Brute force attack

Hey,

Ik had een vraagje, ik heb nu een brute-force attack beveiliging op mijn website. Alleen worden de overgebleven pogingen en tijd tot blokkade word opgeheven opgeslagen in een sessie.

Als je dus je browser zou sluiten, is dat weg..

Hoe kan ik ervoor zorgen dat dit niet kan?

Moet ik dan met een database o.i.d. gaan werken?

Dan moet je idd met een database gaan werken of met cookies. Dat laatste is ook niet waterdicht.

Met database dus...

je kunt bruteforce ook gewoon voorkomen door bijvoorbeeld dit te doen

[COLOR= #0000BB]<?php[/COLOR]
[URL="http://www.php.net/if"]if[/URL][COLOR= #007700]([/COLOR][URL="http://www.php.net/isset"]isset[/URL][COLOR= #007700]([/COLOR][COLOR= #0000BB]$_POST[/COLOR][COLOR= #007700][[/COLOR][COLOR= #DD0000]baba[/COLOR][COLOR= #007700]]))
  {[/COLOR]
  [COLOR= #FF8000]// check {[/COLOR]
   [COLOR= #007700].[/COLOR][COLOR= #FF8000]// goedgekeurd[/COLOR]
[COLOR= #007700]}[/COLOR]  [URL="http://www.php.net/else"]else[/URL] [COLOR= #007700]{[/COLOR]
  [URL="http://www.php.net/sleep"]sleep[/URL][COLOR= #007700]([/COLOR][COLOR= #0000BB]2[/COLOR][COLOR= #007700]);[/COLOR]
  afgekeurd [COLOR= #FF8000]//[/COLOR]
  redicten
[COLOR= #007700]}
  }[/COLOR]
?>

Kan iemand uitleg geven over deze hack? Dan kan ik mijn site er ook op beveiligen?

Dan word 10x per seconde een verschillend wachtwoord ingevoerd bij een accountnaam om zo achter het wachtwoord te komen.

Smiegles schreef:

je kunt bruteforce ook gewoon voorkomen door bijvoorbeeld dit te doen

[COLOR= #0000BB]<?php[/COLOR]
[URL="http://www.php.net/if"]if[/URL][COLOR= #007700]([/COLOR][URL="http://www.php.net/isset"]isset[/URL][COLOR= #007700]([/COLOR][COLOR= #0000BB]$_POST[/COLOR][COLOR= #007700][[/COLOR][COLOR= #DD0000]baba[/COLOR][COLOR= #007700]]))
  {[/COLOR]
  [COLOR= #FF8000]// check {[/COLOR]
   [COLOR= #007700].[/COLOR][COLOR= #FF8000]// goedgekeurd[/COLOR]
[COLOR= #007700]}[/COLOR]  [URL="http://www.php.net/else"]else[/URL] [COLOR= #007700]{[/COLOR]
  [URL="http://www.php.net/sleep"]sleep[/URL][COLOR= #007700]([/COLOR][COLOR= #0000BB]2[/COLOR][COLOR= #007700]);[/COLOR]
  afgekeurd [COLOR= #FF8000]//[/COLOR]
  redicten
[COLOR= #007700]}
  }[/COLOR]
?>

Is er ook andere manier?

Milan schreef:

Dan word 10x per seconde een verschillend wachtwoord ingevoerd bij een accountnaam om zo achter het wachtwoord te komen.

Dan kan je toch gewoon maximale poigingen 5 doen ofzo en als 5/5 poigingen fout is verbannen voor 10 minuten?

Vriendje schreef:

Eerdere citaten tonen

Smiegles schreef:

je kunt bruteforce ook gewoon voorkomen door bijvoorbeeld dit te doen

[COLOR= #0000BB]<?php[/COLOR]
[URL="http://www.php.net/if"]if[/URL][COLOR= #007700]([/COLOR][URL="http://www.php.net/isset"]isset[/URL][COLOR= #007700]([/COLOR][COLOR= #0000BB]$_POST[/COLOR][COLOR= #007700][[/COLOR][COLOR= #DD0000]baba[/COLOR][COLOR= #007700]]))
  {[/COLOR]
  [COLOR= #FF8000]// check {[/COLOR]
   [COLOR= #007700].[/COLOR][COLOR= #FF8000]// goedgekeurd[/COLOR]
[COLOR= #007700]}[/COLOR]  [URL="http://www.php.net/else"]else[/URL] [COLOR= #007700]{[/COLOR]
  [URL="http://www.php.net/sleep"]sleep[/URL][COLOR= #007700]([/COLOR][COLOR= #0000BB]2[/COLOR][COLOR= #007700]);[/COLOR]
  afgekeurd [COLOR= #FF8000]//[/COLOR]
  redicten
[COLOR= #007700]}
  }[/COLOR]
?>

Is er ook andere manier?

ip opslaan in een .txt file en dan verwijderen na een aantal minuten.

Of ip opslaan in een database. Dat is nog beter

Ik deed het altijd zo:
Foute inlogpoging > In database inclusief aantal > Iedere keer dat er door het zelfde ip foute loginpoging was +1 > bij 10 pogingen ban > Iedere dag om 00:00 liet ik een cronjob de aantallen op 0 zetten.

Jponsen schreef:

Ik deed het altijd zo:
Foute inlogpoging > In database inclusief aantal > Iedere keer dat er door het zelfde ip foute loginpoging was +1 > bij 10 pogingen ban > Iedere dag om 00:00 liet ik een cronjob de aantallen op 0 zetten.

En als ze er dan ddos in verwerken? Telkens met andere IP

En daar heb je geen crons voor nodig. Je kan dit prima met datetime in de gaten houden, en na 5 minuten weer iemand toe staan om te laten posten.

Smiegles schreef:

je kunt bruteforce ook gewoon voorkomen door bijvoorbeeld dit te doen

[COLOR= #0000BB]<?php[/COLOR]
[URL="http://www.php.net/if"]if[/URL][COLOR= #007700]([/COLOR][URL="http://www.php.net/isset"]isset[/URL][COLOR= #007700]([/COLOR][COLOR= #0000BB]$_POST[/COLOR][COLOR= #007700][[/COLOR][COLOR= #DD0000]baba[/COLOR][COLOR= #007700]]))
  {[/COLOR]
  [COLOR= #FF8000]// check {[/COLOR]
   [COLOR= #007700].[/COLOR][COLOR= #FF8000]// goedgekeurd[/COLOR]
[COLOR= #007700]}[/COLOR]  [URL="http://www.php.net/else"]else[/URL] [COLOR= #007700]{[/COLOR]
  [URL="http://www.php.net/sleep"]sleep[/URL][COLOR= #007700]([/COLOR][COLOR= #0000BB]2[/COLOR][COLOR= #007700]);[/COLOR]
  afgekeurd [COLOR= #FF8000]//[/COLOR]
  redicten
[COLOR= #007700]}
  }[/COLOR]
?>

Waarom zou dat werken? lol, dat helpt helemaal niets.
Ontopic: het beste is om een max. pogingen per 5 minuten maken. Zodat het per dag beperkt is tot een redelijk aantal. 100/dag? (resetbaar me email ofzo) Als mensen daar overgaan => opslaan in database met ip enzovoort en dan checken wat er aan de hand is wanneer jij online komt.