问题标签 [abuse]

在最近的Dot Net Rocks 播客中，Jon Skeet 提到了可能滥用 LINQ 语法。人们见过哪些用 LINQ 做疯狂事情的​​例子？

大家好，我运行一个图像托管网站，我正在为它设计一个 API。我担心的是我不希望任何人能够做类似的事情：

和垃圾邮件/DoS 网站。

我目前的解决方案是将所有 IP 地址限制为每天/小时的一定数量的上传。我相信这对于将使用 API 的桌面应用程序来说会很好，但对于希望使用它的网站，所有用户都将拥有相同的 IP（服务器的）。

我想最好的解决方案是让用户帐户通过 API 进行身份验证，然后如果每个帐户滥用它，就禁止每个帐户。问题是我的网站根本没有用户帐户，完全是匿名的。

还有什么可以做的？我希望尽可能保持开放，同时有能力禁止明显滥用服务的用户/IP。

产量

为什么？

我正在使用一个名为“GD Star Rating”的 wordpress 插件来允许我的用户对我发布到我的网站之一的故事进行投票。http://everydayfiction.com/最近我们一直在滥用这个系统。显然是人为投票赞成的故事。当用户对故事进行投票时，“GD Star Rating”会创建一些详细的日志。包含; IP、投票时间和 user_adgent 等。

例如，这个故事有 181 票，平均为 5.7 http://www.everydayfiction.com/snowman-by-shaun-simon/大多数其他故事每天只能获得大约 40 票。

• 起初，我以为这个故事会上传到社交书签网站 Digg、Stumbleupon 等……但在检查日志后，我发现这个故事的流量与普通故事的流量相同，约为 2k-3k。

• 我检查了这个垂直故事的所有选票是否来自同一个 IP 地址。如果用户在学校的计算机实验室使用他们所有的实验室计算机来投票支持这个故事，我可以看到这种情况发生。此故事的日志中没有一个重复的 IP 地址。

  SELECT ip, COUNT(*) as count FROM wp_gdsr_votes_logWHERE id=3932 GROUP BY ( ip) ORDER BY countDESC

• 接下来，我认为一个用途可能是使用代理来投票赞成一个故事。我通过将所有浏览器 user_agent 组合在一起来检查这一点，以查看是否有单个浏览器以垂直方式投票。最多 7 个用户使用类似的浏览器但偶尔投票（1-5），没有证据表明有错误行为。

  SELECT user_agent, COUNT(*) as count FROM wp_gdsr_votes_logWHERE id=3932 GROUP BY ( user_agent) ORDER BY countDESC

• 我还检查是否所有的选票都同时进入。也许有人有一个非常有趣的机器人，可以更改 user_adgent 并使用代理，等等......在 2 分钟内最多有 5 票。人们投票的方式似乎没有任何规律（即5票不会每分钟出现一次）

  SELECT * FROM wp_gdsr_votes_logWHERE id=3932 AND vote=5 ORDER BY wp_gdsr_votes_log。votedDESC

这个问题的明显解决方案是强制人们在被允许投票之前登录。但除非绝对必要，否则我宁愿不必走那条路。

我正在寻找有关测试以检测滥用行为的建议。

编辑

我刚刚测试的另一件事是查看是否所有为这个 perdicutre 故事投票的人都是通过 IP 地址在该网站上首次投票的人。似乎有大约 80 个 IP 地址的人首先对这个故事进行了投票，而没有其他故事。我将其与其他故事进行了对比，发现大多数情况下情况正好相反，80% 的投票者也在几个不同的故事中投票。我认为这证明这里发生了一些可疑的事情，但我不确定他们是如何做到的，或者我如何过滤掉人工投票。

编辑 2

哇，好的，看起来http://www.mychemicalromance.com/的一位乐队成员（节奏吉他手）在他们的推特和乐队网站上发布了关于这篇文章的链接。我只是感到惊讶的是，访问者并没有大幅增加，只有对这个故事进行投票的人..

是否可以限制 Amazon S3 或 CloudFront 使用的带宽？

因此，例如，当限制为 100 GB 时，之后的每个文件都被拒绝了吗？

如果是这样，您是否还可以限制 IP-base 的带宽。例如，每个 IP 只能接收 10 GB，之后，每个请求都被拒绝。这样的事情可能吗？

或者有没有其他解决方案来防止带宽滥用？请注意，每个文件都应该是公开的（不是私有的）！

在此先感谢，蒂姆

我管理着一个大型而活跃的论坛，我们正被一个非常严重的问题所困扰。我们允许用户嵌入远程图像，就像 stackoverflow 如何处理图像（imgur）一样，但是我们没有一组特定的主机，可以使用以下代码从任何主机嵌入图像：

这工作得很好而且花花公子......除了用户可以嵌入需要身份验证的图像外，该图像会导致出现一个弹出窗口，并且因为可以编辑身份验证弹出窗口，他们会输入类似“请输入您的 [站点名称] 用户名和密码在这里”，不幸的是，我们的用户一直在为它着迷。

对此的正确回应是什么？我一直在考虑以下几点：

1. 每个页面加载都有一段 Javascript 执行，用于检查页面上的每个图像及其状态

2. 拥有授权的镜像主机列表

3. 完全禁用远程嵌入

问题是我从未见过这种情况发生在其他任何地方，但我们却被它困扰着，我们如何防止这种情况发生？

我需要公开我们的视频文件，以便让它们通过媒体服务器流式传输。

我想知道是否有任何机制来检测系统滥用 - 即是否有人过度下载文件？

I am building application in Flash Builder 4.6.

I allow other users to upload and run they own MovieClips inside my app(movie clips loaded by my app). I provide them with an interface to access my app futures.

I am concerned about abusing, so I wish to protect my self from the next scenarios:

• Browser activities such as redirects or opening links. (Pay attention that they can plant java script code using ExternalInterface.)
• Crunching the browser by ruining infinite loops:

while(true){ ;// kill browser }

• Asking the user for unlimited storage permission and feel it with garbage.

Is it possible to protect my app from all that?

如果按下回车键，我有以下 jquery 代码用于提交表单：

另外，我在页面加载时的用户名字段上将登录页面设置为 .focus() 。

因此，如果用户只是按住“输入”键，它将提交、失败、返回、聚焦、提交、重复。

我可以将按键事件仅在密码字段中触发，但我宁愿找到一种方法来检测长按键或防止这种情况的发生。

CentOs 6 下的命名服务正在使用所有 4 个处理器的 100% 以上。我试图玩弄配置文件。我目前有大约 10 个网站。下面是一个示例

对于 mynameserver.com

我更改了 ip 和域，使其成为每个人的普遍问题。事情是我根本不使用邮件或 smtp，我将来可能会添加 MX 记录并依赖 gmail 例如电子邮件。删除 mail/pop/smtp/MX 记录是否安全？

根据您的经验，是什么导致了几个月的巨大 CPU 负载！