elfineer | blog

Protože tam je žebříček zemí, očekával jsem nějaké pokusy o manipulaci (jako např. u seti@home, i když samozřejmě v menší míře), ale čekal jsem spíš například SQL injection při úpravě bodů apod. Před řešením nějakého šikovného studenta (nejspíš informatiky) z Nizozemí ovšem smekám.

Maks napsal jednoduchý bookmarklet, který si stačilo přetáhnout do oblíbených, otevřít můj web a spustit. Maks je kluk šikovná, celé to má 1 kB a funguje mnohem rychleji než jiné javascriptové solvery.

Zdrojový kód první verze Maksova bookamerkletu

Asi bych si toho nevšimnul, kdybych neměl radost z nárustu návštěvnosti a ve statistikách serveru nepátral po tom, kdo na mě odkázal :-) (takový podvod mě nenapadl, naivně jsem myslel, že se o mě zmínil nějaký NL blog, takže není nic divného na tom, že NL se vyhouplo z 23. místa na 4. během jednoho dne).

Nápad to byl vážně dobrý, protože opravdu to byli hráči z různých IP adres, v různých časech a bylo vidět, že nic podezřelého se databázi nestalo.

Moje řešení bylo poněkud naivní. Bookmarklet přistupoval vždy na input 1–1, 1–2… 1–81, jak se jednotlivá políčka jmenovala. Navíc by si asi Maks v JavaScriptu neškrtl, kdyby zadání nebylo jako input se zablokovaným vstupem, ale jako obyčejný text (já zvolil radši input, protože se to pak lépe stylovalo). Změnil jsem jméno políček na -1…, přičemž dlouhý hnusný kód byl generován jako číslo obsahující datum, čas, kus IP adresy a z toho md5 otisk. Tento kód se pak v SESSION předal stránce s kontrolou, aby věděla, na jakých proměnných řešení hledat.

Ozkoušel jsem bookmarklet, zaradoval se, že už nejde, vymazal z databáze všechny podezřelé hráče z NL, poupravil počet bodů a šel s pocitem dobře odvedené práce koukat na ordinaci :).

Maks byl asi ten den v lepším duševním stavu, protože na jeho webu už byla při druhých reklamách odpověď (v. 1.3) a Makse rychle napadlo, že na políčka formuláře lze přistupovat nejen podle jména, ale i podle indexu.

Mojí odpovědí bylo velmi provizorní vložení

Když bookmarklet v. 1.5 nefungoval, začínal jsem mít dobrý pocit, jak ho to konečně přestalo bavit a jak jsem vyhrál. Dokonce i web smazal.

Trvalo mi ‚jen‘ asi 24 hodin, než mi došlo, že smazaná stránka by měla hlásit 404 Page Not Found a ne 403 Forbidden. Chyba 403 by dávala smysl, kdyby odkaz vedl na adresář, ze kterého zmizel index.html (či obdoba), ale ne, když odkaz vedl rovnou na .html.

Makse asi napadlo, že když doména patří podle výpisu někomu z ČR a někdo z ČR se poměrně často kouká na jeho web, asi nebude špatný nápad ho v .htaccessu zablokovat.

Anonymyš prozradila existenci verze 1.6, která víceméně fungovala až do dnešního večera.

Zatím poslední řešení se mi moc nelíbí a možná se na něj najde odpověď v JS: třetí řádek je falešný, obsahuje vždy náhodně vygenerovaná čísla 1..9 a inputy se stejnými jmény jsou zde ještě jednou – při odeslání formuláře se tak odešlou ty nižší (pozdější), ale pokud bude bookmarklet přistupovat podle indexu nebo jména, dostane náhodné hodnoty z vyšších (dřívějších, falešných). Celý třetí řádek je pak pomocí CSS schován.

Vadí mi na tom, že to je poměrně nepřístupné řešení – sice nemyslím, že by někdo s hlasovou čtečkou hrál na mém webu sudoku, ale třeba PDA/mobil falešný řádek neschová.

Pokud tohle maks překoná, mám připravené ještě jedno řešením, které už je snad nepřekonatelné (alespoň ne čistě v JS). V každém řádku bude jedno falešné políčko a to, jestli se má schovat, určí CSS soubor vygenerovaný PHP skriptem (opět dostane v SESSION vědět, co zrovna tento uživatel má vidět). Nebudou se tam pak žádná jména opakovat, políček bude z pohledu HTML devadesát a bez přečtení CSS nepůjde poznat, jestli je pravé nebo falešné.

Ale doufám, že až na to nedojde :-)…

Update (den poté)

Asi nejsem sám, kdo se umí kouknout do statistik :-). Teď je ten web zablokován nějak lépe, nedá se tam dostat ani přes anonymizéry ani přes nějaké proxy z proxy4free. Tak budu chvíli doufat :-).

pátek 4. září 2006, 22:55 - 9310× shlédnuto - RSS komentářů - tagy: sudoku webdesign css javascript bookmarklet programovani

, Follow @elfineer

Nepřehlédněte

• WebGL globus od Googlu (06. 05. 2011)

  Zobrazte data na globu - rozchození za pár minut.

• Jak mi pomohla sláva iPhonu? (30. 12. 2007)

  Pokračování říjnového článku - jak dlouhodobě pomohlo sudoku-serveru zařazení mezi iPhone aplikace na webu Applu?

• Pomůže mi sláva iPhonu? (26. 10. 2007)

  Kolikánásobně se zvýší návštěvnost sudoku serveru, pokud vytvořím verzi pro iPhone a odkáže na ní Apple?

• Jak se taky může projevit nedostatek místa na serveru (09. 10. 2006)

  To si takle jednou sedím u počítače, spát se mi nechce, protože jsem omylem (nikdo mě nevzbudil) spal do dvanácti, tak uvažuju nad tím, že se kouknu na nějaké simpsony, když tu náhle, milá zpráva…

• Můj boj s Holanďany: vyhrál jsem? (05. 10. 2006)

  Díky velmi chytrému postřehu v komentářích jsem poněkud změnil způsob boje proti bookmarkletům luštících sudoku stisknutím tlačítka.

Komentáře používají Texy! syntaxi.

"odkaz":http://kam.vede.cz, *zdůrazněné (em)*, **zdůrazněnější (strong)**, citace