wyciek, czy bruteforce to poważny serwis po prostu wymusił by zmianę hasła wszystkim użytkownikom - jest to idealny moment na przejście na blowfish imho jeśli jeszcze z niego nie korzystacie
#aferabotowa
  • 2
  • Odpowiedz
  • Otrzymuj powiadomienia
    o nowych komentarzach

@bruthal: A dlaczego ktoś nagle miałby zmieniać adres email? ( ͡º ͜ʖ͡º) Szczególnie w trakcie afery. A nawet gdyby, to moderacja przecież zna historię IP, i wystarczy sprawdzić czy adres został zmieniony z nieznanego IP.
Zresztą gościu jakimś skryptem zarządzał ponad 150 kontami, wątpię żeby próbował jedno konto uprowadzić poprzez zmianę adresu. Przypominam ci że to nie jest bank, włamanie na jedno konto nie da
  • Odpowiedz
Wy jesteście p----------i zdrowo. Poleciały nawet konta które nie były przejęte tylko domagały się poprawy bezpieczeństwa w komentarzach pod znaleziskiem XDDDDDDDDDDD
Weźcie się sami zbanujcie do wyjaśnienia.
#aferabotowa #afera
  • 2
  • Odpowiedz
  • Otrzymuj powiadomienia
    o nowych komentarzach

@niebezpiecznik-pl: Został wprowadzony nowy zapis w regulaminie. Banują za słabe hasła, jest to innowacja w serwisach internetowych, gdyż omijany jest etap weryfikacji hasła przy rejestracji. Od teraz nie wiesz kiedy i nie wiesz dlaczego możesz dostać bonus od moderacji. Wszystko to dla poprawy bezpieczeństwa i przyjemności korzystania z serwisu.
  • Odpowiedz
Wraz z 'atakiem' na konta użytkowników wróciła kwestia bezpieczeństwa i prywatności, a także coroczne przypominanie Michałowi o konieczności wdrożenia szyfrowania. Korzystając z okazji postanowiłem podsłuchać samego siebie i pokazać, jakie dane można uzyskać, podsłuchując Wykopowicza. Dane, które byłyby w pełni niewidoczne dla hackera gdyby tylko portal był szyfrowany ;)

tl;dr :
Można przechwycić między innymi:
* Identyfikatory wykopywanych i zakopywanych znalezisk.
* Identyfikatory plusowanych oraz minusowanych komentarzy.
v.....z - Wraz z 'atakiem' na konta użytkowników wróciła kwestia bezpieczeństwa i pry...

źródło: comment_KJ4T9BfRJ335rF6OkJnNTZ1HIwBG1aKL.jpg

Pobierz
  • 29
  • Odpowiedz
  • Otrzymuj powiadomienia
    o nowych komentarzach

@von_stirlitz: sniffing to jest mały pikuś... dlaczego login prompt nie jest zabezpieczony przed floodem? wystarczyłoby 3 nieudane próby = blokada na 1h. nie byłoby problemu ani afery.
  • Odpowiedz