【仕様】荒らし対策掲示板【実装】

**nobodyさん** · 03/08/22 02:57

考えないか？

**nobodyさん** · 03/08/22 03:10

基本

タグ・スタイルシート・JavaScriptのイベントハンドラは文字参照に置換する。
メソッドはPOST以外受けつけない。
イメダグ・自動投稿フォーム・類似フォーム等は
リファラーチェックしてはじく（不完全）

**nobodyさん** · 03/08/22 03:20

会員制にすればOK

**nobodyさん** · 03/08/22 03:24

文中の改行・空白を勝手に削除したりするのは
正規の投稿者の文面も崩れかね無いのであまり(・A･)ｲｸﾅｲ!!と思う。
改行数やバイト数制限は必要だけど
限られた条件の中で表現の自由は保守したい。AAとかね。

連続投稿の禁止も、レスの早い掲示板ではストレスがたまるので極力避けたい。

単純にIpではじくのもきりが無いし、ﾄﾞﾒｲﾝではじくのも
巻き添え食らう人が出て来るだろうし。

カル板系の画像チェックコードは、いちいち入力するのが('A｀)ﾏﾝﾄﾞｸｾ。
かといって、2chみたいにクッキーでチェックコード発行してる場合
普段クッキー切ってる人は、ON・OFFが('A｀)ﾏﾝﾄﾞｸｾ。
JavaScriptでいろいろやるのも、切ってる人には(ry

**nobodyさん** · 03/08/22 03:26

>>3
ｵｰﾌﾟﾝな場所で、多くの人が快適に利用できるような掲示板を目指します。
言い忘れた…ｽﾏｿ(´Д｀；)

1 · 03/08/22 03:32

ちなみに
>>2
>>4
>>5
は俺です。誰かщ(ﾟДﾟщ)ｶﾓｰﾝ。話し合おうZE！

1 · 03/08/22 03:46

誰も来ない…
時間が時間だからかなぁ…
もう寝るぽ(´・ω・｀)

**nobodyさん** · 03/08/22 04:31

>>1
プロキシ制限すればある程度は大丈夫だと思うが？

**nobodyさん** · 03/08/22 04:50

--------------------------end-----------------------------

1 · 03/08/22 05:07

>>8
だから、串制限したら
荒らしてる当人以外も弾かれる人がでてくるではないか(´Д｀；)

串制限しなくてもいい方法考えようZE！

**nobodyさん** · 03/08/22 05:10

>>10
荒らすつもりもないやつがなぜ串を使う？

1 · 03/08/22 05:12

それに正直、串制限やIP記録されてる掲示板は精神衛生上よろしくない。
せめてｽｸﾘﾌﾟﾄ上では廃止したいね。
本当に硬い掲示板ならそんなものは必要無いはずだ…と俺は思う。

1 · 03/08/22 05:14

>>11
串の本来の目的を忘れてないか？(´∀｀；)

**nobodyさん** · 03/08/22 05:46

俺の場合、proxy介さないと外部につなげないんだけど(´∀｀；)

1 · 03/08/22 05:47

最近考えてる
究極の連続書き込み対策だけど
チェックコード系でもなんでも、突破されたらログ流されちゃうから
被害を最小限に食い止めるためにプロテクトモードを作るのはどうかと。

書き込み手順・投稿間隔・内容を比較して
黒かったらカウントする。
一定時間でカウントが一定数まで達したら、攻撃を受けたと認識し
強制的にログファイルのパーミッションを変更して書き込めなくする。
一定時間たって、攻撃がやんだと認識したらログファイルのパーミッションを元に戻す。
カウント数も初期化。
とかかなり荒業。

復帰時のついでに、攻撃を受ける前のログ（バックアップ用）に巻き戻したりするのもいいかもしれない。

でも、これは判断基準が難しいよな。
しかもプロテクトモード時は一般の利用客に迷惑かかるし。
う～ん…。

**nobodyさん** · 03/08/22 05:50

>>4
あれもダメ、これもダメって制限多すぎ。

あとは、荒らされないような雰囲気の掲示板にするぐらいしか対策ねーんじゃね？

1 · 03/08/22 05:57

>>14
あぁ、そういう人もいるね。
全員分セーフリスト作るのにも限界あるし、串制限はやっぱりダメぽ。

>>16
>あれもダメ、これもダメって制限多すぎ。
既出の方法に頼れば、そこそこ硬い掲示板作れるけど
いろいろ制限出てくるから、何か画期的な方法は無いかと。

>あとは、荒らされないような雰囲気の掲示板にするぐらいしか対策ねーんじゃね？
それ言っちゃお終いだ(´Д⊂、
とりあえず、精神論は置いといて、技術的な対策考えたい(´∀｀；)

**nobodyさん** · 03/08/22 06:05

夢を追うのも悪くなかろう。まあがんばれや。

1 · 03/08/22 06:07

>>18
行っちゃやだ。協力してよ(´・ω・｀)

**nobodyさん** · 03/08/22 06:18

ポートスキャンまでして串規制するとはすごい根性だと思った。あ、2chのことね。

1 · 03/08/22 06:22

>>20
80番や8080番開いてたら、串とみなすってやつ？

**nobodyさん** · 03/08/22 06:24

>>1
掲示板なければ荒らされない

1 · 03/08/22 06:29

>>22
「荒らされない」っていう発想はどーでもいいんだよ。
攻撃される。
防御する。
知恵比べさ。
掲示板無かったら何も始まらんよ。

**nobodyさん** · 03/08/22 11:00

連投されたら掲示板が書き込めなくなるなんてのは論外
解除した時にまた連投されたら誰も利用できない板の出来上がり

**nobodyさん** · 03/08/22 11:51

既に荒らしシカト機能付き掲示板があったと思ったが
どこにあったか失念。

1 · 03/08/22 17:48

>>24
もちろん敵をかく乱する為
復帰時間はランダムで生成。なんにつけてもパターン化は避けたい。
荒らしつづけたくても、掲示板に貼りついて無いと
連続して荒らしつづけるのは難しい。

荒らしにくい掲示板なら諦めると思うのだが。どうだろう？

>>25
シカトって
ダミーログに飛ばして
気の済むまで書き込んでもらうとか？

**nobodyさん** · 03/08/22 17:49

サーバー側のデータ置き場は、今では、十分な量が確保できるんだから、
無駄な上限を外して、データを流れないようにすればいいのでは？

**nobodyさん** · 03/08/22 18:02

いやだから連投スクリプト動かして放置しときゃいいじゃない
ずっと復帰できない状態になるでしょ？

**nobodyさん** · 03/08/22 18:11

ＡＡを送信したら、恐喝メッセージを投稿者に返す罠

1 · 03/08/22 18:28

>>27
いくら大容量化が進んでも、ＨＤＤは有限だよ(´∀｀；)

>>28
永遠とｽｸﾘﾌﾟﾄぶん回しとくの？(ﾟДﾟ)
そんな事したら鯖が落ちて
荒らしてる香具師は鯖缶に訴えられてあぼーん。

>>29
ＡＡだと判断する基準が難しいよね。

**nobodyさん** · 03/08/22 18:31

ローカルから撃つならｻﾊﾞ問題ないだろ
ｻｰﾊﾞｰに置くにしても定期的にｽｸﾘﾌﾟﾄ起動する方法なんていくらでもある

1 · 03/08/22 18:36

>>31
ﾛｰｶﾙから撃っても、大量のﾘｸｴｽﾄが常に放たれてるんだから
被害元のｽｸﾘﾌﾟﾄは常にerror吐き出して負荷がものすごい事になるよ。
定期的にどっかから来るんだったら、ｱｸ禁にすれば解決すると思われ。

1 · 03/08/22 18:38

入力の必要無いｽｸﾘﾌﾟﾄ側だけで対応できる画像チェックコード思い付いた。

生成したランダムな数値を元に画像を連結するとこまでは従来の物と一緒。
ただ、記録する発行済みチェックコードリストには、
生成された連結画像のpack値をこれまたランダムに生成した種を元にcryptした値と、種を記録。

投稿時には、表示されてる画像のpack値を、記録されてる種でcryptして、記録されてる値と比較。
一致したら、投稿許可。

criptした値の桁数も、これまたランダムで生成した値を元に調整するとさらに頑丈かも。

どうだろう？

**nobodyさん** · 03/08/22 18:39

被害元のほうかよ
間隔あけてりゃ問題ない
もっといえばレスポンス見て間隔変えればいい
ｱｸ禁なんて串でどうにでもなる
串制限しないんだろ？

**nobodyさん** · 03/08/22 18:42

で、どうやって画像のpack値送るんだ？
いってみれ

1 · 03/08/22 18:45

>>34
そう言われてみると、粘着にやられたらおしまいなような気がしてきた(´Д⊂、

>>35
ぇ？普通に送れない？(´∀｀；)

**nobodyさん** · 03/08/22 18:50

hiddenフィールドで送るなら一緒だぞ
それ以外に方法あるならいってみれ

1 · 03/08/22 19:02

>>37
あらかじめ、hiddenに入れとくわけじゃないよ？
投稿時にﾘｱﾙﾀｲﾑで、表示されてる画像をpackして送るんだ。

**nobodyさん** · 03/08/22 19:03

へーどうやって送るの？

1 · 03/08/22 19:04

あー、なんか間違ってる。俺(´Д｀；)

1 · 03/08/22 19:08

本体側で全部処理しなきゃいいんでない？

**nobodyさん** · 03/08/22 19:12

とりあえずもっとわかるように書け

誰がどのようにして送るか
それをどうチェックするのか

**nobodyさん** · 03/08/22 19:13

ちょっとテスト。
これ、俺、ちゃんと書きこめてるよね?
見えてるしょ?
返事してください!

1 · 03/08/22 19:19

>>42
了解。自分でもわけわかんなくなってきたからまとめてみる。

>>43
見えてるぽ

1 · 03/08/22 19:30

bbs.cgi（掲示板本体）ｱｸｾｽ時
↓
code.cgi（チェック用）をreadモードで起動
↓
ランダム値（１）を生成
↓
ランダム値（１）を元に用意しておいた画像を連結して、連結画像を生成
↓
連結画像を元にpack値を生成
↓
ランダム値（２）を生成
↓
ランダム値（２）を種として、pack値をcrypt
↓
ランダム値（３）を生成
↓
ランダム値（３）を元にして、crypt値の桁数を調整し、コード（１）を生成
↓
コード（１）、ランダム値（２）、ランダム値（３）を記録。
↓
掲示板には連結画像を表示

1 · 03/08/22 19:30

bbs.cgi（掲示板本体）書き込み時
↓
code.cgi（チェック用）をwriteモードで起動
↓
掲示板の連結画像を元にpack値を生成
↓
記録されてるランダム値（２）を種として、crypt
↓
記録されてるランダム値（３）を元にして、crypt値の桁数を調整し、コード（２）を生成
↓
記録されてるコード（１）とコード（２）を比較
↓
一致したら、書き込み許可。一致しなかったらはじく。

**nobodyさん** · 03/08/22 19:34

あいかわらずpack値をどうやって投稿者が送るのかちっともわかりませんですよ・・・

1 · 03/08/22 19:38

>>47
書き込み時に、code.cgiが起動するので
そっちで送ります。
例え、画像を読みこんでpackするｽｸﾘﾌﾟﾄ書かれても
記録されてる、ランダム値（２）と（３）がわからないので
コード（１）と同じコード（２）を生成するのは不可能かと。

**nobodyさん** · 03/08/22 19:41

見た感じcode.cgiはbbs.cgiと別個であるようだが
そうだとするとcode.cgiに投稿者がアクセスするのはbbs.cgiの処理がおわった後になるわけだが・・・

1 · 03/08/22 19:46

>>49
code.cgiをライブラリみたいな感じでbbs.cgiから使えばいいんじゃないの？

**nobodyさん** · 03/08/22 19:48

連続投稿は文字数や行数を数えて±3ぐらいまでで一致したらはじいて
IP規制して数時間後に規制したIPを開放ってのはどうですか？

1 · 03/08/22 19:55

>>51
その場合、串規制も付けないと
いくらでも突破してくるかも～。

**nobodyさん** · 03/08/22 19:59

荒らしを晒しあげて懲らしめた実績を、架空でもいいから公開しておけば
プログラムレスで簡単な抑止力になるかとふと思った。

1 · 03/08/22 20:03

>>53
ハッタリは、本物の荒らしを食いとめられるかなぁ…

**nobodyさん** · 03/08/22 20:08

>>53
余計燃えるやつが居ると思われ

1 · 03/08/22 20:10

>>55
だよね。
下手な煽り入れて、神のような人が来ちゃったら
笑いながらﾎﾞｺﾎﾞｺにされると思われ。

**nobodyさん** · 03/08/22 21:21

２ｃｈのIDの仕組みってどんなの？
IP変わってもIDが変わらないんだったら
IP規制じゃなくてID規制にするとか

**nobodyさん** · 03/08/22 21:29

>>57
IP変わればID変わる
IDは･･･
$idnum = $ENV{'REMOTE_ADDR'};
$idnum =~ s/\./0/g;
$idcrypt = substr(crypt(substr($idnum,0,8),$mday), -8);
if ($iddagora > 0){
if ($iddagora == 1){
if ($in{'email'} eq ""){ $date = "$date ID:$idcrypt"; }
else { $date = "$date ID:???"; }
}
if ($iddagora == 2){$date = "$date ID:$idcrypt";}
}
こんな感じ？

1 · 03/08/22 21:44

>>58
そんな感じ。
日付が変わってもID変わるね。

**nobodyさん** · 03/08/22 21:48

日付、リモートアドレス、板ID

**nobodyさん** · 03/08/23 01:29

レベル低い…

**nobodyさん** · 03/08/23 01:36

>>50
とりあえず色々とわからん
組めるなら組んでみろ
そのほうがはやそうだ
・掲示板の連結画像を元に
連結画像はcode.cgiが作るのではないのか？
code.cgiが毎回ランダムな数字をだなら連結画像を元にすることはできないのではないか
・code.cgiをライブラリ
はじめからbbs.cgiにそのルーチンだけ組み込めばいいのではないか
・書き込み時にcode.cgiが起動するのでそっちで送る
どうやってcode.cgiにpack値を送らすのか？QUERYか？
ライブラリで読み出すならそれも不可能だろう
この部分がスッポリ抜けているのではないか

**nobodyさん** · 03/08/23 01:42

なぁ、画像をどうこうするのが荒らし対策なのか？
もっと他に荒らしと言える行為があるんじゃないか？

**nobodyさん** · 03/08/23 01:43

レベル高いのはなんだ
とうとう最後までXSS放置されてたｶﾙ板か？

**nobodyさん** · 03/08/23 02:31

>>64
>>27に書いたぞ。

1 · 03/08/23 02:34

>>62
>組めるなら組んでみろ
現時点で実現可能か不明なので(´∀｀；)

>連結画像はcode.cgiが作るのではないのか？
code.cgiが生成した連結画像を掲示板が表示するって事です。

>はじめからbbs.cgiにそのルーチンだけ組み込めばいいのではないか
これは途中から、移植を考えたら別ファイルの方がいい気がしてきたから；

>どうやってcode.cgiにpack値を送らすのか？QUERYか？
普通に処理したら値を返せばいいんじゃないの？？

>>63
具体的に言うと？

>>64
XSSって聞いた事なかったから調べたけどｽﾀｲﾙｼｰﾄ？
CSS荒らし？

**nobodyさん** · 03/08/23 02:39

つまりcode.cgiはどっかのディレクトリに画像を作るてことでいいのか？
code.cgi自体はContent-type:image・・・で表示しないんだな？

1 · 03/08/23 02:40

>>67
(・∀・)ｿﾚﾀﾞ!!
説明下手でｽﾏｿ(´Д｀；)

**nobodyさん** · 03/08/23 02:45

それならbbs.cgiで全部やらせとけていうか分ける意味ねー
ついでにpack値送る手段未だわかんねー
FORMの値以外送る手段ないだろ
それとも送るのは投稿者じゃないとかいうのか

1 · 03/08/23 02:51

>>69
じゃあ、分けない方向で。

よくよく考えたら
やっぱり、生成され、セットされたファイル名hiddenで送らないと
どの画像をpackするか判断できないんじゃ…？(・∀・；)

1 · 03/08/23 02:53

つーか、なんか根本的に間違ってる気がしてきた(´Д｀)
入力する必要ない数字画像が掲示板に表示されてても激しく謎だし……。

**nobodyさん** · 03/08/23 02:54

それにはやく気付けよ
複数の人間がアクセスしたら画像が複数できることなんて予想できたことだろ

XSSはttp://lovemorgue.org/xss.htmlでもみとけ

1 · 03/08/23 02:59

>>72
記録するコード数を増やせばいいんじゃないの？
投稿時にどれかとマッチすればOk、みたいな感じで。
正規の投稿者は、今見えてる画像付きの投稿ﾌｫｰﾑで書き込むんだし。

XSSありが㌧
読んで来る(´∀｀)

**nobodyさん** · 03/08/23 03:01

・・・まずは自分でいってる通り入力する必要ない画像が表示される意味を考えて教えてくれ

1 · 03/08/23 03:08

>>74
とりあえず、数字画像以外のものを連結して貼り付けると見栄えはグッドかもしれないと思った。
いっその事、背景画像に指定しちゃうとか？毎回背景画像が謎の連結画像…嫌過ぎるな…

誰かもっと自然で効率いい荒らし対策ｷﾎﾞﾝﾇヽ(｀Д´)ノ

1 · 03/08/23 03:12

あー、でもhiddenで送るんだったら
別に律儀に画像を表示しなくてもいいな。

**nobodyさん** · 03/08/23 03:14

hiddenで送るんだったら結局意味ないのでしゅーりょー

1 · 03/08/23 03:17

>>77
なんで？生のデータ送るわけじゃないし
読み取られてもOkじゃん？
送った後に、対象データをcryptするし。その種も記録されたランダム値だし。

**nobodyさん** · 03/08/23 03:19

連投スクリプトとブラウザは同じデータを送れます
連投スクリプトで読みとられて平気つーことは
ブラウザに読みとられても平気＝書けないてことです

1 · 03/08/23 03:21

>>79
あー、わかった！
俺、ｱﾌｫだ(´Д｀)

とりあえず画像チェックコードの改良は諦めるとして、
他の手を考えないとな(´・ω・｀)

**nobodyさん** · 03/08/23 03:35

長々とやったが結局よーくわからんかったよ・・・

連投防ぎたかったら画像使え（ものによっては破られるしめんどいがﾅｰ）
それがイヤなら串禁しとけ（関係ない人間も多少は巻き込まれるかもﾅｰ）

**nobodyさん** · 03/08/23 03:58

まあﾂｰﾙ厨くらいなら板をｱﾌﾟﾛﾀﾞにかえれば回避できるぞ
ﾏﾙﾁﾊﾟｰﾄには対応してないからな

1 · 03/08/23 04:33

>>82
なるほど。その手があったか！(ﾟ∀ﾟ)

**nobodyさん** · 03/08/24 01:55

もうネタぎれかよっ

1 · 03/08/24 02:24

>>84
悪いな。どうしても独りだとﾈﾀが尽きるしな。
考えてはいるんだが。

1 · 03/08/24 02:27

とりあえず、姉妹ｽﾚ？
http://pc2.2ch.net/test/read.cgi/php/991274614/l50

**nobodyさん** · 03/08/24 02:39

つかこの板人少ないのな・・・

**nobodyさん** · 03/08/24 02:57

よくぞ気付いた。
荒らし甲斐のないほど人の少ない掲示板。
それこそが究極の荒らし対策掲示板だ。

**nobodyさん** · 03/08/24 02:57

確かに人は多くないけど、このスレ自体が相手にされていないってのも

**nobodyさん** · 03/08/24 03:01

一部のスレ以外に人がいないのでは
半日以上放置して１０くらいしか下がってないし

1 · 03/08/24 03:10

人が少ないのは俺も思った。
はじめは、みんなsage進行なのかと思った。

1 · 03/08/24 03:12

ところで、姉妹ｽﾚの

掲示板にｱｸｾｽ時に
何らかの手段でｺﾈｸｼｮﾝ張らせて、生IP抜いておいて
投稿時にそれと一致しなかったらはじく
って考えは究極の串制限だと思った。

**nobodyさん** · 03/08/24 03:15

コネクションはる方法が限られてるがﾅｰ

1 · 03/08/24 03:19

>>93
抜けなかったら抜けなかったで不許可の方向で

**nobodyさん** · 03/08/24 03:26

いや・・・だからJAVAアプレットやら使わないとﾑﾘだから
それは>>4で否定したんじゃないのか？
つーか姉妹スレのもたぶん撃てるよ

1 · 03/08/24 03:36

>>95
>いや・・・だからJAVAアプレットやら使わないとﾑﾘだから
JAVAｱﾌﾟﾚｯﾄ以外にも
おなじみのtelnetでもいいし、メディアプレイヤーでもOEでも
ﾕｰｻﾞｰが持ってそうなｱﾌﾟﾘ起動しまくってGO！

>それは>>4で否定したんじゃないのか？
そもそも串制限自体否定してるからね
もしも串制限するんだったらって話。

>つーか姉妹スレのもたぶん撃てるよ
同意。あれだけじゃいくらでも穴あると思われ。

**nobodyさん** · 03/08/24 03:41

telnetて書き込む度にサーバーたてるんか・・・
しかもクライアントは書き込む度にtelnet起動させられるのか・・・
そんな鬱な板いるかっ

しかも串にアクセスさせるだけでいくらでも捏造可能・・・ナムー

1 · 03/08/24 03:45

>>97
だめか～

なんだか、下手に小細工すると
どんどんﾍﾝﾃｺな使いにくい掲示板になっていく(´Д｀)

ｼﾝﾌﾟﾙでいい方法は無いものか･･･…。

**nobodyさん** · 03/08/24 04:09

姉妹スレのちょっとやってみたら串使って書けたし
つか２月かよ・・・時が止まってるな

**nobodyさん** · 03/08/24 14:52

この板のどっかにあった7行掲示板使っとけ

1 · 03/08/25 00:24

>>99
認証にすごい時間かかる掲示板だな(´Д｀)

>>100
7行掲示板って、その名の通り7行しか書けないの？
どんな効果があるか詳細木彫り

**nobodyさん** · 03/08/25 01:25

ソースコードが7行

**nobodyさん** · 03/08/25 02:02

荒らし対策とは関係ないけどな

1 · 03/08/25 13:49

なんだ、七行プログラミングの産物か。

1 · 03/08/26 18:04

毎回、フォームの内容をランダムで決めるとかはどうだろうか？
必要な入力欄が変わってくる。多くても足りなくてもダメってとこで。
意見求む(´∀｀)

**nobodyさん** · 03/08/26 19:12

マジレスすると、
Wiki使えばいいと思う。
誰でも書けて、誰でも消せて、誰でも復旧できるって環境は、
不思議と荒らしは起きない。つか、起きてはいるんだけど、誰かが掃除するから。
たぶん荒らしてもすぐ誰かが復旧させちゃって、
やる気なくすってことじゃないかなぁと。

http://www.pukiwiki.org/?cmd=read&page=Use%20PukiWiki%2F%E8%8D%92%E3%82%89%E3%81%97

**nobodyさん** · 03/08/26 19:18

>>105
フォームの内容全部読みとられて終わり
>>106
不定期に書き換えるプログラム組んで放置

**nobodyさん** · 03/08/26 19:27

上に追記で
書き換えるページを複数セットすればより復旧が面倒でよろしい
ページ作り放題だから１０００ページぐらい作ってやったりな

個人的にはこんな性善説のかたまりみたいなのはいらん

1 · 03/08/26 19:53

>>106
Wikiって何に分類すればいいの？
微妙に掲示板と違うような気がする。

>>107
言われて見ればそうだった
フェイザーに無力だ(´・ω・｀)

>>108
確かに、手動で復旧できないくらい撃たれたらおしまいだね(´Д｀；)

1 · 03/08/26 20:15

暇だったんで、姉妹ｽﾚのあれにｶｷｺしてみた。
この前のﾔﾎｰﾍﾞｲﾍﾞｰは弾かれたけど
予想通り、ｻﾞｸは通った・・・。

**nobodyさん** · 03/08/27 00:33

おい、三代目ポン七
グダグダ言ってるが実際に作ってるのか？
それとも最初からお前の教えて君スレのつもりだったのか？

**nobodyさん** · 03/08/27 00:36

パスを画像で表示してそれを入力させるのは？
もちろんパスはアクセスするたびに違うパスで。
結構出回ってる方法だと思うがどうよ？

**nobodyさん** · 03/08/27 01:59

暇ならなんか作れ

**nobodyさん** · 03/08/27 19:46

正直な話、キツキツに制限されてまで書き込みをしようとはなかなか思えないわけなんだが。

**nobodyさん** · 03/08/28 01:00

>114
ここは「WebProg」板なわけで、

>キツキツに制限されてまで書き込みをしようとはなかなか思えないわけなんだが。
そんな主観はだれも聞いてないの、わからないかな？

**nobodyさん** · 03/08/28 01:18

んじゃ、このスレでは実用的な方法を考えようとは思ってないんだな。

**nobodyさん** · 03/08/28 01:41

>>116
制限されるのは荒らし行為だろ？
それともお前は規制されるようなことをしようと思ってそう言ってるのか？

**nobodyさん** · 03/08/28 01:43

>>117
だからー、パスを画像で表示して入力させるー、とか言い出したんで
"そんな面倒な掲示板には書き込みにくい" と言ったんだろうがボケが。

**nobodyさん** · 03/08/28 01:46

１は画像使いたくないて書いてるが・・・

まあ、他に連投に効果的な方法はないけどな
小細工は色々できるが

**nobodyさん** · 03/08/28 01:48

>>118
それは技術的に未熟な方法なだけだろう。
どこ程度が面倒かなんて主観そのものじゃないかボケが。

**nobodyさん** · 03/08/28 06:11

>>88
管理人が率先して自作自演で荒らしまくって放置しとけば、
誰も荒らしたいなんて思わんな。

高飛車にでても下手に出ても、反応さえあれば荒らすやつは
荒らすし。

俺は自分の掲示板でいい加減なことばっかり書いて、放置
してるので、いまだ荒らされたことがない。
ROMは一日10人ぐらいはいるようだが、俺以外の書込は
50日に1レスぐらいしかないW

**nobodyさん** · 03/08/28 07:24

そりゃただの日記だ

1 · 03/08/28 18:41

書きこみﾃｽﾄ

1 · 03/08/28 18:42

やったーーーーー！
ついにﾎｽﾄ規制解除された(・∀・、)

誰だよ、漏れと同じﾎｽﾄで荒らしたｳﾞｧｶは(　ﾟДﾟ)＜ｺﾞﾙｧ!!

1 · 03/08/28 18:49

>>111
2代目って誰よ？
実現可能で効果てきめんなﾈﾀが無いのに、どうやって作れっていうんだよ。
正直、素晴らしいｱｲﾃﾞｱがあったら教えて欲しいね(´Д｀)

>>112
画像ﾁｪｯｸｺｰﾄﾞでしょ？
それを超える新時代の対策を考える為にｽﾚ立てたんだが……。
詳細は>>4を見てくれ。

>>113
ｶﾞﾝｶﾞﾙ

>>120
技術的に未熟でない方法を教えてください。
いや、マジで；

>>122
ﾜﾗﾀ

1 · 03/08/28 18:55

画像ﾁｪｯｸｺｰﾄﾞは、入力('A｀)ﾏﾝﾄﾞｸｾ以前に、解りにくいという話もある。

説明しないと掲示板自体に書き込めない香具師が出てきたとこもあったそうだ。
（そんな香具師は掲示板を使わなくてよし、と言ったらそこまでだが）
で、結局、そういう香具師が多すぎて、はずしたそうだ。

**nobodyさん** · 03/08/28 19:04

まあ画像使わないなら連投防ぐのはあきらめな
なぜならブラウザで認識できるものはスクリプトも認識できるものだから
画像ﾁｪｸｺｰﾄﾞは人間の目で認識させることに意味がある

**nobodyさん** · 03/08/28 19:14

まあ、画像にしたって無駄だろ。
手間だから標的にされにくいだけで。

1 · 03/08/28 19:14

>>127
他に手はないかな？
むしろ、逆に人が入力したと思えないモノを排除するとか。

**nobodyさん** · 03/08/28 19:16

どうやって判別するんだか

1 · 03/08/28 19:17

>>128
確かに、手間かければ懐石されるね。

某、Aさんが言ってたように
無圧縮で連結しないで
連結した後にGIFならGIFのフォーマットに乗っ取って連結すれば
かなーり懐石に手間かかるけど。

1 · 03/08/28 19:19

>>130
それが問題です(´Д｀)

**nobodyさん** · 03/08/28 19:23

文字とかじゃダメだろうね。
人間の主観による判別手段が必要。
2つの写真を見せて、かわいい方をクリック、とか。

**nobodyさん** · 03/08/28 19:26

で掲示板スクリプトはそれをどう判別して正解を決めるんだ

1 · 03/08/28 19:29

>>133
その認識方法ﾜﾗﾀ

>>134
あらかじめ、問題番号と、正解の番号決めといて
ﾕｰｻﾞｰが選択後、ｽｸﾘﾌﾟﾄ側で答えと比較して
正解なら書き込み許可。不正解ならダメと。
なんか画像ﾁｪｯｸｺｰﾄﾞをあまり変わらないが
画像選別？　ﾜﾗ

**nobodyさん** · 03/08/28 19:31

問題と答えのセットが無限に必要になるぞ
つかクイズと変わらんな

1 · 03/08/28 19:34

>>136
でも、文字でクイズ出したら
文字読み取られて、終わりじゃん？

まぁ、確かに効率的じゃないな(´Д｀)

音で認識するとか。突然ｳﾞｫｲｽ流れて
何言ってたか入力しなさいとか。

1 · 03/08/28 19:37

MIDIファイル生成させて
ドレミファソラシドをﾗﾝﾀﾞﾑで選んで
鳴った音を選択とかなら実用的かも。

音階チェック。

**nobodyさん** · 03/08/28 19:38

この掲示板は人の音感を試すのかっ

・・・どんどんわけわからん方向にいってるな

1 · 03/08/28 19:41

>>139
ダメだな。耳が悪い人が排除される差別的な掲示板になってしまう(´Д｀)
視覚的な問題なら、そもそも見えなかったら掲示板利用できないから問題無いんだが。

**nobodyさん** · 03/08/28 20:08

>>140
読み上げブラウザ使ってる人もいるから、
問題無いと言い切ってしまうのはちょっと。

1 · 03/08/28 20:35

>>141
なるほど。そう考えると画像ﾁｪｯｸｺｰﾄﾞもダメだな。
画像の中身までは読み上げてくれない。つか、無理だ。

**nobodyさん** · 03/08/28 20:39

クッキーを使うのは？

BBSのトップを表示しないと、書き込み許可のクッキーは発行されない。
かつ、クッキーに投稿時間を書き込んでおけば？

1 · 03/08/28 20:54

>>143
それも>>4で既出。
2chとかその方法とってるっぽい。

thebbsでも、ﾁｪｯｸｺｰﾄﾞを二つに分けて
一方をhiddenに、もう一方をｸｯｷーに入れておいて
投稿時に二つを足した値を、ﾁｪｯｸするって方法が提示されてた。

**112** · 03/08/28 21:42

>1
画像でパスワードが一番めんどくさくないと思うんだが。
たかだか、2-4程度の英数字を入力するのって、そんなにめんどくさい？
もちろん画像は、フォーム入力画面を表示のたびに「pass.jpg」とかを自動生成。
スクリプトは完璧に防げるでしょ。
不安だったら画像にグラデーションでもかけたらさらに耐久性UP!

>143
クッキー扱うのはスクリプトにとって簡単だよ。

**nobodyさん** · 03/08/28 21:52

画像パスワードは昨年末の第三次TIME誌投票祭りで
２４時間以内に破られているので、薦めるだけ無駄。

1 · 03/08/28 22:09

>>145
既存の、ｽｸﾘﾌﾟﾄは防げてもﾂｰﾙは防げない罠。
今のところ、ｸｯｷー読み取りつつ連投するﾂｰﾙは無い。

1 · 03/08/28 22:12

ｸﾞﾗ-ﾃﾞｰｼｮﾝ・ﾉｲｽﾞ等も既出だな。
最近じゃ、画像ﾁｪｯｸｺｰﾄﾞがただの飾りになってる掲示板も多い。

**112** · 03/08/28 22:25

>146
TIME誌って、あのアメリカの？

>147
すんごい疑問なんだけど、どうやって画像パスをやぶるの？
画像解析しちゃうツールがあるの？厨房にも使いこなせるのかな？

1 · 03/08/28 22:32

>>149
stormっていう厨房ﾂｰﾙ知らないの？

確か、連結GIFイメージを分割して各画像ごとに分て
予め用意してある画像と比べて、画像ﾁｪｯｸｺｰﾄﾞを突破する。

**112** · 03/08/28 22:41

なるへそ。
>連結GIFイメージを分割して各画像ごとに分て
漏れが言ってたのは連結GIFじゃなくて、単一の画像ファイルにランダムの
パスワードを生成することを言ってたのよ。なので、ファイルサイズと見た
目はいろいろになっちゃうけど、ファイル名はいつも一緒だよ。

>予め用意してある画像と比べて
そんな画像はどこにも無いので比べようが無い＝セキュリティが高いってこと。

1 · 03/08/28 22:51

>>115
(´∀｀)？

>単一の画像ファイルにランダムのパスワードを生成することを言ってたのよ。
ﾊﾟｽﾜｰﾄﾞを画像で表示するって事じゃないの？

連結GIFっていうのは、ﾗﾝﾀﾞﾑな数字のﾊﾟｽﾜｰﾄﾞの場合だったら
０～９の画像を用意して、発行された数字をもとに
それに対応する数字画像を連結してひとつの画像にして表示するって事です。

＞そんな画像はどこにも無いので
別にファイルのバイナリを比べてるわけじゃ無いので
まったく同じ画像じゃなくても、
パターンがわかれば、エミュレートできます。

1 · 03/08/28 22:51

ﾚｽ版間違えた。
>>151ですた。

**nobodyさん** · 03/08/28 22:53

画像内の文字(チェックパス)を 1-3文字程度のランダムな文字列にし、画像内である程度ランダムに
配置するようにする（と言っても、文字の順番まで入れ変わるのは×）。フォントもランダムにすれば更にＯＫ。
hidden で、その文字列を crypt したものを埋め込んでおき、書き込まれたときに
チェックパス（を crypt したもの）と比較して、一致すれば許可、一致しなければ破棄。
こんな感じではどうだろうか。

PHP では実装は簡単だな。Perl はｼﾗﾈ

1 · 03/08/28 22:57

>>154
だから、hiddenの値を読みとって、送られたらおしまいでは？；

**154** · 03/08/28 23:02

>>155
crypt されたものは不可逆なので、読み取られても痛くとも何とも無いわけで。

あ、そういえば、書き込みフォームをするときにフォームのIDでも振っておいて、
サーバ側ではそのIDと、チェックパスを crypt したものを記録しておかないといかんな。

**154** · 03/08/28 23:03

>>156
書き込みフォームをするときに → 書き込みフォームを出力するときに

ｺﾞﾒｿ

**112** · 03/08/28 23:06

>152
>ﾊﾟｽﾜｰﾄﾞを画像で表示するって事じゃないの？
そうだよ。そのとおり。

>連結GIFっていうのは、
連結GIFを使わないのよ。

>０～９の画像を用意して、
この画像がパターン化しちゃうからばれちゃう恐れがあるじゃん。

>パターンがわかれば、エミュレートできます。
そうなのね。じゃーいかにその厨房ツールのエミュレートロジックから
外れられるか？という事なんじゃないかな？
外国製だったら、明朝で表示とか。適当な画像でパスワード画像の上から
アルファかけるとか。

>154
>画像内である程度ランダムに配置するようにする
位置を崩せばそのツールをだませるって事？

>フォントもランダムにすれば更にＯＫ。
なるへそ。

>hidden で、その文字列を crypt したものを埋め込んでおき、
サーバー側がパスをわかってれば十分じゃない？

**154** · 03/08/28 23:08

あああ、なんか混乱してる。

>>158
> サーバー側がパスをわかってれば十分じゃない？

そう、その通り。訂正thx

1 · 03/08/28 23:09

総当りでcyriptした値と同じになる文字列検索するとか。

それ以前に画像ファイルは連結じゃないとするとどうやって作るの？
予め、文字列が描いてある一枚の画像を用意するんだったら
無限枚用意しないとパターン化されるよ？
ｱﾌﾟﾚｯﾄかなんかで描画するとか？

**154** · 03/08/28 23:10

PHP には ImageString という便利な関数があるわけで。

1 · 03/08/28 23:12

>>158
>連結GIFを使わないのよ。
だから、何使うの？；

>この画像がパターン化しちゃうからばれちゃう恐れがあるじゃん。
０～９のセットを複数用意して、ﾗﾝﾀﾞﾑで選択とか（himicodeの場合）

>外国製だったら、明朝で表示とか。適当な画像でパスワード画像の上から
アルファかけるとか。
別に、画像の中身で判断してるわけじゃ無いからﾌｫﾝﾄとかあまり意味無いと思うのですが。

1 · 03/08/28 23:14

>>161
あぁ、なるほど。
PHPはちょっといじっただけで全然知らない(´Д｀)
ｽﾏｿ。

1 · 03/08/28 23:16

>>160
cyriptってなんだろう？(´Д｀；)
cryptですた。

1 · 03/08/28 23:19

>>156
>あ、そういえば、書き込みフォームをするときにフォームのIDでも振っておいて、
>サーバ側ではそのIDと、チェックパスを crypt したものを記録しておかないといかんな。
発行済みﾁｪｯｸｺｰﾄﾞのリスト作っておいて、その中のものと比較すればフォームIDはいらないと思う。

**154** · 03/08/28 23:22

>>165
それだと、リロードしまくって発行済みコードの数を増やし、あとは総当りでどうにでも
なっちまうと思うんだが。

1 · 03/08/28 23:25

>>166
リストに記録する数を制限すればいい。
追記型で、古いものから消えてくように。
そんなにｱｸｾｽ無い場所なら30個ぐらいにしとけば
突破されても被害少ないぞ。

1 · 03/08/28 23:26

つーか、フォームIDはやっぱりhiddenに入れとくの？

**nobodyさん** · 03/08/29 00:29

http://www.claraocr.org/
文字はやめとけ。

**112** · 03/08/29 00:47

>167
パスワードはそのときその人だけの一回コッキリで使うのが最強だよ。
わんたいむぱすが一番。

>168
フォームIDって何のために使うの？
同一ユーザーかどうか知りたいんだったらセッションで管理でしょ。

1 · 03/08/29 01:41

>>170
仕様済みﾁｪｯｸｺｰﾄﾞはﾘｽﾄから消すよ、もちろん。

**nobodyさん** · 03/08/29 01:54

結局画像で落ち着いたのか？

1 · 03/08/29 02:10

>>172
落ち付きませんよ(´Д｀；)

**nobodyさん** · 03/08/29 02:37

もう教えて君の相手するのやめろよ
こういうやつ次々現れてキリないぜ

1 · 03/08/29 02:54

>>174
教えて君って俺？

**nobodyさん** · 03/08/29 02:58

>>175
他にいるか？

1 · 03/08/29 03:07

>>176
そうか、残念だ。

**nobodyさん** · 03/08/29 03:07

とりあえずなんか作ってみろ
理屈だけコネててもすすまんぞ

1 · 03/08/29 03:14

>>178
それは十分解るんだが。
何を作ろうか迷ってるところだ。
プロテクト掲示板は意味無いって結論でたし。
入力する必要無い画像ﾁｪｯｸｺｰﾄﾞ掲示板は実現不可って結論でたし。
｡･ﾟ･(ﾉД`)･ﾟ･｡

**nobodyさん** · 03/08/29 03:16

んだな。
大まかに方向性は決まってるんだから、とりあえずつくっちまえ。
細かい仕様なんて後でもできるよ。

変化を抱擁せよ

1 · 03/08/29 03:20

>>180
大まかな方向性というと・・・？

>>81で出た結論って事ですか？

**nobodyさん** · 03/08/29 03:40

とりあえずでもいいから思いついた機能を列記してみろよ。
そしてそれぞれをサブルーチンでもいいから書いてみれ。
未だに1行もコード書いてないだろ。
どんな機能を思いついたってコード書けなきゃ意味ない。

1 · 03/08/29 03:52

>>182
Ok

**nobodyさん** · 03/09/01 03:35

二日たったわけだが

1 · 03/09/02 00:13

>>184
とりあえず、ここ二日、仕事が忙しくてｽｸﾘﾌﾟﾄいじってる心のゆとりが無いんだが(´Д｀)

1 · 03/09/02 00:16

とりあえず、なんか参考になりそうなｽﾚ

匿名プロクシは、止められないのか・・。
http://pc2.2ch.net/test/read.cgi/php/995085528/l50

新しい掲示板の仕様を考える
http://pc2.2ch.net/test/read.cgi/php/995359658/l50

**nobodyさん** · 03/09/04 18:06

http://www.hansin.pos.to/minibbs7.cgi
ここが、ＡＡとかコピペ荒らしを自動で弾くスクリプト使ってるみたいだけど

**nobodyさん** · 03/09/04 18:35

http://sirizamurai.s4.xrea.com/dq/r_board.cgi
ここの掲示板で荒らしが来たらみんなでやっつけるってのはどうかな

**nobodyさん** · 03/09/04 20:52

連投ツール系は外部JavaScriptファイルにチェックコードをhiddenで書いてたりしても突破する？
Javascriptダメって言われたらそれまでだけど

**nobodyさん** · 03/09/04 23:02

連結GIFの画像コードはツールがあるけど
ttp://aji.s1.xrea.com/
ここの画像コードなら大丈夫じゃないの？

**nobodyさん** · 03/09/05 01:39

>>189
*.jsファイル直接読まれてばれる
>>190
その掲示板はゴニョゴニョ・・・

**nobodyさん** · 03/09/05 01:50

お？ま…まさか

**nobodyさん** · 03/09/05 20:16

>>191
CGIでJSを出力する。

code.txt
unyanya

document.write('<INPUT type="hidden" name="code" value="unyanya">');
で、書き込み時にcode=unyanyaじゃなかったらじはじき、書き込めたらcode.txtをランダムに書き換えるってのは？

説明べたでｽﾏｿ

**nobodyさん** · 03/09/06 01:55

出力されるものは読まれる
それがHTMLだろうがJSだろうが
上のは
code.txt
function unyaya(){}

CGI_
document.write('<input type="hidden" name="code" value="'+ unyanya() +'">')

とかやりたいの？
毎回code.txtスクリプトに読ませりゃいいじゃん
ブラウザが読めるものはスクリプトも読める

**nobodyさん** · 03/09/06 02:03

あ、それとも
<input type="hidden" name="code" value="***">を
document.write()で出力するだけて意味なのかな？
まあ、どっちでも意味ねーべ
読まれる

1 · 03/09/06 06:36

>>187
ひららか…
ぶっちゃけ、プロテクトBBSはそこからアイデア得たんだけどね。

>>188
ドラクエ？

>>190
Perl賢者か…
どっかで突破されてなかったっけ？

つーか、今、ﾗｲﾌﾞﾗﾘ使わないで
あぷろだ書いてるんだけど
なんか処理とまる(´Д｀)

**nobodyさん** · 03/09/06 07:56

あの板はごにょごにょのルーチンにごにょごにょ使ってるので
ごにょごにょ送ると画像無視できるわけですよ
まあ一番ひどいのはIMAC零式の改造版なわけですが・・・
ごにょごにょがおかしくなってるので同じものが何度でも使えたりします
つかデフォで使ってるとｶﾙ板時代からの穴のせいでタグ使い放題だからだめぽ

**nobodyさん** · 03/09/06 11:33

>>197
code.txtにはランダムな文字列が書かれてる

code.cgiは
open(F, "code.txt") or ....;
$code = <F>;
close F;
で
content-type: x-applicetion/javascript\n\n",
document.write('<INPUT type="hidden" name="code" value="'+$code+'">');
と吐く

で、BBSの書き込みフォームから
<SCRIPT src="code.cgi"></SCRIPT>

書き込み時に
code.txtの内容とparam('code')が一致しなければ弾く。
無事書き込めた場合はcode.txtをランダムな文字列に書き換える

code.cgi読む⇒POSTする　の流れで連投されたらだめだけど、ｶﾞﾌﾞﾘﾃﾞｭｰｸくらいはふさげない？

**nobodyさん** · 03/09/06 11:45

わざわざJS使わなくても<input type="hidden" name="code" value="**">
で同等の効果が得られるのではないかという疑問がまずあるわけだが

つかｶﾞﾌﾞなら英数字のみのカキコ弾けば防げる

**nobodyさん** · 03/09/06 12:06

ごにょごにょのとこ気になるよぅ
＞ごにょごにょがおかしくなってるので
ｺﾚは知ってるのだが