• XSS.stack #1 – первый литературный журнал от юзеров форума

Статья Опять чекеры.. Или же как писать чекеры на запросах, с мультипоточностью, да и всем нужным!

Отслеживать
Недавно писал чекер, там стоит кф на сайте очень противно настроенный, есть варик на запросах такое делать? Я психанул сделал просто через селениумбейс с мультитредингом и в принципе не жалуюсь, но запросы мне не дают покоя
 
Пожалуйста, обратите внимание, что пользователь заблокирован
RosyCard сказал(а):
Недавно писал чекер, там стоит кф на сайте очень противно настроенный, есть варик на запросах такое делать? Я психанул сделал просто через селениумбейс с мультитредингом и в принципе не жалуюсь, но запросы мне не дают покоя
Чтоб на запросах капчу cf обходить нужно много времени потратить
 
Пожалуйста, обратите внимание, что пользователь заблокирован
RosyCard сказал(а):
Недавно писал чекер, там стоит кф на сайте очень противно настроенный, есть варик на запросах такое делать? Я психанул сделал просто через селениумбейс с мультитредингом и в принципе не жалуюсь, но запросы мне не дают покоя
попробуй пробиться просто к настоящему айпишнику сервака, шодан и так далее
 
xd1rty сказал(а):
да, requests хорошая библиотека, но все равно, aiohttp будет выполнять быстрее запросы потому что он асинхронный, нежели requests
Нет, в моем примере выше используется curl_cffi
 
_lain сказал(а):
Чтоб на запросах капчу cf обходить нужно много времени потратить
Не совсем, если мы говорим за подождите 5 секунд, то это не так сложно, даже есть готовые реализации, но не знаю рабочие ли они до сих пор.
 
Для такого типа работы я в основном использую Golang, помогает параллельная функция. :)
 
HateMe02 сказал(а):
Не совсем, если мы говорим за подождите 5 секунд, то это не так сложно, даже есть готовые реализации, но не знаю рабочие ли они до сих пор.
Где такое можно поискать? У меня гугл забанили)))
 
RosyCard сказал(а):
Где такое можно поискать? У меня гугл забанили)))
Из последних что помню это cfscrape библиотека, на её основе можно сделать свою используя тот же самый curl_cffi, либо же просто проанализировать как вообще работает исполнение того JS-кода (это не так сложно, больше "страха").
 
germans сказал(а):
я с тобой соглашусь, по этому попрошу Юзеров хсс предложить сайт на чек, попробуем обойти WAF, если конечно нет пути проще
chase.com , 53.com
 
pinakoladaboy сказал(а):
chase.com , 53.com
На первом сайте Shape Security стоит как и на TikTok и большинстве банков США. Тут либо использовать JSDom/HappyDom с патчами для отлова запросов с генерированными параметрами, либо получать всегда актуальную функцию которая их генерирует и при этом обладать средой которая соответствует User-Agent.

Либо же лезть в обфускацию которая на 99% напоминает Akamai и является внутри чем-то похожим на свой VM который исполняется внутри JS. В любом случае из упоминаний этой защиты на форуме этом как минимум особо нету, а ранее продавались около рабочие варианты по 10-30к USD.
 
HateMe02 сказал(а):
На первом сайте Shape Security стоит как и на TikTok и большинстве банков США. Тут либо использовать JSDom/HappyDom с патчами для отлова запросов с генерированными параметрами, либо получать всегда актуальную функцию которая их генерирует и при этом обладать средой которая соответствует User-Agent.

Либо же лезть в обфускацию которая на 99% напоминает Akamai и является внутри чем-то похожим на свой VM который исполняется внутри JS. В любом случае из упоминаний этой защиты на форуме этом как минимум особо нету, а ранее продавались около рабочие варианты по 10-30к USD.
почти на любой интересный сервис будет стоять подобное либо около Акамай. поэтому и предложил. брутить что то где нет подобных защит, там и профит +- 0
 
HateMe02 сказал(а):
Нет, в моем примере выше используется curl_cffi
А разве не будет банить из за ограниченного количества ja3+http2 - их же там так мало в этой сборке. И еще там нет последних версий хрома. Имхо это не очень надежное решение. Ну по крайне мере если что то на объёме делаешь то не подойдёт.
 
Zloy сказал(а):
А разве не будет банить из за ограниченного количества ja3+http2 - их же там так мало в этой сборке. И еще там нет последних версий хрома. Имхо это не очень надежное решение. Ну по крайне мере если что то на объёме делаешь то не подойдёт.
В нашем мире слишком много не уникальных девайсов, определение идет от UA JA3, если JA3 равен JA3 UA который используют, то все окей.

Конечно иметь свои пресеты классно, но там пока такое не реализовано, а если хочется самому либо CURL в руки, либо TLS/H1/H2/H3 реализовывать с нуля.
 
Zloy сказал(а):
А разве не будет банить из за ограниченного количества ja3+http2 - их же там так мало в этой сборке. И еще там нет последних версий хрома. Имхо это не очень надежное решение. Ну по крайне мере если что то на объёме делаешь то не подойдёт.
You can choose a random version from the list above, like:
Python: 
random.choice(["chrome119", "chrome120", ...])
However, be aware of the browser market share, very old versions are not good choices.
Generally, you should not try to generate a customized random fingerprints. The reason is that, for a given browser version, the fingerprints are fixed. If you create a new random fingerprints, the server is easy to know that you are not using a typical browser.
If you were thinking about ja3, and not ja3n, then the fingerprints is already randomized, due to the extension permutation feature introduced in Chrome 110.
As far as we know, most websites use an allowlist, not a blocklist to filter out bot traffic. So do not expect random ja3 fingerprints would work in the wild.
Moreover, do not generate random ja3 strings. There are certain limits for a valid ja3 string. For example:
  • TLS 1.3 ciphers must be at the front.
  • GREASE extension must be the first.
  • etc.
You should copy ja3 strings from sniffing tools, not generate them, unless you can make sure all the requirements are met.
 
admin


Напишите ответ...
  • Вставить:
Прикрепить файлы
Верх