最近记录到一次大型的撞库攻击，论坛登录图形验证码永久调整为高安全级 【请大家务必保证不要在其它网站使用同我们这里一样的密码】

armok.

最近几个月一直有撞库的攻击。

8月30号晚上21:49 分到22:46 分这一个小时达到顶峰。

这一个小时内，攻击者使用了数万个IP 对我们进行撞库攻击：每撞一次， 就会更换一个IP地址（一个IP最多只使用2次）。

攻击者的IP地址第一位数字，从0 到 254 都有。 这么巨大的资源库，瓦解了我们识别攻击IP来源的安全措施。

攻击手段有弱密码攻击， 根据外面已经暴露的用户密码字典攻击（利用某些网站如网易等之前爆出的泄露了用户名与密码，被人制作成攻击字典）等。


下面是8月30日那一个小时内的部分攻击数据。






所以，再一次提醒： 请大家务必保证不要在其它网站使用同我们这里一样的密码，否则，别的地方泄露了密码，我们这里的帐号就可能被盗用。我们这里的帐号被盗用，可能会对你产生非常严重的后果：恶意者使用你的帐号在我们这里发布反社会言论，然后截图举报。网警会找到你， 我们也能找到你，因为根据截图，我们是能识别出截图者的（  详情： 阿莫敬告举报者：我已经查出你是谁，回头是岸 https://www.amobbs.com/thread-5732994-1-1.html ）。


为了阻止撞库攻击，我们不得不提高登录图形验证码的安全等级。 目前已经调整到的安全等级样板是：





【第一个验证码我们故意设计成大概率错误的，可直接换一个跳到第2个才开始输入】技巧：输入完成后，点击一个动画外的空白地方，如果动画左边提示一个绿色的√，表示验证码输入成功，这时就可以进行下一步操作。否则按“换一个”。

Himem

227.90.92.127  240.21.210.24 是保留地址，
正常互联网上不会出现吧，应该是通过什么手段伪造的

可能是下面这个漏洞
https://www.cnblogs.com/yangxiaodi/p/6917614.html

看别的论坛也有用第三方手势识别语义识别的验证码应该效果也可以，传统验证码感觉对付不了神经网络

月夜随想

早已经改成十几位的随机密码

Kengcc

最近验证码都输不对了

armok.

Himem 发表于 2020-9-5 14:02
227.90.92.127  240.21.210.24 是保留地址，
正常互联网上不会出现吧，应该是通过什么手段伪造的

第三方手势识别语义识别的验证码？

是指什么？有例子吗？


你说的对方的IP是伪造的，很有可能。我已经让技术人员看看能否找到正确获得IP的方法。

Himem

armok. 发表于 2020-9-5 14:45
第三方手势识别语义识别的验证码？

是指什么？有例子吗？

discuz的插件商场里就有一些

例子

手势 vaptcha ：
http://www.zhuoqiland.com.cn/mem ... ng&action=login

滑动/点选 geetest（API收费）：
https://www.mcbbs.net/member.php?mod=logging&action=login

语义：
https://www.dingxiang-inc.com/business/captcha （论坛还在找）

armok.

Himem 发表于 2020-9-5 15:04
discuz的插件商场里就有一些

例子

验证码只是过度方式。万不得已，我们会强制使用手机登录。