Tek Sir Warriors » PHP

Antibot : bloquea Spam en tu web efectivamente

SirAntuans — Wed, 31 Mar 2010 05:49:11 +0000

Haz sido victima de los Bots?, se registran en tu web masivamente y dejan publicados mensajes -non gratos- en tu foro?, ¿como logran registrarse?.

Hoy en día los programas maliciosos que recoletan información de páginas web han proliferado con algoritmos más sofisticados que detectan y vulneran los métodos tradicionales de registro de algunos portales de contenido (CMS) , tal es el caso de Joomal, Php nuke , entre otros.

Y como podemos evitar esta situación? ,les voy a explicar como implementar un captcha con acceso a base de datos y no únicamente con métodos GET o POST haciendo uso del mod SecImages ( hecho por truden para foros php-nuke) y que podemos aplicar en otros módulos o CMS, nos vamos a enfocar en el registro de nuevos usuarios (Your_Account) y el contactame (feedback) de php nuke.

Descarga el módulo Security Images (24) , descomprímelo y copialo en el root de tu nuke

Debes crear en tu base de datos la siguiente tabla

CREATE TABLE `security_images` (
   `ID` int(11) NOT NULL auto_increment,
   `insertdate` datetime NOT NULL default '0000-00-00 00:00:00',
   `referenceid` varchar(100) NOT NULL default '',
   `hiddentext` varchar(100) NOT NULL default '',
   PRIMARY KEY (`ID`)
) TYPE=MyISAM;

En este caso es altamente recomendable que edites el archivo config.php para cambiar la siguiente variable :

 $gfx_chk = 0;

Las siguientes dos funciones debes insertarlas en tu mainfile.php (preferentemente) o el modulo que vayas a proteger


//Define function to insert security image
function insertSecurityImage($inputname) {
   $refid = md5(mktime()*rand());
   $insertstr = "\n
   ";
   return $insertstr;
}

//Define function to check security image confirmation
function checkSecurityImage($referenceid, $enteredvalue) {
    global $stop, $user_prefix, $db;
   $referenceid = mysql_real_escape_string($referenceid);
   $enteredvalue = mysql_real_escape_string($enteredvalue);
if ($db->sql_numrows($db->sql_query("SELECT ID FROM security_images WHERE referenceid='".$referenceid."' AND hiddentext='".$enteredvalue."'")) > 0) {
    return true;
   } else {
      return false;
   }
  }

Campos a modificar en el archivo securityimage.php :

“localhost” es tu localhost (generalmente este no cambia)
“user” username de la base
“password” password de la base
“dbname” nombre de la base

Para conocer los valores de dichos campos , abre el config.php del root de tu nuke.

mysql_connect("localhost", "user", "password") or die(mysql_error());
mysql_select_db("dbname");

Puedes incluso cambiar los valores incluyendo letras y numeros o solo numeros(lenght = longitud, chars = caracteres a considerar) :


//Generate the random string
$chars = array("a","A","b","B","c","C","d","D","e","E","f","F","g",
"G","h","H","i","I","j","J","k",
"K","l","L","m","M","n","N","o","O","p","P","q","Q",
"r","R","s","S","t","T","u","U","v",
"V","w","W","x","X","y","Y","z","Z","1","2","3","4",
"5","6","7","8","9");
$length = 8;
If you change it to this:
//Generate the random string
$chars = array("1","2","3","4",
"5","6","7","8","9","0");
$length = 6;

Ahora ubica la funcion confirmNewUser(), a la cual le agregarás el campo $security_try en el parámetro , en la declaración de variables globales de la misma función y en el case.

function confirmNewUser($username, $user_email, $user_password, $user_password2, $random_num, $gfx_check,$security_try) {
 global $stop, $EditedMessage, $sitename, $module_name, $minpass,$security_try;

Ahora en el case queda así :

 case "new user":
 
 confirmNewUser($username, $user_email, $user_password, $user_password2, $random_num, $gfx_check,$security_try);
 break;

Bien, ahora ubica el siguiente bloque (dentro de la misma función ConfirmNewUser()

    if (!$stop) {
        $datekey = date("F j");
        $rcode = hexdec(md5($_SERVER['HTTP_USER_AGENT'] . $sitekey . $_POST['random_num'] .
            $datekey));
        $code = substr($rcode, 2, 6);
        if (extension_loaded("gd") and $code != $gfx_check and ($gfx_chk == 3 or $gfx_chk ==
            4 or $gfx_chk == 6 or $gfx_chk == 7)) {
            title("" . _NEWUSERERROR . "");
            OpenTable();
            echo "" . _SECCODEINCOR . "

" . "" . _GOBACK . "";
            CloseTable();
            include ("footer.php");
            die();
        }

Posterior al bloque mencionado, introducimos la validación del captcha, estamos haciendo uso de dos variables vitales para este proceso ya que estamos generando el codigo en la base y ligada a una referencia :

   $security_refid = $_POST[security_refid];
   $security_try = $_POST[security_try];

   $checkSecurity = rcheckSecurityImage($security_refid, $security_try);
  
     if (!$checkSecurity){
     title(""._NEWUSERERROR."");
   OpenTable();
   echo ""._SECCODEINCOR."

"
   .""._GOBACK."";
   CloseTable();
   include("footer.php");
   die();
   }

Si seguiste las indicaciones tu función completa debe apreciarse asi (considerando que solo tienes este mod)

function confirmNewUser($username, $user_email, $user_password, $user_password2, $random_num, $gfx_check,$security_try) {
 global $stop, $EditedMessage, $sitename, $module_name, $minpass,$security_try;
 include("header.php");
 include("config.php");
 $username = filter($username, nohtml);
 $user_email = filter($user_email, nohtml);
 $user_viewemail = "0";
 userCheck($username, $user_email);
 if (!$stop) {
  $datekey = date("F j");
  $rcode = hexdec(md5($_SERVER[HTTP_USER_AGENT] . $sitekey . $_POST[random_num] . $datekey));
  $code = substr($rcode, 2, 6);
  if (extension_loaded("gd") AND $code != $gfx_check AND ($gfx_chk == 3 OR $gfx_chk == 4 OR $gfx_chk == 6 OR $gfx_chk == 7)) {
   title(""._NEWUSERERROR."");
   OpenTable();
   echo ""._SECCODEINCOR."

"
   .""._GOBACK."";
   CloseTable();
   include("footer.php");
   die();
  }

   $security_refid = $_POST[security_refid];
   $security_try = $_POST[security_try];
  
   $checkSecurity = rcheckSecurityImage($security_refid, $security_try);
  
     if (!$checkSecurity){
     title(""._NEWUSERERROR."");
   OpenTable();
   echo ""._SECCODEINCOR."

"
   .""._GOBACK."";
   CloseTable();
   include("footer.php");
   die();
   }       
       
  if ($user_password == "" AND $user_password2 == "") {
   $user_password = makepass();
  } elseif ($user_password != $user_password2) {
   title(""._NEWUSERERROR."");
   OpenTable();
   echo ""._PASSDIFFERENT."

"._GOBACK."";
   CloseTable();
   include("footer.php");
   die();
  } elseif ($user_password == $user_password2 AND strlen($user_password) < $minpass) {
   title(""._NEWUSERERROR."");
   OpenTable();
   echo ""._YOUPASSMUSTBE." $minpass "._CHARLONG."

"._GOBACK."";
   CloseTable();
   include("footer.php");
   die();
  }
  title("$sitename: "._USERREGLOGIN."");
  OpenTable();
  echo ""._USERFINALSTEP."

$username, "._USERCHECKDATA."

"
  .""
  .""
  .""._UUSERNAME.": $username
"._EMAIL.": $user_email


"
  .""._NOTE." "._YOUWILLRECEIVE."";
  echo ""
  .""
  .""
  .""
  .""
  .""
  ."

"
  ."   "._GOBACK."";
  CloseTable();
 } else {
  OpenTable();
  echo "Registration Error!

";
  echo "$stop
"._GOBACK."";
  CloseTable();
 }
 include("footer.php");
}

Continuamos, ahora sigue la función new_user()

function new_user() {
    global $my_headlines, $module_name, $db, $gfx_chk;

A la que tambien le agregaremos la variable $security_try :

function new_user() {
 global $my_headlines, $module_name, $db, $gfx_chk,$security_try;

Ubica en dicha funcion el siguiente bloque :

 if (extension_loaded("gd") AND ($gfx_chk == 3 OR $gfx_chk == 4 OR $gfx_chk == 6 OR $gfx_chk == 7)) {
     echo ""._SECURITYCODE.":\n"
         .""._TYPESECCODE.":\n"
         ."\n";
 }

El bloque anterior queda sin efecto siempre y cuando hayas cambiado el valor en el config.php, posterior a dicho bloque inserta:

    $imagenseguridad = insertSecurityImage('security_refid');
       
   echo ""._SECURITYCODE.":$imagenseguridad\n"
   .""._TYPESECCODE.":\n";

El bloque debe ser semejante a esto (la validacion debe quedar dentro del form) -pon atención a la variable $imagenseguridad

  echo "\n"
  .""._REGNEWUSER." ("._ALLREQUIRED.")

\n"
  ."\n"
  ."\n"
  ."\n"
  ."\n"
  ."\n";
  if (extension_loaded("gd") AND ($gfx_chk == 3 OR $gfx_chk == 4 OR $gfx_chk == 6 OR $gfx_chk == 7)) {
   echo "\n"
   ."\n"
   ."\n";
  }
       
        $imagenseguridad = insertSecurityImage('security_refid');
       
   echo "\n"
   ."\n";
   
  
  echo ""._NICKNAME.": 
"._EMAIL.": 
"._PASSWORD.": 
"._RETYPEPASSWORD.": 
("._BLANKFORAUTO.")
"._SECURITYCODE.": 
"._TYPESECCODE.": 
"._SECURITYCODE.": $imagenseguridad
"._TYPESECCODE.": 
\n"
  ."\n"

  ."\n"
  ."\n"
  ."\n"
  ."
\n"

Con esto concluimos la modificación para evitar que bots se registren automáticamente en tu web php nuke, este mod puede ser instalado en cualquier portal (ya presentare casos de prueba).

Implementar Gravatar en Php Nuke

SirAntuans — Wed, 03 Mar 2010 14:19:31 +0000

Gravatar tu avatar global …disponible en portales como WordPress entre otros , ¿pero que hay de Php Nuke?, nukeros tengo una buena noticia que darles y es que sin hacer grandes cambios podemos implementar Gravatar para el perfil Nuke.

Descarga este archivo Clase Gravatar (23) , descomprímelo y copialo a la carpeta includes de tu nuke (tomado de Clase Gravatar )

Localiza el archivo index.php del modulo Your_Account e inserta el siguiente bloque antes de la función userCheck (este bloque nos servira para obtener el email del perfil nuke y con ese dato ir a buscar el avatar)

#Uso de Gravatar
include_once("includes/classGravatar.php");

function getemailfromuid($uid)
{
    global $prefix, $db, $user_prefix;
    $sql = "SELECT user_email, username,user_id FROM " . $user_prefix .
        "_users WHERE user_id='$uid'";
    $result = $db->sql_query($sql);
    $row = $db->sql_fetchrow($result);
    $correo_obtenido = $row[user_email];
    return $correo_obtenido;
}

O bien podemos insertar el código anterior en el archivo mainfile.php justo al final del archivo antes del ” ?> ”

Hasta ahí vamos bien?, perfecto ubica en el mismo archivo index.php del modulo Your_Account la función llamada avatarlinksave, donde vamos a incluir una pequeña corrección para que al ingresar una “G” ó “g” en el área donde se definen imagenes remotas, vayamos directo a gravatar.com a obtener el avatar, sin afectar la funcionalidad actual, ya que si introduces un link remoto este seguirá funcionando como de costumbre.

busca en tu archivo index.php funcion avatarlinksave:

   $sql = "SELECT * FROM " . $prefix .
        "_bbconfig WHERE config_name = 'allow_avatar_remote'";
    $result = $db->sql_query($sql);
    if ($row = $db->sql_fetchrow($result)) {
        $allow_avatar_remote = $row['config_value'];
    } else {
        $allow_avatar_remote = 0;
    }
    if (is_user($user) and $allow_avatar_remote) {
        getusrinfo($user);
        cookiedecode($user);
        include ("header.php");
        title("Seleccion de Avatar Correcta!");
        OpenTable();
        nav();
        CloseTable();

Justo después del CloseTable() introducimos lo siguiente:

#Uso de Gravatar      
        if ((strlen($avatar)==1)&&(strtoupper($avatar)=="G")){
            $correouser =getemailfromuid(intval($cookie[0]));
            #$default = "tu imagen default"; // Optional
            $gravatar = new Gravatar($correouser, $default);
            $gravatar->size = 80;
            $gravatar->rating = "G";
            $gravatar->border = "FF0000";
            $avatar = $gravatar->getSrc();
            $gravatarON = true;     
        } else{
            $gravatarON =false;
        }
#End Uso Gravatar

Posterior a el código descrito encontramos:

        OpenTable();
        if (!preg_match("#^http:\/\/#i", $avatar)) {
            $avatar = "http://" . $avatar;
        }

Justo después de esta condición y antes del ” if (preg_match(“#^(http:\/\/” ….) insertamos

#Uso de Gravatar
    if ($gravatarON){
            $db->sql_query("UPDATE " . $user_prefix . "_users SET user_avatar='$avatar', user_avatar_type='2' WHERE user_id = '" .
                intval($cookie[0]) . "'");
            echo "Avatar for " . $cookie[1] .
                " Saved!

";
            echo "Tu nuevo Gravatar :



[ Back to Profile | Done ]

";
        } else {

Y antes del siguiente CloseTable() , cerramos el if

    } //End- Uso de Gravatar

La función queda así:

function avatarlinksave($avatar)
{
    global $user_prefix, $db, $module_name, $user, $cookie, $prefix;
    $sql = "SELECT * FROM " . $prefix .
        "_bbconfig WHERE config_name = 'allow_avatar_remote'";
    $result = $db->sql_query($sql);
    if ($row = $db->sql_fetchrow($result)) {
        $allow_avatar_remote = $row['config_value'];
    } else {
        $allow_avatar_remote = 0;
    }
    if (is_user($user) and $allow_avatar_remote) {
        getusrinfo($user);
        cookiedecode($user);
        include ("header.php");
        title("Seleccion de Avatar Correcta!");
        OpenTable();
        nav();
        CloseTable();
#Uso de Gravatar      
        if ((strlen($avatar)==1)&&(strtoupper($avatar)=="G")){
            $correouser =getemailfromuid(intval($cookie[0]));
            $default = ""; // Optional
            $gravatar = new Gravatar($correouser, $default);
            $gravatar->size = 80;
            $gravatar->rating = "G";
            $gravatar->border = "FF0000";
            $avatar = $gravatar->getSrc();
            $gravatarON = true;     
        } else{
            $gravatarON =false;
        }
#End Uso Gravatar
        OpenTable();
        if (!preg_match("#^http:\/\/#i", $avatar)) {
            $avatar = "http://" . $avatar;
        }
#Uso de Gravatar
    if ($gravatarON){
            $db->sql_query("UPDATE " . $user_prefix . "_users SET user_avatar='$avatar', user_avatar_type='2' WHERE user_id = '" .
                intval($cookie[0]) . "'");
            echo "Avatar for " . $cookie[1] .
                " Saved!

";
            echo "Tu nuevo Gravatar :



[ Back to Profile | Done ]

";
        } else {
        if (preg_match("#^(http:\/\/[a-z0-9\-]+?\.([a-z0-9\-]+\.)*[a-z]+\/.*?\.(gif|jpg|png)$)#is",
            $avatar) && !eregi(".php", $avatar) && !eregi(".js", $avatar) && !eregi(".cgi",
            $avatar)) {
            $db->sql_query("UPDATE " . $user_prefix . "_users SET user_avatar='$avatar', user_avatar_type='2' WHERE user_id = '" .
                intval($cookie[0]) . "'");
            echo "Avatar for " . $cookie[1] .
                " Saved!

";
            if (ereg("(http)", $avatar)) {
                echo "Your New Avatar:



[ Back to Profile | Done ]

";
            } elseif ($avatar) {
                echo "Your New Avatar:



[ Back to Profile | Done ]

";
            }
        } else {
            echo "Error: Wrong avatar format! Avatars can only be gif, jpg, or png format.
" .
                _GOBACK . "";
        }
    } //End- Uso de Gravatar
        CloseTable();
        include ("footer.php");
    }
}

Ahora editemos el archivo usercp_avatar.php ubicado en la carpeta includes, y localiza la función user_avatar_url

Aqui tenemos algunas variantes , les presento la función completa la cual pueden reemplazar sin contratiempos , estoy marcando en negritas los cambios relevantes, agregamos la variable cookie en globales y recuperamos el avatar de gravatar de la misma forma que en Your_Account, cabe mencionar que debido a que Gravatar nos regresa un link incluyendo un archivo .php, no tenemos que filtrarlo y sigue sin ser afectada al funcionalidad actual.

function user_avatar_url($mode, &$error, &$error_msg, $avatar_filename)
{
 global $lang,$cookie;
#Uso de Gravatar      
    if ((strlen($avatar_filename)==1)&&(strtoupper($avatar_filename)=="G")){
        $correouser =getemailfromuid(intval($cookie[0]));
        $default = ""; // Optional
        $gravatar = new Gravatar($correouser, $default);
        $gravatar->size = 80;
        $gravatar->rating = "G";
        $gravatar->border = "FF0000";
        $avatar_filename = $gravatar->getSrc();
        $gravatarON = true;     
    } else{
        $gravatarON =false;
    }
#End Uso Gravatar  

 if ( !preg_match('#^(http)|(ftp):\/\/#i', $avatar_filename) )
 {
  $avatar_filename = 'http://' . $avatar_filename;
 }
 
 $avatar_filename = substr($avatar_filename, 0, 100);
    if($gravatarON==false)
      if ( !preg_match("#^((ht|f)tp://)([^ \?&=\#\"\n\r\t<]*?(\.(jpg|jpeg|gif|png))$)#is", $avatar_filename) )
    {
        $error = true;
     $error_msg = ( !empty($error_msg) ) ? $error_msg . '
' . $lang['Wrong_remote_avatar_format'] : $lang['Wrong_remote_avatar_format'];
        return;
    }
  
 return ( $mode == 'editprofile' ) ? ", user_avatar = '" . str_replace("\'", "''", $avatar_filename) . "', user_avatar_type = " . USER_AVATAR_REMOTE : '';

}

Resumen:

Copiamos el archivo classGravatar.php a la carpeta includes
Ubicamos el archivo index.php (modulo Your_Account)
Insertamos el include del archivo classGravatar.php
Insertamos la función getemailfromuid($uid)
Ubicamos la función avatarlinksave($avatar) e incluimos los bloques mencionados

Con los cambios descritos, desde el perfil nuke si en lugar de introducir una dirección remota solo escribes una “G” el mod recupera la imagen que tengas cargada en Gravatar.php

*OPCIONAL* si desde que tus usuarios se registran quieres que su avatar se cargue automáticamente ubica la función activate() en el index.php del dir Your_Account

Y justo antes del código :

          $db->sql_query("INSERT INTO " . $user_prefix .
                "_users (user_id, username, user_email, user_password, user_avatar, user_avatar_type, user_regdate, user_lang,idstatus) VALUES (NULL, '" .
                $row['username'] . "', '" . $row['user_email'] . "', '$user_password', '$user_avatar', '$user_avatar_type', '" .
                $row['user_regdate'] . "', '$language','$esinvitado')");
            $result2 = $db->sql_query("SELECT user_id FROM " . $user_prefix .
                "_users WHERE username='" . $row['username'] . "'");
            $row2 = $db->sql_fetchrow($result2);
            $guserid = intval($row2['user_id']);

Agrega lo siguiente :

       $default = ""; // Optional
            $gravatar = new Gravatar($row['user_email'], $default);
            $gravatar->size = 80;
            $gravatar->rating = "G";
            $gravatar->border = "FF0000";
            $avatar = $gravatar->getSrc();
            if ($avatar == $default) {
                $user_avatar_type = 3;  
                $user_avatar = "gallery/blank.gif";
            } else {
                $user_avatar_type = 2;  
                $user_avatar = $avatar;
            }

El código tiene un pequeño bug pero funciona perfectamente (notan a que me refiero??) bueno se los dejo de tarea.

Si tienes algo que comentar puedes escribir aca : Foro

"._NICKNAME.":
"._EMAIL.":
"._PASSWORD.":
"._RETYPEPASSWORD.":	("._BLANKFORAUTO.")
"._SECURITYCODE.":
"._TYPESECCODE.":
"._SECURITYCODE.":	$imagenseguridad
"._TYPESECCODE.":
\n" ."\n" ."\n" ."