Ошибка обхода клауда

[semi]

Если датацентр прокси. Все норм. Пускает клауд.
Если мобилки, илирезеденские. Клауд выдает ошибку.

Сталкивался кто то?

 

[samsonnn]

Дальше — только хуже.
Буквально пару дней назад я читал, что Cloudflare внедрили ИИ, который самостоятельно определяет, кто перед ними — бот или настоящий пользователь.

По каким критериям он это делает — непонятно, но сам факт внедрения искусственного интеллекта уже подтверждён. Так что теперь фильтрация трафика идёт на новом уровне — и распознать, что ты не бот, становится всё сложнее.

 

[zarufakis]

Дальше — только хуже.
Буквально пару дней назад я читал, что Cloudflare внедрили ИИ, который самостоятельно определяет, кто перед ними — бот или настоящий пользователь.

По каким критериям он это делает — непонятно, но сам факт внедрения искусственного интеллекта уже подтверждён. Так что теперь фильтрация трафика идёт на новом уровне — и распознать, что ты не бот, становится всё сложнее.

Это был вопрос времени, когда серьезные игроки будут вместо капч и другой шляпы ставить на переднюю линию ИИ, который будет решать кто ты, порядочный пользователь или зенноюзер)

 

[lederer]

Интересно наблюдать, как мы пришли от "выбери все светофоры" до полноценного ИИ-судьи, который решает, человек ты или нет. С одной стороны — технологический прогресс, с другой — всё больше непрозрачности. Неясно, на основе чего ИИ делает выводы, и это уже тревожит. Особенно для тех, кто использует автоматизацию не во вред, а, скажем, для анализа данных или мониторинга. Получается, если ты не вписываешься в шаблон "среднестатистического пользователя", то доступ могут просто закрыть.
Так и до цифрового профилирования недалеко — когда тебя банят не за действия, а за "подозрительное поведение".


Капча хотя бы давала шанс доказать, что ты человек. А с ИИ — только гадать, что не так.

 

[samsonnn]

Cloudflare Bot Management — это комплексная система, основанная на машинном обучении и эвристиках, которая анализирует каждый HTTP‑запрос, чтобы определить, является ли он запросом от человека или ботом. Система обрабатывает миллиарды запросов в сутки, сопоставляя их с моделями поведения и репутацией источника, а также применяя различные проверки на стороне сервера и клиента.

Что проверяет ИИ в Cloudflare?

1. Репутация IP-адреса
   – Геолокация, тип сети (дата‑центр, VPN, «residential»), история блокировок.
2. HTTP‑заголовки и их соответствие браузеру
   – User‑Agent, наличие/отсутствие типичных заголовков (Sec-CH-UA-*, Accept-Language и т. д.).
3. TLS‑фингерпринтинг (JA3, JARM, CYU)
   – Анализ «Client Hello»: набор шифров, расширений, кривых.
4. HTTP/2‑фингерпринтинг
   – Порядок и значения SETTINGS‑параметров, приоритет потоков, порядок pseudo‑заголовков.
5. Эвристики по «подписи» библиотек и фреймворков
   – Статические правила, сопоставляющие известные фингерпринты ботов (например, Go‑TLS) и «чистые» браузеры.
6. Поведенческий анализ и JavaScript‑челленджи
   – Проверка выполнения JS‑скриптов, ответов на «I’m Under Attack» страницу, Turnstile CAPTCHA.
7. Клиентское фингерпринтинг‑API
   – Canvas‑фингерпринт (Google Picasso), WebGL, список шрифтов, плагины, свойства window.chrome и др.
8. Отслеживание событий пользователя
   – Mousemove, клики, нажатия клавиш, тайминги Date.now() и performance.timing.

Можно ли обмануть или обойти?

Теоретически да, но на практике это требует постоянной «гонки вооружений»:

• Headless‑браузеры со stealth‑плагинами
  Puppeteer Extra Stealth, undetected‑chromedriver для Selenium автоматически патчат JS‑фингерпринты и маскируют следы автоматизации.
• Интеграция с решателями челленджей
  FlareSolverr, Cloudscraper умеют обрабатывать статические проверки и простые CAPTCHA, но часто не справляются с продвинутыми эвристиками и обновлениями.
• Ротация «живых» прокси
  Использование residential‑IP и мобильных прокси помогает обойти проверки репутации IP, но масштабируемость ограничена.
• Эмуляция человеческого поведения
  Генерация реалистичных движений мыши, задержек при вводе, «нагрузка» JS‑челленджей в браузере.
• Реверс‑инжиниринг JS‑челленджей
  Анализ и воспроизведение алгоритмов Cloudflare‑скриптов, но они постоянно меняются и обфусцируются.

Однако любые такие решения быстро устаревают: Cloudflare регулярно обновляет ML‑модели, эвристики и даже внедряет новые инструменты (например, AI Labyrinth для отвлечения и фингерпринтинга нежелательных ботов). Поэтому обход — это всегда временное решение и требует постоянного сопровождения.

 

[zarufakis]

Посмотреть вложение 132571

Посмотреть вложение 132572

Учитывая, что зенка не умеет менять sec-ch-ua зоголовки, ну и канавас...
Взгруснулось...

 

[samsonnn]

Учитывая, что зенка не умеет менять sec-ch-ua зоголовки, ну и канавас...
Взгруснулось...

Надо просить разрабов чтоб фикс делали в зенке. Иначе все палится не только кларой, но и другими сайтами...

 

[zarufakis]

Надо просить разрабов чтоб фикс делали в зенке. Иначе все палится не только кларой, но и другими сайтами...

Согласен.
В запросах еще можно поиграться в заголовках, но, как только открываешь веб - тут и настает ахтунг, тебя палит каждый задрипанный сайт.

 

[deskuznetsov]

Можно примеры сайтов, что уже используют Cloudflare Bot Management ?

 

[samsonnn]

Можно примеры сайтов, что уже используют Cloudflare Bot Management?

ответ от ChatGPT:

Ниже — проверенные примеры публичных сайтов, которые при переходе используют Cloudflare Bot Management:

• Home Chef (https://www.homechef.com/)
  Ежедневно блокирует порядка 250 000 вредоносных ботов, не влияя на скорость загрузки страниц.
• Pacsun (https://www.pacsun.com/)
  Во время «hype»‑распродаж мгновенно блокирует ботов‑скальперов и сохраняет доступность сайта.
• SIXT (https://www.sixt.com/)
  Остановил ежедневные автоматизированные атаки и получил детальную аналитику по ботовому трафику.
• Flutter Entertainment (https://www.flutter.com/)
  Снизил уровень вредоносного трафика на 70–90 % и сэкономил миллионы фунтов благодаря Bot Score и аналитике.
• SCAYLE (https://www.scayle.com/)
  Защищает платформу для более чем 100 брендов (Marco Polo, Tom Tailor, Depot) от credential‑stuffing и DDoS.
• Temple & Webster (https://www.templeandwebster.com.au/)
  Австралийский лидер онлайн‑торговли мебелью и декором, внедрил Bot Management для защиты от ботов и оптимизации WAF.

Чтобы убедиться, что сайт действительно использует Cloudflare, можно в инструментах разработчика браузера на вкладке Network посмотреть заголовки ответа от сервера — там должны присутствовать поля server: cloudflare, cf-ray, cf-cache-status и т. п.

 

[deskuznetsov]

ответ от ChatGPT:

Ниже — проверенные примеры публичных сайтов, которые при переходе используют Cloudflare Bot Management:

• Home Chef (https://www.homechef.com/)
  Ежедневно блокирует порядка 250 000 вредоносных ботов, не влияя на скорость загрузки страниц.
• Pacsun (https://www.pacsun.com/)
  Во время «hype»‑распродаж мгновенно блокирует ботов‑скальперов и сохраняет доступность сайта.
• SIXT (https://www.sixt.com/)
  Остановил ежедневные автоматизированные атаки и получил детальную аналитику по ботовому трафику.
• Flutter Entertainment (https://www.flutter.com/)
  Снизил уровень вредоносного трафика на 70–90 % и сэкономил миллионы фунтов благодаря Bot Score и аналитике.
• SCAYLE (https://www.scayle.com/)
  Защищает платформу для более чем 100 брендов (Marco Polo, Tom Tailor, Depot) от credential‑stuffing и DDoS.
• Temple & Webster (https://www.templeandwebster.com.au/)
  Австралийский лидер онлайн‑торговли мебелью и декором, внедрил Bot Management для защиты от ботов и оптимизации WAF.

Чтобы убедиться, что сайт действительно использует Cloudflare, можно в инструментах разработчика браузера на вкладке Network посмотреть заголовки ответа от сервера — там должны присутствовать поля server: cloudflare, cf-ray, cf-cache-status и т. п.

Все эти сайты на дефолтных настройках, на серверном айпи в ПМ (хромимум) открываются без проблем.
Ежедневно через ПМ, хромиум, и серверные айпи я делаю регистраю и оплаты с помощью карт в крупном сервисе, где на входе стоит клауд и на форме оплаты. Тоже проблем с клаудом вообще никаких. Настройки все по умолчанию.
Исходя из этого вообще не понимаю, как тогда этот их ИИ работает.

 

[zarufakis]

Твитер недавно ввел. Если с отпечатками гут - она в скрытом виде проскакивает, если нет - нужно галочку нажать.

 

[deskuznetsov]

Твитер недавно ввел. Если с отпечатками гут - она в скрытом виде проскакивает, если нет - нужно галочку нажать.

Ну вот на своем сайте всегда или почти всегда вижу "нажать галочку" и для меня это за несколько лет работы стало нормой.
По теме я ожидал, что вообще доступ будет ограничен, если просто показывают окно с галочкой, то толку от таких нововведений их нет.

 

[zarufakis]

Все эти сайты на дефолтных настройках, на серверном айпи в ПМ (хромимум) открываются без проблем.
Ежедневно через ПМ, хромиум, и серверные айпи я делаю регистраю и оплаты с помощью карт в крупном сервисе, где на входе стоит клауд и на форме оплаты. Тоже проблем с клаудом вообще никаких. Настройки все по умолчанию.
Исходя из этого вообще не понимаю, как тогда этот их ИИ работает.

Сохрани профиль и через пару месяцев зайди на него.
Если UA можно поменять, то sec-ch-ua нет, вот тут и начинаются разочарования.