Перебір e-mail

[Dmytro2]

Мені користувач надіслав скаргу, суть якої полягає в тому, що сайт на OpenCart відповідає по-різному на спробу увійти в систему.
Що, за його словами, є порушенням безпеки. Далі копіпаст:

 

 

 

Цитата

 

Тип багу: Перебір e-mail (E-mail Enumeration)
Повідомлення: "Address was not found in our records, please try again!"
Патч/виправлення: зробити однакові відповіді

У чому проблема
Сайт при введенні email відповідає по-різному:

• Якщо email існує → одна відповідь
• Якщо email не існує → інша відповідь (“Address was not found…”)

Через це зловмисник може:

• перебирати email-адреси
• дізнаватися, які користувачі зареєстровані
• потім робити фішинг або підбір пароля

 

 

 

Підкажіть, чи можна це якось швидко виправити?
Тобто зробити так, щоб відповіді були однакові, як на більшості сайтів -
"Неправильний пароль або такого користувача (email) не існує в базі".

[NotSlow]

Задолго до того как кто-то подберет email, а потом еще и пароль, у вас от этого перебора заметно подскочит cpu нагрузка.

Если конечно за сервером хоть немного присматривает кто-то.

В любом случае, проблема преувеличена как по мне.

Лучшее решение - защищать весь сайт от ботов/спама/брутфорса или хотябы форму входа защищать.

 

28.03.2026 в 22:16, Dmytro2 сказал:

• Якщо email існує → одна відповідь
• Якщо email не існує → інша відповідь (“Address was not found…”)

Ну так найдите в файлах эту "одна відповідь" и поменяйте текст на свой.

Второй текст нашел в:

/catalog/language/en-gb/account/forgotten.php

и

/admin/language/en-gb/common/forgotten.php

 

Змінено 28 березня користувачем NotSlow

[chukcha]

28.03.2026 в 21:16, Dmytro2 сказал:

Сайт при введенні email відповідає по-різному:

• Якщо email існує → одна відповідь
• Якщо email не існує → інша відповідь (“Address was not found…”)

так не можна робити - це потенеційна допомога взлому (UPD ой не уважно прочитав відповідь)
 

У 4 версії логін цікаво зроблено
Спочатку перевіряться ім'я а потім пароль

до 4 ої - перевірка йшла у запиті 
 

Змінено 29 березня користувачем chukcha
не уважність при читанні

[spectre]

Какой в целом толк ломать логин покупателя в опенкарте? увидеть историю заказов?

[sasha3337774]

теж сумніваюсь, що цим хтось буде займатись))

[chislo]

В 29.03.2026 в 20:15, spectre сказав:

Какой в целом толк ломать логин покупателя в опенкарте? увидеть историю заказов?

можливо завантаження бази емейлів клієнтів з магазину і спаму на їх

 

Щодо запитів і підбору спробуйте піти іншим шляхом заблокувати країни з яких йде підбір, якщо магазин в Україні то заблокувати всі інші країни (авжеж якщо це можливо на вашому хостингу)

Змінено 30 березня користувачем chislo

[spectre]

30.03.2026 в 09:40, chislo сказал:

можливо завантаження бази емейлів клієнтів з магазину і спаму на їх

 

Щодо запитів і підбору спробуйте піти іншим шляхом заблокувати країни з яких йде підбір, якщо магазин в Україні то заблокувати всі інші країни (авжеж якщо це можливо на вашому хостингу)

подбор чего?? email который опенкарт ответит что пароль неправильный? 

[Dmytro2]

В 28.03.2026 в 20:35, NotSlow сказав:

Задолго до того как кто-то подберет email, а потом еще и пароль, у вас от этого перебора заметно подскочит cpu нагрузка.

Если конечно за сервером хоть немного присматривает кто-то.

В любом случае, проблема преувеличена как по мне.

Лучшее решение - защищать весь сайт от ботов/спама/брутфорса или хотябы форму входа защищать.

 

Ну так найдите в файлах эту "одна відповідь" и поменяйте текст на свой.

Второй текст нашел в:

/catalog/language/en-gb/account/forgotten.php

и

/admin/language/en-gb/common/forgotten.php

 

 

Так знайшов.
Але цього замало. Тому що крім текста OpenCart малює ще червоним або зеленим кольором іконку поруч з текстом.
І зміна текста лише 50% проблеми.

Змінено 30 березня користувачем Dmytro2

[niger]

В 29.03.2026 в 20:15, spectre сказав:

Какой в целом толк ломать логин покупателя в опенкарте? увидеть историю заказов?

Конкуренту зібрати базу сайту хто є на сайті, та зробити по ним розсилку. Але це як пердіти в калюжу - ефектно, але не ефективно. 

Краще витратить на свій маркетинг.