Protección DDOS del foro.

[@XSStringManolo]

Es una protección creada por alguien del foro o por Cloudflare?

Por qué está ofuscado el código? Lo ando desofuscando por curiosidad, se puede compartir el código desofuscado?

[engel lex]

hasta donde se es cloudflare plano y simple... no se si alguien lo habrá "tuneado" pero lo dudo

[WHK]

El foro tiene muchos mecanismos para prevenir un ddos, algunos son públicos, otros no, muchas de estas medidas están a nivel del mismo servidor a traves de configuraciones personalizadas del kernel del sistema operativo del servidor, modificaciones en la configuración de los módulos del servidor web y tuneos al motor de la base de datos y de php entre otras cosas, a demás de cloudflare a traves de una cuenta de pago con varias modificaciones a las reglas del waf a modo preventivo únicamente a demás del sistema de balanceo global y ahorro de tráfico de cloudflare y su sistema propio anti ddos y algunos sistemas bien básicos vía web que se accionan de manera automática según la carga de cpu como el detectabot y el modo mantenimiento del foro con acceso restringido.

Claramente desde una simple navegación web no podrás ver todas estas modificaciones que se realizan por detrás.

Talves este tema te interese:

https://foro.elhacker.net/tutoriales_documentacion/intentando_detener_un_ataque_ddos-t137442.0.html

Tienes la url del código ofuscado al que te refieres?

Saludos.

[@XSStringManolo]

Lo que más me llamó la atención es lo básica que es la ofuscación y por eso mismo me llamó la atención y mi curiosidad. Cual es el motivo de ofuscar un código de forma tan sencilla.

El código al que me refiero es el de:

setTimeout(function(){
  var s,t,o,p,b,r,e,a,k,i,n,g,f, wnnugbo={"bunQv:+((![]+!![]+!![]+!![].........

function(p) { return eval((true+"")[0]+".ch"+(false+"")[1]....
Toda esta historia por ejemplo para escribir t.charCodeAt(p)

No le veo el sentido de obfuscar de esta forma.

Ya lo tengo prácticamente todo desobfuscado y tenía la curiosidad de por qué se obfuscó de forma tan simple.

Cuando lo acabe de desobfuscar intentaré saltárme la protección más que nada porque con datos móvil a mínima velocidad cuesta mucho acceder al foro.

[WHK]

Pues como te mencioné anteriormente, tienes la url del código ofuscado al que te refieres? no será que estás viendo un código que no es del foro? por ejemplo el de google analytic.

[#!drvy]

Esa parte que mencionas es de Cloudflare. Es un challange JS sencillo para descartar bots y agentes sin motor de javascript.

Aquí lo tienes desofuscado.

https://gist.github.com/joepie91/c5949279cd52ce5cb646d7bd03c3ea36

Saludos

[@XSStringManolo]

Pues como te mencioné anteriormente, tienes la url del código ofuscado al que te refieres? no será que estás viendo un código que no es del foro? por ejemplo el de google analytic.

Es el código que te sale al acceder al foro.
La url es foro.elhacker.net

Lo saqué con:
$ curl foro.elhacker.net > codigo.txt

Esa parte que mencionas es de Cloudflare. Es un challange JS sencillo para descartar bots y agentes sin motor de javascript.

Aquí lo tienes desofuscado.

https://gist.github.com/joepie91/c5949279cd52ce5cb646d7bd03c3ea36

Saludos

Nice! Me ahorras trabajo! Tienes ya alguna forma de saltártelo con curl? Si no intentaré hacerlo yo. No sé como de difícil pueda ser. Usaré de engine node.js, v7, quickjs, tinyjs o alguno de estos.

[WHK]

Nopues, ese js no es del foro, es un código propietario de cloudflare, de todas maneras puede ser para efectos de captcha y prevención de automatización, pero no siempre aparece, generalmente cuando abusas de una dirección url te aparece ese mensaje. Si te apareció, que estabas haciendo antes de lanzar el curl?, si quieres ver el código fuente normal del foro puedes usar la url

view-source:https://foro.elhacker.net/

[@XSStringManolo]

Nopues, ese js no es del foro, es un código propietario de cloudflare, de todas maneras puede ser para efectos de captcha y prevención de automatización, pero no siempre aparece, generalmente cuando abusas de una dirección url te aparece ese mensaje. Si te apareció, que estabas haciendo antes de lanzar el curl?, si quieres ver el código fuente normal del foro puedes usar la url

view-source:https://foro.elhacker.net/

Sale siempre en el primer acceso al foro sin una sesión activa. Con curl o desde modo incógnito te sale.

Necesitas sobrepasar el challenge de cloudflare para acceder al foro por curl y por tanto ver el fuente. Como requiere js necesitas un motor de javascript y eso es lo que quiero saltarme ya que me da problemas accediendo al foro con poca velocidad de navegación. A parte podría tirar un curl para que me notificase de mensajes, nuevos temas y respuestas.

[WHK]

Sale siempre en el primer acceso al foro sin una sesión activa

He revisado y he accedido al foro desde una ventana de navegación privada para no enviar cookies ni nada y no me pide una sesión.

Cloudflare cuenta con un sistema de protección inteligente muy similar a lo que hace Google o facebook, por ejemplo, cada ves que ingresas a un sitio web controlado por cloudflare o google te enrolan en un sistema con una infinidad de parámetros y te dan un puntaje, por ejemplo, si haces constantes solicitudes con un user agent de curl entonces te bajan el puntaje por ser potencialmente un atacante, si no usas cookies te bajan el puntaje, y así... si navegas por el foro y cuentas con cookies, referencias en las cabeceras, un buen user agent, cabeceras asociadas al user agent como el dnt entonces te suben el puntaje y si lo haces constantemente te suben mas el puntaje.

Cuando tienes un puntaje elevado no te piden captcha ni te bloquean el acceso cuando intentas automatizar algo porque tu puntaje es bueno, es mas probable que seas un humano haciendo pruebas que un bot atacando, pero si tienes un mal puntaje entonces cuando entras sin cookies o sin sesión te bloquean y te ponen captchas porque eres considerado potencialmente malicioso.

Eso pasa muchas veces cuando te aparecen captchas en el buscador de google o en sitios que usan cloudflare, de hecho este sistema también se utiliza mucho para validar cuentas en redes sociales como gmail o facebook, cuando tienes un buen comportamiento no te hacen validar el número telefónico pero cuando tienes un puntaje muy malo te exigen incluso a veces una copia de identidad nacional y ese puntaje no siempre está asociado a una cookie o una ip sino a un conjunto de muchas cosas que te rastrean, por ejemplo, si cambias de ip pero mantienes las mismas cookies de sesión al acceder a otros sitios que estén protegidos por la misma compañía, cuando usas una misma cuenta de google para entrar en diferentes lugares o cuando google analytics te rastrea, cuando el botón me gusta de facebook te rastrea y ve si eres la misma persona navegando con mas de una ip, te detectan si usas proxys o no, si usas tor, etc etc etc.

Probablemente has estado haciendo pruebas con algunas solicitudes al foro y a lo largo del tiempo te has dedicado a realizar más solicitudes como bot que como humano usando el navegador y por eso cloudflare te ha visto y te ha catalogado como malicioso y por eso ves ese script.

Debes tener cuidado porque si haces esas pruebas desde tu pc con tus sesiones iniciadas de redes sociales como gmail te catalogarán como malicioso incluso dentro de las plataformas de terceros, recuerda que no es necesario tener una ip o una cookie para detectar quien eres. De todas maneras esto no es permanente y el puntaje puede variar mucho con el pasar de los días, aunque nunca es bueno tener una mala reputación porque luego ves una captcha en casi cualquier lugar donde vas y te hacen hacer un sin fin de validaciones personales, te lo cuento como experiencia propia, antes cuando hacía las pruebas desde mi pc todos los días terminaba viendo captchas por todos lados y en algunas redes sociales me solicitaban más información sobre mi identificación, pero luego comencé a usar otros medios para hacerlo como servidores dedicados para hacer pruebas totalmente legales y ya no me sucede más.

Saludos.