Office - защита от автоматических регистраций. Кто как делает?
Добрый вечер друзья.
Сначала предыстория:
1. Обнаружил в Метрике переход на сайт по запросу «вы можете указать свой пароль, или оставить это поле пустым и тогда он будет сгенерирован автоматически». По данному запросу яндекс выдает 5 тыс. результатов, большая часть из которых на modx, с установленным office, что логично.
2. Посыпались автоматические регистрации на сайте. Пока заметил, число пользователей увеличилось на 900 человек и продолжало расти по несколько человек в минуту. Запросы сыпались простым POST на action.php, с параметрами email и action.
3. Все бы ничего..., но при регистрации отправилось 900 писем на реальные ящики. В скрипте злоумышленника явно была использована реальная база, преимущественно ящики mail.ru, кто-то даже подтвердил регистрацию, кто-то искал в яндексе ящик сайта, с которого пришло письмо, какие-то ящики неактуальны, пришла ответка от Mail Delivery Subsystem.
Собственно, вопрос:
Кто как борется с автоматическими регистрациями через Office?
Сначала предыстория:
1. Обнаружил в Метрике переход на сайт по запросу «вы можете указать свой пароль, или оставить это поле пустым и тогда он будет сгенерирован автоматически». По данному запросу яндекс выдает 5 тыс. результатов, большая часть из которых на modx, с установленным office, что логично.
2. Посыпались автоматические регистрации на сайте. Пока заметил, число пользователей увеличилось на 900 человек и продолжало расти по несколько человек в минуту. Запросы сыпались простым POST на action.php, с параметрами email и action.
3. Все бы ничего..., но при регистрации отправилось 900 писем на реальные ящики. В скрипте злоумышленника явно была использована реальная база, преимущественно ящики mail.ru, кто-то даже подтвердил регистрацию, кто-то искал в яндексе ящик сайта, с которого пришло письмо, какие-то ящики неактуальны, пришла ответка от Mail Delivery Subsystem.
Собственно, вопрос:
Кто как борется с автоматическими регистрациями через Office?
Комментарии: 7
Авторизуйтесь или зарегистрируйтесь, чтобы оставлять комментарии.
Капчу не могу установить на Office, кто поможет за вознаграждение?
Поможет CSRF токен, его проверка перед сохранением объекта пользователя, и генерация нового после сохранения. Раз такая проблема, постараюсь выпустить обновление на днях.
Ждём обновление!