Verhindern, dass Formular von Maschine ausgefüllt wird

[Thomas]

Moin,

kann ich verhindern, dass ein Formular von einem Bot ausgefüllt wird, wenn ich beim Aufruf des Formulars eine eindeutige ID erzeige, diese in der DB speichere und als Hidden-Feld mitgebe? Nach dem Absenden wird dann geprüft, ob die ID vorhanden und in der in der DB ist. Das würde verhindern, dass "fremde" POSTs gemscht werden. Aber gehen Spambots überhaupt so vor, oder verwenden die das Formular von der Seite?

Danke!
Thomas

[Cheatah]

Hi,

kann ich verhindern, dass ein Formular von einem Bot ausgefüllt wird,

gar nicht. Der resultierende Request ist exakt der selbe wie bei menschlicher Interaktion.

Aber gehen Spambots überhaupt so vor, oder verwenden die das Formular von der Seite?

Jede Pauschalisierung wäre falsch und dumm.

Cheatah

[Ludger]

Hi,

Jede Pauschalisierung wäre falsch und dumm.

ist das eine Anregung den gegebenen Sachverhalt differenzierter zu betrachten? Oder was soll ggf. anderes ausgesagt werden?

Gruss,
Ludger

[Cheatah]

Hi,

Jede Pauschalisierung wäre falsch und dumm.
ist das eine Anregung den gegebenen Sachverhalt differenzierter zu betrachten?

das ist einerseits ein selbstbezüglicher Merksatz, und andererseits die Begründung, warum die Frage in jener Formulierung nicht beantwortet werden kann.

Cheatah

[Ludger]

Hi,

Jede Pauschalisierung wäre falsch und dumm.
ist das eine Anregung den gegebenen Sachverhalt differenzierter zu betrachten?

das ist einerseits ein selbstbezüglicher Merksatz,

so etwa wie "Etwas ist." oder "Alles fliesst." oder "Ein Kreter sagt..."?

und andererseits die Begründung, warum die Frage in jener Formulierung nicht beantwortet werden kann.

Es soll wohl nahegelegt werden, dass die im Initialbeitrag dieses Threads skizzierte Vorgehen (Webbot kommt ueber eine "SurferID", kann somit fortlaufend identifiziert und somit auch "gesperrt" werden.) in sich widerspruechlich ist? (Zumindest ich habe eine deartige Inkonsistenz im o.g. Beitrag nicht erkannt.)

Gruss,
Ludger

[wahsaga]

hi,

Es soll wohl nahegelegt werden, dass die im Initialbeitrag dieses Threads skizzierte Vorgehen (Webbot kommt ueber eine "SurferID", kann somit fortlaufend identifiziert und somit auch "gesperrt" werden.) in sich widerspruechlich ist? (Zumindest ich habe eine deartige Inkonsistenz im o.g. Beitrag nicht erkannt.)

Cheatah bezog sich vor allem auf die frage,

Das würde verhindern, dass "fremde" POSTs gemscht werden. Aber gehen Spambots überhaupt so vor, oder verwenden die das Formular von der Seite?

und da ist eine verallgemeinerung wohl wirklich sinnfrei.

gruß,
wahsaga

[Ludger]

Hi,

Es soll wohl nahegelegt werden, dass die im Initialbeitrag dieses Threads skizzierte Vorgehen (Webbot kommt ueber eine "SurferID", kann somit fortlaufend identifiziert und somit auch "gesperrt" werden.) in sich widerspruechlich ist? (Zumindest ich habe eine deartige Inkonsistenz im o.g. Beitrag nicht erkannt.)

Cheatah bezog sich vor allem auf die frage,

Das würde verhindern, dass "fremde" POSTs gemscht werden. Aber gehen Spambots überhaupt so vor, oder verwenden die das Formular von der Seite?

und da ist eine verallgemeinerung wohl wirklich sinnfrei.

aha, die Aussage bzw. Frage ist quasi substanzlos und somit auch in sich widerspruechlich (eine der wichtigen Voraussetzungen fuer Substanzlosigkeit).

Muss einem ja mal erklaert werden.   ;-)

Gruss,
Ludger

[Ingo Turski]

Hi,

kann ich verhindern, dass ein Formular von einem Bot ausgefüllt wird,

ja, allerdings nicht so. Der gängige Eeg ist, eine ID als Grafik auszugeben, die dann manuell übertragen werden muß. Rein theoretisch könnte man das zwar über Texterkennung auch maschinell machen, aber soviel Aufwand wird kaum jemand betreiben; dennoch versehen einige diese Grafiken noch mit einem Hintergrund, der auch das noch erschweren soll.

freundliche Grüße
Ingo

[Phil]

Hi,

ja, allerdings nicht so. Der gängige Eeg ist, eine ID als Grafik auszugeben, die dann manuell übertragen werden muß. Rein theoretisch könnte man das zwar über Texterkennung auch maschinell machen, aber soviel Aufwand wird kaum jemand betreiben; dennoch versehen einige diese Grafiken noch mit einem Hintergrund, der auch das noch erschweren soll.

Dieses Verfahren nennt sich CAPTCHA (Completely Automated Public Turing-Test to Tell Computers and Humans Apart nach dem Mathematiker Alan Turing)

Dazu gibt es viele Tutorials, befrage einfach mal Google

Gruß

Phil

[MudGuard]

Hi,

kann ich verhindern, dass ein Formular von einem Bot ausgefüllt wird,
ja, allerdings nicht so. Der gängige Eeg ist, eine ID als Grafik auszugeben, die dann manuell übertragen werden muß. Rein theoretisch könnte man das zwar über Texterkennung auch maschinell machen, aber soviel Aufwand wird kaum jemand betreiben; dennoch versehen einige diese Grafiken noch mit einem Hintergrund, der auch das noch erschweren soll.

Man sollte aber nicht unerwähnt lassen, daß man damit auch Menschen ausschließt:

• solche, die nicht sehen können
• solche, die einen Textbrowser nutzen (müssen)
• je nach Graphik solche, die unter irgendeiner Farbblindheit leiden.

cu,
Andreas

[Andreas Lindig]

Hallo Andreas,

Man sollte aber nicht unerwähnt lassen, daß man damit auch Menschen ausschließt:

man könnte aber die ID auch einfach als Text angeben. Man muß ja nicht extra für den Bot auch noch "ID" oder sowas dazuschreiben ;-) Wenn die Nummer irgendwie vorkommt und eine kleine Erläuterung, daß man sie übertragen soll, stelle ich mir das statistisch schon recht sicher vor. Außerdem kann man die dann per copy-paste übertragen.

Gruß, Andreas

[wahsaga]

hi,

man könnte aber die ID auch einfach als Text angeben. Man muß ja nicht extra für den Bot auch noch "ID" oder sowas dazuschreiben ;-)

das findet der spammer, der deine seite kurz analysiert, auch manuell heraus.
anschließend hat er die position innerhalb des codes, und weiß wie er seine suchmechanismen anpassen muss, um sie zu finden.

gruß,
wahsaga

[wahsaga]

hi,

wenn es sich um das thema kommentarspam in weblogs handelt, hat google dazu aktuell einen interessanten vorschlag gemacht, mit dem man diesem zunächst mal die gewünschte wirkung (erhöhung ranking der "beworbenen" seiten) nehmen kann:

http://www.google.com/googleblog/2005/01/preventing-comment-spam.html

hab zwar noch ein paar kleinere bedenken (wenns interessiert: mein gebloggter senf dazu), aber generell halte ich das für zumindest ausprobierenswert.

gruß,
wahsaga

[Ingo Turski]

Hi,

wenn es sich um das thema kommentarspam in weblogs handelt, hat google dazu aktuell einen interessanten vorschlag gemacht, mit dem man diesem zunächst mal die gewünschte wirkung (erhöhung ranking der "beworbenen" seiten) nehmen kann:

http://www.google.com/googleblog/2005/01/preventing-comment-spam.html

zwar auf den ersten Blick interessant, aber ich würde gegen das "Übel" doch eher an der Wurzel, sprich der Verlinkung angehen. Anders als Du in

mein gebloggter senf dazu)

kann man doch gleich Nägel mit Köpfen machen und die Verlinkung selbst herausnehmen; entweder per default und dann die "guten" Links selbst setzen oder anders herum. Warum sollte eine SPAM-URL überhaupt verlinkt sein bzw. bleiben? Selbst eine kommentierte Entfernung der Verlinkung könnte dem ein oder andren Spammer zeigen, daß sich sowas nicht lohnt (falls er es überhaupt mal kontrollieren sollte).

freundliche Grüße
Ingo

[wahsaga]

hi,

[...] kann man doch gleich Nägel mit Köpfen machen und die Verlinkung selbst herausnehmen; entweder per default und dann die "guten" Links selbst setzen oder anders herum.

m.E. zu unkomfortabel.

letztens mal irgendwo einen blogeintrag gelesen, wo jemand mal getestet hatte, wie "schnell" google die spamlinks frisst. ergebnis: nach ein oder zwei tagen schon waren die zumindest im index, wenn auch noch nicht gespidert.
hiesse also: erst mal _alle_ links deaktivieren, wenn man das nicht immer absolut zeitnah kontrollieren kann/will.

das sehe ich aber auch wiederum nicht so ganz ein, das "feature" der verlinkung von seiten im hypertext per default abzuschalten, nur weil es teilweise missbraucht wird.
wer eine seite besucht und kommentare liest, möchte ja ggf. gleich ohne weitere umstände ein genannte seite besuchen können.

gruß,
wahsaga

[Ingo Turski]

Hi,

[...] kann man doch gleich Nägel mit Köpfen machen und die Verlinkung selbst herausnehmen; entweder per default und dann die "guten" Links selbst setzen oder anders herum.

m.E. zu unkomfortabel.

unkomfortabler als das nachträgliche Ändern eines Attributes?

das "feature" der verlinkung von seiten im hypertext per default abzuschalten, nur weil es teilweise missbraucht wird.
wer eine seite besucht und kommentare liest, möchte ja ggf. gleich ohne weitere umstände ein genannte seite besuchen können.

Stimmt zwar, aber für dieses "Feature" wäre der Einsatz von Javascript noch akzeptabel, d.h. die Verlinkung hierüber realisieren.

freundliche Grüße
Ingo

[wahsaga]

hi,

m.E. zu unkomfortabel.
unkomfortabler als das nachträgliche Ändern eines Attributes?

das war nicht nur auf den administrativen aufwand bezogen, sondern auch auf die nutzbarkeit der seite für den besucher, bevor ggf. eingegriffen wurde.

Stimmt zwar, aber für dieses "Feature" wäre der Einsatz von Javascript noch akzeptabel, d.h. die Verlinkung hierüber realisieren.

wie der erste kommentar zu meinem gebloggten schon anmerkte, auch ein serverseitiges redirect-script könnte ja zumindest schon mal dafür sorgen, dass sich kein direkter link auf der seite befindet, der dann das ranking der verlinkten seite pushen könnte ...

gruß,
wahsaga

[Siechfred]

Tag wahsaga.

http://www.google.com/googleblog/2005/01/preventing-comment-spam.html

Interessanter Ansatz. Man könnte sich natürlich auch eine Art Votingsystem ausdenken, welches eine Nachricht auf das Vorkommen spamrelevanter Worte untersucht, das Stichwort wäre hier »Worthäufigkeit«. Das Ganze könnte man dann noch mit anderen Kriterien kombinieren (Postinglänge, Anteil des Links am Gesamtposting, Links in Signaturen etc. pp.).

Interessante Aufgabe, denke ich :-)

Siechfred