ban-Script

[Philip]

Hallo

Nur schon vorweg: Ich hab in der Suche geschaut, aber nichts passendes gefunden...
Also:
Da man einen User ja nicht eindeutig wiedererkennen kann (IP ändert sich bei jedem login, Cookies kann man löschen, ...) frage ich mich wie diese sogenannten ban-Scripts funktionieren? Woran erkennen die einen User?

Philip

[Cheatah]

Hi,

Da man einen User ja nicht eindeutig wiedererkennen kann (IP ändert sich bei jedem login, Cookies kann man löschen, ...)

korrekt.

frage ich mich wie diese sogenannten ban-Scripts funktionieren? Woran erkennen die einen User?

Sei so gut und erklär es einem kleinen Dummchen: Was ist ein ban-Script, wie wirkt es sich aus, wo hast Du so etwas gesehen (URL)? In IRC könnte ich es mir vorstellen... :-)

Cheatah

[Philip]

Hi,

Sei so gut und erklär es einem kleinen Dummchen: Was ist ein ban-Script, wie wirkt es sich aus, wo hast Du so etwas gesehen (URL)? In IRC könnte ich es mir vorstellen... :-)

Auf diversen Webseiten hab ich sowas schonmal gesehen (Adressen weiss ich leider keine).
Wie wirkt es sich aus: wenn du auf einer Seite irgendeinen Schmarrn gemacht hast (z.B. das gesamte Forum zugespammt) bannt dich der Admin irgendwie. Danach kannst du die Website nicht mehr besichtigen, bzw. es erscheint ein Fehlertext, o.ä. (Weiss ich auch nicht so genau, ich wurde noch nie gebannt *gg*)...

Philip

[Cheatah]

Hi,

Wie wirkt es sich aus: wenn du auf einer Seite irgendeinen Schmarrn gemacht hast (z.B. das gesamte Forum zugespammt) bannt dich der Admin irgendwie.

ach so, also innerhalb von Bereichen, die mit serverseitigen Scripts arbeiten. Nun, dort kann man sich auf die gesamte Bandbreite von Indizien stützen: IP-Adresse oder -Bereich, User-Agent-String, verwendeter Name oder Mailadresse (insbesondere bei Foren- oder Guestbook-Einträgen), eventuell sogar Elemente des Textes usw. Vermutlich wird es eine Kombination mehrerer Werte sein; denn wie Du schon selbst sehr richtig festgestellt hast, kennt HTTP keine Definition für "User", so dass sich soetwas nicht per Knopfdruck mit hinreichender Sicherheit regeln lässt.

Danach kannst du die Website nicht mehr besichtigen,

Die _ganze_ Site? Das wäre ungewöhnlich. Aber warum nicht, wenn jede Seite mit einer Programmlogik generiert wird...

Cheatah

[Philip]

Hallo,

ach so, also innerhalb von Bereichen, die mit serverseitigen Scripts arbeiten. Nun, dort kann man sich auf die gesamte Bandbreite von Indizien stützen: IP-Adresse oder -Bereich, User-Agent-String, verwendeter Name oder Mailadresse (insbesondere bei Foren- oder Guestbook-Einträgen), eventuell sogar Elemente des Textes usw. Vermutlich wird es eine Kombination mehrerer Werte sein; denn wie Du schon selbst sehr richtig festgestellt hast, kennt HTTP keine Definition für "User", so dass sich soetwas nicht per Knopfdruck mit hinreichender Sicherheit regeln lässt.

Und was genau wird bei sowas geloggt? Welche 'Indizien' sind relativ eindeutig? Was hilft mir der verwendete Name oder die Mailadresse?

Philip

[Ole]

hi

Und was genau wird bei sowas geloggt? Welche 'Indizien' sind relativ eindeutig? Was hilft mir der verwendete Name oder die Mailadresse?

geloggt wird was du loggen willst ;)
Eindeutige Indizien gibt es nicht, da, wie du schon richtig festgestellt hast, die IP immer wieder wechselt. also mußt du auf kombinationen verschiedener nicht eindeutiger indizien zurückgreifen.
je mehr desto genauer kannst du einen user bestimmen.

ein paar infos die du speichern könntest:

ip
ändert sich zwar, aber jeder provider hat nur einen bestimmten ip-raum

betriebssystem
ändert sich meistens nicht all zu häufig, aber alleine ziemlich nutzlos

browser (name,version etc.)
kann sich zwar ändern, allerdings gilt das sprichtwort "der mensch ist ein gewohnheitstier" auch im internet. alleine auch ziemlich sinnlos

etc.

schon diese drei haupt indizien können den kreis deiner verdächtigen ein stück weit einengen...reichen aber normalerweise nicht aus um eine person eindeutig zu identifizieren.

du mußt also durch kombination verschiedener idizien deine personenwahl eingrenzen...das du ohne cookies oder eindeutigem usernamen einen user zweifelsfrei idenifizieren kann ist allerdings sehr zweifelhaft.

so long
ole
(8-)>

[Mirko Hansen]

Hallöle!

Also für Windoofs sind mir derzeit zwei ganz gut funktionierende Methoden für eine eindeutige Identifizierung eines Benutzers bekannt. Kann jetzt leider nicht genauer darauf eingehen, aber beide Methoden funktionieren eigentlich ganz passabel.

Methode 1:
Bedingungen: Windows-Betriebssystem, Windows-Mediaplayer installiert
Der Windows-Mediaplayer auf einem Computer lässt sich standardmäßig eindeutig identifizieren. Er spuckt eine eindeutige ID in der Form {8532efe0-5557-11d3-a748-a3e34df23012} aus. Man muss einfach nur den WMP in die Seite mit einbinden und mit Hilfe von JavaScript diese Nummer auslesen. Beispiel hab ich jetzt leider keines zur Hand aber da müsste man mit Google Beispiele finden. Die Methode hat nur einen Haken: Wenn der User weiß, dass der Ban auf dieser ID basiert, kann er im WMP abstellen, dass der Player eine eindeutige ID hat, und diese nimmt einen anderen Wert an. Diese "Bann"-Methode funktioniert allerdings auch mit anderen Browsern wie Mozilla und Netscape wenn der WMP installiert ist.

Methode 2:
Bedingungen: Windows-Betriebssystem, Internet Explorer-Benutzer
Beim IE kann man so eine Art "Super-Cookies" unterbringen, die beim Löschen der Cookies nicht mit gelöscht werden und auch nicht im normalen Cookies-Verzeichnis untergebracht sind, sondern als XML-Dokument. Leider hab ich auch zu dem Thema kein Beispiel und keine weiteren Infos wie das genau funktioniert, ich weiß nur dass es funktioniert und das sehr gut ;-)

Aber falls jemand noch so etwas ähnliches weiß für non-Microsoft-Betriebssysteme bzw. allgemein für non-IE-Browser wär ich dankbar, wenn er mir das mitteilen könnte.

MfG,
Mirko Hansen