http://matthias-hielscher.de/blog/275/Zwischenbericht_zum_neuen_Spamschutz.html
Jun
08

Zwischenbericht zum neuen Spamschutz

Es gibt Neuigkeiten zum neuen Spamschutz. Zwei Spamwellen wurden bereits erfolgreich blockiert. Wie ich vermutet hatte, können Rechenaufgaben, die ich zum Teil als Spamschutz stelle, von einigen Bots umgangen werden. Aufgaben dieser Art sind weit verbreitet, lassen sich leicht auslesen und berechnen, weshalb es für Bots nicht schwer ist, diese korrekt auszufüllen.
Es gibt Bots, die bewusst einige Sekunden warten, bis ein Formular abgesendet wird, also einen hundertprozentigen Schutz gibt es nicht, doch man kann es Bots so schwer wie möglich machen und das funktioniert momentan mit diesem Schutz ganz gut, fragt sich nur wie lange.
Der aktuelle Bot kann einige Einträge in kürzester Zeit erstellen, weshalb dieser seine Formular-Seiten sehr häufig aufrufen muss. Ich nutze bei mir, wie einige sicher wissen, nämlich nicht nur Rechenaufgaben als Spamschutz, somit kommt der Bot erst durch, wenn er eine Rechenaufgabe zu lösen hat. Wie viele Versuche er daher tatsächlich durchführt, kann ich nicht sagen und ich habe auch nicht vor, das zu ermitteln.

Hier zwei Tipps für Webmaster mit ähnlichen Problemen:
  • Der Bot, der bei mir Probleme verursacht hat, gibt als E-Mail-Adresse generell root999@mail.php an. Diese müsst ihr daher lediglich blockieren, was mit einer kleinen Abfrage schnell erledigt sein sollte. Es gibt auch Funktionen, die E-Mail-Adressen auf eine korrekte Syntax überprüfen, einschließlich der Toplevel-Domains (.de, .com, .eu, ...). Das würde diesen Bot auch schon davon abhalten, denn eine .php-TLD gibt es nicht.
  • Vermeidet, wenn möglich, Rechenaufgaben als Spamschutz, es sei denn, ihr schreibt die Zahlen aus. Ob eine geschickte Klammerung (Bsp: 5 * (2 + 3)) so einen Bot schon abhalten kann, weiß ich nicht, aber auch das wäre einen Versuch wert. Fragen, wie ich sie ebenfalls nutze, sind schwer zu knacken, da der Bot speziell auf diese angepasst werden müsste. Das lohnt sich natürlich für kleinere Websites wie meine nicht, daher sollte das sicher sein. Ich würde euch empfehlen, Fragen dieser Art oder eine Captcha zu nutzen.

Hier ein Auszug aus meinem Log:

Bleibe auf dem Laufenden!

Wenn du den RSS-Feed abonnierst, wirst du über neue Blogeinträge benachrichtigt.

Kommentare

  • Daniel
    09.06.2007, 19:34
  • Wieso kein Captcha mit sehr limitiertem Zeichenvorrat (um 1/l und solche Späße zu umschiffen)? Kommen die um die gut lesbaren auch schon rum? Kann ich mir kaum vorstellen ...
  • Matze
    (registriert)
    09.06.2007, 20:50
  • Matze
    Ich würde euch empfehlen, Fragen dieser Art oder eine Captcha zu nutzen.

    Da steht doch drinnen, dass gute Captchas auch sinnvoll sind. \:roll\:
  • Daniel
    10.06.2007, 01:24
  • Ich frag doch dich -- hier seh ich keine Bild-Captchas \:\)
  • Matze
    (registriert)
    10.06.2007, 07:28
  • Achso, sag's doch gleich. \:mrgreen\:

    Die Bild-Captchas nutze ich deshalb nicht, weil ich

    1. was neues ausprobieren wollte
    2. das ganze so etwas weniger Rechenzeit beansprucht
    3. auch Leute mit Sehschwäche eine Chance geben möchte

    Ich hatte in einer der ersten Webseiten-Versionen eine eigene Captcha drinnen, nur dachte ich mir dann, dass ich ja mal mit anderen Ideen herumspielen könnte. \;\)
  • Michael
    23.07.2007, 11:10
  • Ja das Problem mit root999 hatte ich auch. Bisher hat nur ein Blockieren der E-Mail-Adresse geholfen. Rechenaufgaben (selbst ausgeschriebene Zahlen in deutsch!) sind längt geknackt. Grafik-Captchas mag ich auch nicht. Abgesehen davon funktionieren die auch nur begrenzt aus folgendem Grund:

    Alles was ein Bot braucht um Grafik-Captchas zu knacken ist eine relative stark frequentierte Porno-Seite. Er nimmt also das Captcha einfach von der Zielzeite und zeigt es zeitgleich auf der Porno-Seite. Dort wird das Captcha von irgendwelchen lüsternen Zeitgenossen gelöst und voila - der Eintrag kann abgesetzt werden.

    Die Lösung hier gefällt mir ganz gut - werd mal überlegen, ob ich so etwas einsetze. Wobei das schon langsam an 9live-Methoden grenzt: Wieviele Zahlen sind auf folgendem Bild zu sehen \:\)
  • Matze
    (registriert)
    23.07.2007, 21:39
  • Hi,

    dieser Schutz wurde vor wenigen Tagen nun auch geknackt und es landen wieder Spameinträge im Gästebuch. \:mecker\:

    Das einzig Sichere sind meines Erachtens Fragen, wie ich sie nutze, jedoch die Rechenaufgaben ausgeschlossen. Das Problem daran könnte sein, dass nicht jeder die Fragen beantworten kann, allerdings könnte man eine Hilfestellung bei schwierigeren Fragen mit angeben, das wäre u.U. gar nicht mal so schlecht. Mal sehen.

    Beispiel:

    "Wie heißt der schwarz-weiße Vogel, der am Südpol lebt und nicht fliegen kann?
    Tipp: Pi_g_in
  • Michael
    24.07.2007, 09:12
  • Noch ein Tipp der vielleicht helfen könnte: Im eigentlichen Eintrag einfach keine URLs zulassen! Normalerweise versucht ein Bot mittels Brute-Force Einträge abzusetzen, indem er überall URLs reinschreibt. Wenn nun eine URL (regex mit :// drin) im Eintrag selbst auftaucht, zeigt man einfach einen Hinweis, dass das nicht erlaubt ist. Wird der Bot aber dumm gucken \:\)
  • Matze
    (registriert)
    24.07.2007, 17:51
  • Hallo,

    hin und wieder kommt es jedoch vor, dass man einen Link schreibt, sei es auf Wikipedia oder sonst wohin. Allerdings wäre es eine Alternative, dass nur registrierte Leute Links posten dürfen.
    Ich glaube, das baue ich ein, danke. \:\)
  • Nadine
    21.02.2008, 15:41
  • Hi
    der Bericht ist zwar schon alt, aber vielleicht ja noch aktuell. Es gibt noch eine andere Möglichkeit.
    Wenn du hier noch ein zusätzliches Formularfeld einfügst, z.b. E-Mail Adresse und dieses Feld mit CSS versteckst, schreibt ein Mensch nichts rein, ein Bot aber schon.....
    Du kannst das dann so programmieren, dass Einträge, bei denen dieses Feld ausgefüllt wurde, einfach gelöscht werden.

    VG Nadine

Einen Kommentar schreiben

 
 
  • : *
  • :
  • : *
* Pflichtfelder