Gästebuch gegen spambot schützen

[thomas123]

hallo,

mein gästebuch wird seit geraumer zeit immer wieder zugespammt. ich vermute, dass es ein bot ist. jetzt will ich mein gästebuch gegen solche attacken schützen, aber wie....

folgendes habe ich schon ohne erfolg eingebaut:

- nur POST parameter werden angenommen.
 - der referer wird abgefragt.

am liebsten währe es mit, wenn der benutzer davon nichts mitbekommen würde. aber ich weiß nicht wie ich das anstellen soll. ein zufällig generierter string auf einem bild will ich also vermeiden....

[Tom]

Hello,

mein gästebuch wird seit geraumer zeit immer wieder zugespammt. ich vermute, dass es ein bot ist. jetzt will ich mein gästebuch gegen solche attacken schützen, aber wie....

Durch eine Session, eine Zertifikats-ID und Transformation

Bots sind i.d.R. doof

Wenn Du z.B. 3 Felder hast für die Eingabe, dann merke Dir die in der Session
Dann erfindest Du 6-10 weitere Felder dazu.
Diese blendest Du im Formular mittels CSS einfach aus.
Ein normaler User würde die also nie ausfüllen.
Und nun transformierst Du den Namen aus dem Form mittels der Sessionnummer in den Namen für die Datenhaltung. Ein Bot kann daher also nicht wissen, welche Felder er ausfüllen muss und welche er gefälligst frei lassen muss. Außerdem müsste er sich erst eine gültige Session holen, denn Posts ohne Session liefern nur ein neues Formular aus und werden nicht eingetragen.

Was verstehst Du denn unter "zugespammt"?
Hast Du Dir mal die IPs angeschaut? Sind es welche aus Dial-in-Pools? dann werden sie kaum einem Bot gehören. Die haben i.d.R. 155MBit-Anbindungen und nicht Gummileitungen.

Harzliche Grüße vom Berg
http://www.annerschbarrich.de

Tom

[wahsaga]

hi,

Hast Du Dir mal die IPs angeschaut? Sind es welche aus Dial-in-Pools? dann werden sie kaum einem Bot gehören.

Sondern eher zu einem Bot-Netz aus gekaperten Rechner.
Dass diese von Spammern gerne eingesetzt, ja sogar in der Szene gehandelt bzw. "vermietet" werden, dürfte bekannt sein.

Die haben i.d.R. 155MBit-Anbindungen und nicht Gummileitungen.

Die hüten sich heutzutage vermutlich eher, eine feste IP zu nutzen, die nach kurzer Zeit "verbrannt" und in allen möglichen Filtern gelandet ist.

gruß,
wahsaga

[Tom]

Hello,

Dass diese von Spammern gerne eingesetzt, ja sogar in der Szene gehandelt bzw. "vermietet" werden, dürfte bekannt sein.

Au fein. Kannst Du mir eine Kontaktadresse spammen? *gg*

Die hüten sich heutzutage vermutlich eher, eine feste IP zu nutzen, die nach kurzer Zeit "verbrannt" und in allen möglichen Filtern gelandet ist.

Das sehe ich ein.
Ich dachte eher an diejenigen, die mir immer schreiben. Die kommen alle aus Kleinststaaten und haben dort eine feste IP. Ich wollte die immer schon mal sammeln und dann ein Filter setzen.

Harzliche Grüße vom Berg
http://www.annerschbarrich.de

Tom

[thomas123]

Was verstehst Du denn unter "zugespammt"?
Hast Du Dir mal die IPs angeschaut? Sind es welche aus Dial-in-Pools? dann werden sie kaum einem Bot gehören. Die haben i.d.R. 155MBit-Anbindungen und nicht Gummileitungen.

also es sind immer ähnliche einträge. ausserdem kommen immer 4 stück in auf einmal, es sind immer verschiedene ip's. ich tippe schon auf einen bot. ausserdem sind die texte englisch und mit werbung... teilweise auch links. html code wird auch immer wieder versucht.

[Peterle]

Hallo,

Hast Du Dir mal die IPs angeschaut? Sind es welche aus Dial-in-Pools? dann werden sie kaum einem Bot gehören.

wahsaga hat es zwar schon gesagt, aber schau dir mal an, was die iX an Spammern sammelt (http://www.heise.de/ix/nixspam/nixspam.blackmatches). Da wimmelt es nur so von ganz offensichtlichen Dial-in-Domains: IP-Nummern in der Domain, Kürzel wie dsl, ppp, modem und dergleichen. Die Einträge ohne Domain sind wahrscheinlich auch temporäre Zugänge, denn kein ordentlicher Mailserver kommt ohne rDNS daher (aber das hat jetzt nichts mit dem Gästebuch-Problem zu tun).
Dass Spammer eigene Leitungen haben, ist uralter Kaffee.

Grüße, Peterle

[thomas123]

ich hab jetzt verucht gehabt noch ein feld einzubauen, was unsichtbar ist. hat aber nichts genutzt. der bot hat auch das geschafft. ich seh mir mal nochmal die access logs an.

[Tom]

Hello,

ich hab jetzt versucht gehabt noch ein feld einzubauen, was unsichtbar ist. hat aber nichts genutzt. der bot hat auch das geschafft. ich seh mir mal nochmal die access logs an.

Was hat der Bot geschafft? Das Feld _nicht_ auszufüllen?
Und heißt das Feld dann wenigstens "nachricht" oder so ähnlich und ist eine Textarea?
Und dein wirkliches Nachrichtenfeld nennst Du dann f13r24 ...
Sonst fällt der doch nicht drauf rein. :-)

Oder es ist eben gar kein Bot.

Harzliche Grüße vom Berg
http://www.annerschbarrich.de

Tom

[Peterle]

Hallo,

mein gästebuch wird seit geraumer zeit immer wieder zugespammt. ich vermute, dass es ein bot ist. jetzt will ich mein gästebuch gegen solche attacken schützen, aber wie....

warum regelst du es nicht so, dass Einträge erst von dir freigeschaltet werden müssen? Falls deine Seiten nur Besucher aus bestimmten Regionen anziehen, könntest du die Freischaltung auch nur für bestimmte Domainbereiche einsetzen oder sogar bestimmte Bereich komplett aussperren (es wird dir niemand böse sein, wenn er nichts im Gästebuch hinterlassen darf).

Sammel' einfach mal die Domainnamen aller Einträge, vielleicht ergibt sich da ja ein verwendbares Muster (zB etwas ganz einfaches wie .de ohne Nachfrage übernehmen, alles andere nur nach Freischaltung).

Grüße, Peterle

[thomas123]

also im moment habe ich das aktuelle textfeld mit css ausgeblendet. dann habe ich nochmal eins erstellt, mit anderem namen. mal sehen ob das hilft.

desweiteren habe ich mir die access logs angesehen. aufgefallen ist mir, das der client direkt auf meiner guestbook.php startet.
1. guestbook.php ist wahrscheinlich einer der dümmsten namen die ma überhaupt wählen kann. das könnte ich bei gelegenheit auch mal noch ändern.
2. ich könnte auf der startseite eine sessionvariable setzen und diese beim gästebucheintrag wieder prüfen. ich denke nicht, das ein normaler benutzer direkt auf die gästebuch url geht.

[Johannes Zeller]

Hallo Thomas,

also im moment habe ich das aktuelle textfeld mit css ausgeblendet. dann habe ich nochmal eins erstellt, mit anderem namen. mal sehen ob das hilft.

»»

[...]
2. ich könnte auf der startseite eine sessionvariable setzen und diese beim gästebucheintrag wieder prüfen. ich denke nicht, das ein normaler benutzer direkt auf die gästebuch url geht.

Guck dir mal http://sunflyer.ch/2005/04/30/interessante-spammer.php. Das könntest du in dein Formular evtl. auch noch einbauen. Das wäre sinnvoller als die Session-Variable.

Schöne Grüße,

Johannes

[Tom]

Hello,

Guck dir mal http://sunflyer.ch/2005/04/30/interessante-spammer.php. Das könntest du in dein Formular evtl. auch noch einbauen. Das wäre sinnvoller als die Session-Variable.

Die benötigt er aber sowieso, wenn er eine Transformations-Tabelle oder Zertifikate nutzen will.
Er muss ja irgendwie wissen, wie die zusammengehören.

Der effektivste und einfachste Schutz gegen Spam-Bots sind zusätzliche unsichtbare Felder, (insbesondere Textareas), die dann beim Eintreffen des Posts überprüft werden, ob sie leer sind.
Ist eines dieser Felder ausgefüllt, dann stimmt was nicht.

Gegen den Spam-Post kann man sich nicht wehren, wohl aber gegen das Eintragen des Blödsinns in die Datenhaltung.

Besonders nett finde ich auch "Human decidable questions"
Da muss man dann drei Checkboxen an- oder ausschalten

Ich bin ein Roboter            [ ]
  Ich bin männlich oder weiblich [ ]
  Mein Browser ist ein Schwein   [ ]
  Heute ist der Wochentag        [             ]

Das merken die User dann zwar, aber sie nehmen es i.d.R. nicht übel.
Und wenn man genügend Fragen auf Lager hat, können das auch nur die Bots von Google, NSA, Mossad usw.

Harzliche Grüße vom Berg
http://www.annerschbarrich.de

Tom

[Theo]

Hi,

hab auch das Problem gehabt.
Momentan klappen aber die unkompliziertesten und einfachsten Vorkehrungen noch ganz gut:

1. den Robots verbieten die Seite zu besuchen
2. umbenennen der Skriptdatei (php) in irgendwas "unauffälliges"

Zur Kontrolle hab ich die Datendatei des GB geändert, eventuelle Einträge laufen also in leere, d.h. werden nicht angezeigt und ersparen den Besuchern die elenden Viagra etc. Einträge.

Da die frequentierung nicht extrem ist, lassen sich die korrekten Einträge händisch kopieren.
OK, ist zwar ein kleiner Aufwand, aber momentan klappt es gut.

Bleibt meine "Kontrolldatei" schön frei, schalte ich sie einfach wieder direkt frei...

Gruß Theo