hasta donde se es cloudflare plano y simple... no se si alguien lo habrá "tuneado" pero lo dudo

Lo que más me llamó la atención es lo básica que es la ofuscación y por eso mismo me llamó la atención y mi curiosidad. Cual es el motivo de ofuscar un código de forma tan sencilla.

El código al que me refiero es el de:

setTimeout(function(){
  var s,t,o,p,b,r,e,a,k,i,n,g,f, wnnugbo={"bunQv:+((![]+!![]+!![]+!![].........

function(p) { return eval((true+"")[0]+".ch"+(false+"")[1]....
Toda esta historia por ejemplo para escribir t.charCodeAt(p)

No le veo el sentido de obfuscar de esta forma.

Ya lo tengo prácticamente todo desobfuscado y tenía la curiosidad de por qué se obfuscó de forma tan simple.

Cuando lo acabe de desobfuscar intentaré saltárme la protección más que nada porque con datos móvil a mínima velocidad cuesta mucho acceder al foro.

Esa parte que mencionas es de Cloudflare. Es un challange JS sencillo para descartar bots y agentes sin motor de javascript.

Aquí lo tienes desofuscado.

https://gist.github.com/joepie91/c5949279cd52ce5cb646d7bd03c3ea36

Saludos

Nopues, ese js no es del foro, es un código propietario de cloudflare, de todas maneras puede ser para efectos de captcha y prevención de automatización, pero no siempre aparece, generalmente cuando abusas de una dirección url te aparece ese mensaje. Si te apareció, que estabas haciendo antes de lanzar el curl?, si quieres ver el código fuente normal del foro puedes usar la url

view-source:https://foro.elhacker.net/

He revisado y he accedido al foro desde una ventana de navegación privada para no enviar cookies ni nada y no me pide una sesión.

Cloudflare cuenta con un sistema de protección inteligente muy similar a lo que hace Google o facebook, por ejemplo, cada ves que ingresas a un sitio web controlado por cloudflare o google te enrolan en un sistema con una infinidad de parámetros y te dan un puntaje, por ejemplo, si haces constantes solicitudes con un user agent de curl entonces te bajan el puntaje por ser potencialmente un atacante, si no usas cookies te bajan el puntaje, y así... si navegas por el foro y cuentas con cookies, referencias en las cabeceras, un buen user agent, cabeceras asociadas al user agent como el dnt entonces te suben el puntaje y si lo haces constantemente te suben mas el puntaje.

Cuando tienes un puntaje elevado no te piden captcha ni te bloquean el acceso cuando intentas automatizar algo porque tu puntaje es bueno, es mas probable que seas un humano haciendo pruebas que un bot atacando, pero si tienes un mal puntaje entonces cuando entras sin cookies o sin sesión te bloquean y te ponen captchas porque eres considerado potencialmente malicioso.

Eso pasa muchas veces cuando te aparecen captchas en el buscador de google o en sitios que usan cloudflare, de hecho este sistema también se utiliza mucho para validar cuentas en redes sociales como gmail o facebook, cuando tienes un buen comportamiento no te hacen validar el número telefónico pero cuando tienes un puntaje muy malo te exigen incluso a veces una copia de identidad nacional y ese puntaje no siempre está asociado a una cookie o una ip sino a un conjunto de muchas cosas que te rastrean, por ejemplo, si cambias de ip pero mantienes las mismas cookies de sesión al acceder a otros sitios que estén protegidos por la misma compañía, cuando usas una misma cuenta de google para entrar en diferentes lugares o cuando google analytics te rastrea, cuando el botón me gusta de facebook te rastrea y ve si eres la misma persona navegando con mas de una ip, te detectan si usas proxys o no, si usas tor, etc etc etc.

Probablemente has estado haciendo pruebas con algunas solicitudes al foro y a lo largo del tiempo te has dedicado a realizar más solicitudes como bot que como humano usando el navegador y por eso cloudflare te ha visto y te ha catalogado como malicioso y por eso ves ese script.

Debes tener cuidado porque si haces esas pruebas desde tu pc con tus sesiones iniciadas de redes sociales como gmail te catalogarán como malicioso incluso dentro de las plataformas de terceros, recuerda que no es necesario tener una ip o una cookie para detectar quien eres. De todas maneras esto no es permanente y el puntaje puede variar mucho con el pasar de los días, aunque nunca es bueno tener una mala reputación porque luego ves una captcha en casi cualquier lugar donde vas y te hacen hacer un sin fin de validaciones personales, te lo cuento como experiencia propia, antes cuando hacía las pruebas desde mi pc todos los días terminaba viendo captchas por todos lados y en algunas redes sociales me solicitaban más información sobre mi identificación, pero luego comencé a usar otros medios para hacerlo como servidores dedicados para hacer pruebas totalmente legales y ya no me sucede más.

Saludos.