captcha-code abfragen

[websdream]

guten tag! ich möchte mein form mit captcha schützen.
dafür hab ich hier ein tolles script gefunden und eingebaut.
anzeige klappt auch...

leider kann ich mit der abfrage nicht viel anfangen bzw. sie wirft fehler aus...

 #SET code_true = "'#INSERT_SP_EXEC_cat /home/myweb/temp/captcha_{#INSERT_KD_ID}.DAT!" #ENDSET
 #IF ( "#INSERT_SP_VAR_code_true!" == "#INSERT_SP_VAR_captcha!" )
 Code ist richtig!
 #ELSE
 Code ist falsch!
 #ENDIF 

das form übergebe ich mit

<FORM ACTION="<?php echo $PHP_SELF#INSERT_SP_CGI; ?>" METHOD="POST" name="kontaktformular">

leider wird die erste zeile der prüfung schon als "falsch" ausgeworfen... was mach ich falsch??

vielen dank für die hilfe.

[XGremliN]

mit # machst du in PHP einen Zeilenkommentar. Somit findet PHP den End-Tag in deinem Form nicht.

[frankburian]

komische methode.

ich machs immer so, übergebe im formular den erstellten captcha-code md5-codiert in ein hidden-field. vergleich dann das mit dem captcha code, und fertig ist der lack!

[jahlives]

...übergebe im formular den erstellten captcha-code md5-codiert in ein hidden-field. vergleich dann das mit dem captcha code, und fertig ist der lack!

Wenn du den Hash aber an den Client lieferst, lädst du ihn praktisch zum Brute Forcen ein. Wenn dann der Captcha Code nicht allzulange ist, dann ist der Brute Force schnell erledigt.
Wieso speicherst du den Hash nicht ein einer Session Var ? So bleiben die Daten nur auf dem Server...

Gruss

tobi

[wahsaga]

Original geschrieben von jahlives
Wenn du den Hash aber an den Client lieferst, lädst du ihn praktisch zum Brute Forcen ein.

Nicht nur das - hier wird dann auch das letzte Tage von Hopka angesprochene Problem relevant (sofern dagegen nicht noch explizit Gegenmassnahmen getroffen werden), dass man den selben Code bis in alle Ewigkeit benutzen kann ...

[websdream]

mit # machst du in PHP einen Zeilenkommentar. Somit findet PHP den End-Tag in deinem Form nicht.

stimmt, ich habe es auch schon so probiert:

SET code_true = "'#INSERT_SP_EXEC_cat /home/myweb/temp/captcha_{#INSERT_KD_ID}.DAT!" #ENDSET
IF ( "#INSERT_SP_VAR_code_true!" == "#INSERT_SP_VAR_captcha!" )
{
echo "Code ist richtig!";
}
else
{
echo "Code ist falsch!";
} 

trotzdem...

was kann ich tun...???

[jahlives]

Hast du dir mal die Usereingabe und den gespeicherten Captchacode ausgeben lassen und verglichen ?

Gruss

tobi

[wahsaga]

Original geschrieben von websdream
stimmt, ich habe es auch schon so probiert:

SET code_true = "'#INSERT_SP_EXEC_cat /home/myweb/temp/captcha_{
#INSERT_KD_ID}.DAT!" #ENDSET
IF ( "#INSERT_SP_VAR_code_true!" == 
"#INSERT_SP_VAR_captcha!" ) 

Das ist doch wohl ganz offensichtlich kein PHP-Code, sondern irgendeine Template-Sprache.
Die # zu entfernen, wird also wohl kaum was bringen, im Gegenteil.

[jahlives]

@topicstarter
Ich verwende Wurzel's Code, den er hier im Forum mal gepostet hat. Funzt wunderbar und zuverlässig.

Gruss

tobi

[frankburian]

@jahlives:

naja, ich benutz parallel auch ein zeit-captcha. also ich denk damit hab ich das brute-force problem erledigt. mein captchas sind in der regeln min. 5 zeichen!

[jahlives]

Solange du den Hash Wert mitsendest ermöglichst du prinzipiell einen Brute Force Angriff ! Wenn du den Wert aber in einer Session Var speicherst bleibt er auf dem Server und ein Brute Force ist ned möglich.
Ausserdem bei 5 Zeichen würde ich nicht von sicher sprechen Wenn Gross-und Kleinschreibung, Zahlen/Sonderzeichen drin vorkommen dann können 5 Zeichen reichen.

Gruss

tobi

[frankburian]

Eine Session Var ist aber auch nur ein Cookie. Also lässt sich das auch ohne Probleme auslesen und liegt damit nicht auf dem Server sondern auf dem Client!

[jahlives]

@frankburian
Du hast den Witz der Sessions nicht verstanden.
SessionID != Session Var
und nur die SessionID wird übertragen. Wenn du bei dieser den Hash Wert bruteforced dann hast du den Captcha Code garantiert nicht. Weil der Captcha Code in einer Session Var gespeichert wird und die bleibt auf'm Server. Nix Cookie nix URL Parameter.

Gruss

tobi

[wahsaga]

Original geschrieben von jahlives
Du hast den Witz der Sessions nicht verstanden.

OffTopic:

---

Wieder mal ...

---