الحد يعد الطلبات

اللابات تحتاج كمبيوتر

افتح هذه الصفحة من كمبيوتر أو كبر نافذة المتصفح

جار تحميل اللاب

السيناريو

الحد الآن خمسة لكنه يعد الطلبات لا التخمينات ونقطة التحقق تقبل عدة رموز في الطلب الواحد فطلب واحد يحمل كل الرموز يكلف وحدة واحدة ويجرب الفضاء كله

ما الذي تراه أمامك

نفس شاشة التحقق بحد خمسة لكنه يعد الطلبات نقطة التحقق تقبل قائمة رموز مفصولة بفاصلة وتفحصها كلها في طلب واحد

الهدف

خمن الرمز في طلب واحد متجاوزا حد الطلبات

متى يعتبر محلولا

خمنت الرمز في طلب واحد

قائمة الخطوات

علم كل خطوة وأنت تمشي فيها الخطوات هي الطريقة وليست الجواب

جرب رمزا واحدا لكل طلب ولاحظ الحظر بعد قليل
لاحظ أن الطلب يقبل عدة رموز
الحد يعد الطلبات لا الرموز
ضع كل الاحتمالات في طلب واحد

التلميحات

لم تكشف أي تلميح بعد اسأل الصقر عند الحاجة

لماذا نجح الحل

الحد على الطلبات بينما الطلب الواحد يفحص رموزا كثيرة فعدد المحاولات الحقيقي لا علاقة له بعدد الطلبات الحل عد المحاولات لا الطلبات وتحديد عدد الرموز في الطلب الواحد

السبب الجذري

الحد يعد الطلبات بينما الطلب يحمل محاولات كثيرة الجذر قياس الوحدة الخطأ

كيف يصلح الكود

عد المحاولات لا الطلبات وحدد عدد العناصر في الطلب الواحد

الكود المصاب

limiter.increment(req.ip); // one unit per request
for (const code of req.body.codes) if (code === otp) return ok(); // many guesses, one unit

الكود الآمن

if (req.body.codes.length > 1) return res.status(400).end(); // one guess per request
limiter.increment(account, req.body.codes.length); // count attempts, not requests

الأثر في الواقع

عد الطلبات بدل المحاولات يسمح بالتخمين الشامل في طلب واحد ويتجاوز كل حدود المعدل

كيف يكتشفها المدافعون

المدافع يعد كل محاولة ويحد عدد العناصر في الطلب الواحد ويرصد طلبات تحمل قوائم كبيرة

العودة إلى الدرس