Host.HowPick

Host.HowPick 发表于 2013-9-3 16:58

你知道我的防反代方式， 当然就可以针对的破解了。
毕竟反代的过程中， 是可以修改页面输出的代码的。
...
en。不过前端代码都可以看到，
能看到就能找到，只能防防小白。

Host.HowPick

本帖最后由 Host.HowPick 于 2013-9-3 17:46 编辑

smyz 发表于 2013-9-3 17:07

en。不过前端代码都可以看到，
能看到就能找到，只能防防小白。

好吧， 对您这类高技术， 高智商的妹子(非歧视，Onz)。

可以采用多个 (2号)域名的组合方式。

比如说我准备 5 个域名。  5 个域名的全排列组合有多少， 我数学已经还给老师了， 反正是不少。

1域名 必须 和主域名  IP 一致。
2域名 必须 和主域名  IP 不一致。
3域名 必须 和主域名  IP 不一致。
4域名 必须 和主域名  一致。
5域名 必须 和主域名  一致。

这个组合答对了， 认为不是反代 正常访问。   如果答错了， 认定为是反代，输出 1024。

对方很厉害的话， 短时间使用程序测试出了， 那么换一种组合。 如果想让对方猜的费劲些， 增加一个二级域名好了。

以上 5 个域名， 纯属 yy。 其实 二级 域名和顶级域名的地位完全是等同的。 那么上面的5个域名完全可以用5个二级域名代替。

比如
cdn1.1024.com      1
cdn2.1024.com      0
cdn3.1024.com      0
cdn4.1024.com      1
cdn5.1024.com      1

被破解， 换个组合好了。 当然， 为了增加破解难度，可以多增加几个 二级子域名。

缺点， 参与混淆的域名越多， 就会更容易出现误判的现象。

当然这里面可以采用一种宽松的模式， 来降低误判的影响，比如设置一个阈值， 不见得要一下全中， 3吃访问， 两次命中，认为是正常访问。。。

SKIDROW

本帖最后由 Host.HowPick 于 2013-9-3 17:57 编辑

对于防破解。

都知道， 必须使用程序。 那么可以针对程序破解增加难度。

比如第一次未命中， 那么好吧， 高度可疑是反代高手的，那么您再次请求的时候， 对不起，我的地盘我做主，请您来验证个高难度的图片吧， 我知道您可以云打码，那就花钱慢慢打吧。。。打过去， 我没事看看反代的可疑IP和域名，发现被破解，我就换个组合吧。 您继续破解。  

我还可以通过程序什么的监控反代域名， 这个是非常容易的，当发现对方已经破解了， 自动换个组合。。。

smyz

本帖最后由 SKIDROW 于 2013-9-3 18:36 编辑

Host.HowPick 发表于 2013-9-3 16:58

你知道我的防反代方式， 当然就可以针对的破解了。
毕竟反代的过程中， 是可以修改页面输出的代码的。
...

把JS混淆，修改就很麻烦了。而且别忘了data:text/javascript;base64，慢慢解吧。

稀饭

＝ ＝
Host.HowPick 前面帖子还看得明白，上面帖子看迷糊了。。
感觉是靠前端来防是防不止。

JS混淆……
如果反代替换下JS代码，让JS出错就跑不动呢。

Host.HowPick

呵呵

qiqi13245

smyz 发表于 2013-9-3 18:48

＝ ＝
Host.HowPick 前面帖子还看得明白，上面帖子看迷糊了。。
感觉是靠前端来防是防不止。
反代会尽可能的伪装为正常用户。

关键是在后端，
您如果区分哪个是反代，哪个不是呢？  

只有搞定了区分，然后只要找到哪怕是一种反代者无法绕过的区分方法， 反代就死翘翘了。


有没有什么好的方式？

qiqi13245

这么简单。。。服务端获取socket链接，然后用curl构造一个request，request到80，但是有误伤可能性。

最简单的就是javascript了，可以使用各种密文，然后再用javascript解密，这样就防止了反向代理自动替换特征码的可能性。

比如说后端一天自动更新一次scripts，密匙为今天的日期，密文自动生成，这样就替换不了了

qiqi13245

本帖最后由 qiqi13245 于 2013-9-4 00:24 编辑

Host.HowPick 发表于 2013-9-4 00:03

反代会尽可能的伪装为正常用户。

关键是在后端，

还有一个方式就是静态资源重定向，匹配静态资源规则到host的一个特定端口，当然他把你这个端口代理了，就没办法了。（可以拓展下，还有其他方法的）
最简单有效的还是javascript
而且还有一个问题，反代流量大了，会触发litmit request。很多方式的。
qiqi13245 发表于 2013-9-4 00:22

还有一个方式就是静态资源重定向，匹配静态资源规则到host的一个特定端口，当然他把你这个端口代理了，就 ...
JS push 到前端的时候， 就不存在秘密了。

当然我不是专门搞破解的。 但是 js 混淆 或者 加密， 强度有多高呢 ？   对一个熟悉 js 的加密算法 的人来说， 应该不难破解的。

jsjiayuan

Host.HowPick 发表于 2013-9-4 00:40

JS push 到前端的时候， 就不存在秘密了。

当然我不是专门搞破解的。 但是 js 混淆 或者 加密， 强度有 ...
混淆过后的，可以做到把一个var a = "abc";
变成var a; var b = "xxxxxxxxx"; a= b[x];
基本上不能用替换脚本