Как защититься от подделки cookie?

[Alexeina66]

На сайте есть опрос. При проверке нэтспаркером удалось изменить количество процентов голосов в опросе

Спойлер: Скрин отчета

За cookie отвечают 2 строки

  if( isset($_POST["id"]) && isset($_POST["post_id"]) && isset($_POST["group_id"]) && !isset($_COOKIE["zf_poll_vote_".$_POST["group_id"]]) ){

                if( !$vote_arr = get_post_meta( (int)$_POST["post_id"], 'zombify_poll_results', true ) )
                    $vote_arr = array(
                        "total" => 0,
                        "answers" => array(),
                        "groups" => array(),
                    );

                if( !isset($vote_arr[ "answers" ][ $_POST["id"] ]) )
                    $vote_arr[ "answers" ][ $_POST["id"] ] = 0;

                if( !isset($vote_arr[ "groups" ][ $_POST["group_id"] ]) )
                    $vote_arr[ "groups" ][ $_POST["group_id"] ] = 0;

                $vote_arr["total"]++;

                $vote_arr["answers"][ $_POST["id"] ]++;
                $vote_arr["groups"][ $_POST["group_id"] ]++;

                setcookie('zf_poll_vote_ans_'.$_POST["id"], $_POST["id"], time()+60*60*24*30, "/");
                setcookie('zf_poll_vote_'.$_POST["group_id"], $_POST["group_id"], time()+60*60*24*30, "/");

                update_post_meta((int)$_POST["post_id"], 'zombify_poll_results', $vote_arr);

            }

Подскажите как защититься от подделки cookie?
Вариант?

setcookie('zf_poll_vote_'.$_POST["group_id"], $_POST["group_id"], time()+60*60*24*30, "/",true,true);

 

[Q_BASIC]

Так происходит проверка, проголосовал ли данный пользователь? В коде увидел только проверку наличия куки

Не правильно проверять голос по куки, тем более что голосование не одно, как я вижу. Это я в 10 опросах проголосую, у меня 20 куки будут

Храните в таблице в базе, пользователь с id 1 проголосовал в опросе с id 12 за пункт номер 1.

Если авторизации нет, то либо так же к IP привязывать (у многих динамические - никакой пользы всё равно), либо через JS уникальный идентификатор делать (но тут у некоторых пользователей он может совпасть), который без куки работает. Еще можно в localstorage хранить голос, что тоже обходится просто.

В итоге - защита от накруток долгий и мучительный процесс, а накручивают всё равно

 

[venetu]

суй в куку $id . $date . sha1($id . $date . $secret);


Но вообще мне кажется у тебя изначально алгоритм не о том. Почистил куки (или зашел из Private Mode) - и голосуй заново. Ты что именно хочешь защитить?

 

[Alexeina66]

Так происходит проверка, проголосовал ли данный пользователь? В коде увидел только проверку наличия куки

Действительно так происходит проверка. Только что проверил. Разрабам выдал "люлей" Согласен - это не дело.

 

[venetu]

Если ты изначально разрешаешь голосовать незареганым, то сколько люлей разрабам ни раздавай, а по-нормальному они не сделают. Любое обходится при желании.

Если только зареганым - то как Q_BASIC советует, в базе табличку c unique(user_id, poll_id). И дальше борись с авторегами.

 

[stealthdebuger]

1. Добавить проверку на целое число в $_POST["group_id"], $_POST["post_id"], $_POST["id"]
2. 'zf_poll_vote_ans_'.$_POST["id"] заменить на нечто подобное 'zf_poll_vote_ans_'.intval($_POST["id"])
3. Использовать проверку IP-адреса совместно с fingerprint его браузера (поможет осложнить жизнь тем, кто пытается накрутить "голоса"). Один из удобных вариантов получения fingerprint Для просмотра ссылки Войди или Зарегистрируйся
4. использовать ETag

 

[Alexeina66]

А подскажите как провернуть подделку как сделал это нетспаркер?

Спойлер: Запрос

Спойлер: Ответ

Если консоли беру куки и пишу как в запросе то получаю ошибку

Спойлер: Ошибка

Стоп нужен же пост запрос
делаю так и получаю 400 ошибку и ответ 0

Спойлер: пост

 

[venetu]

добавь хидер
X-Requested-With: XMLHttpRequest

 

[Alexeina66]

добавь хидер
X-Requested-With: XMLHttpRequest

подкинул сейчас ответ 200 но получаю
<h1>View file not found</h1>
The view file doesn&#039;t exist.
Посылаю такой post запрос

 

[stealthdebuger]