Amoklauf im Forum ;->

[Dirty Oerti]

Heute schon wieder?

Ich habe heute zwei und gestern einen Bot gelöscht (2*englisch, 1*deutsch)...

Dann hast du ihn hier vergessen: HSiodireRob
Hat gestern ca 25 Spam-Themen verfasst. (siehe Protokoll)

[Dirty Oerti]

SO, also ich hätte mich nun soweit durch phpBB durch, dass ich weiß (bzw es an einem "mal eben hochgeladenem" Testforum durchgeführt habe), wie man vllcht ein wenig mehr Sicherheit vor Bots bekommt.
Die Felder zu Registrierung tragen nämlich IDs wie "username" und "password", wenn man die IDs ändert (in den Vorlagen UND in einem Skript), dann sollten sich die Bots schonmal schwerer tun.
Theoretisch könnte man die ID ja auch generieren lassen... das geht aber über hinaus, was ich zu so später Stunde noch instande bin zu leisten.

[Kerli]

[...]Die Felder zu Registrierung tragen nämlich IDs wie "username" und "password", wenn man die IDs ändert (in den Vorlagen UND in einem Skript), dann sollten sich die Bots schonmal schwerer tun.

Irgendwo habe ich das glaube ich auch schon gelesen bzw. vorgeschlagen, aber irgendwie ist es bis jetzt noch nicht dazu gekommen ^^

[Xin]

[...]Die Felder zu Registrierung tragen nämlich IDs wie "username" und "password", wenn man die IDs ändert (in den Vorlagen UND in einem Skript), dann sollten sich die Bots schonmal schwerer tun.

Irgendwo habe ich das glaube ich auch schon gelesen bzw. vorgeschlagen, aber irgendwie ist es bis jetzt noch nicht dazu gekommen ^^

irgendwie = Zeitmangel.... in 5 Minuten habe ich den nächsten Termin... habe mir schon überlegt, ob ich euch einfach mal Zugriff auf den Webserver gebe und mich da raushalte, aber das ist irgendwie auch was unverschämt.

[Dirty Oerti]

[...]Die Felder zu Registrierung tragen nämlich IDs wie "username" und "password", wenn man die IDs ändert (in den Vorlagen UND in einem Skript), dann sollten sich die Bots schonmal schwerer tun.

Irgendwo habe ich das glaube ich auch schon gelesen bzw. vorgeschlagen, aber irgendwie ist es bis jetzt noch nicht dazu gekommen ^^

Ja, ich glaub du hattest es vorgeschlagen. Ich habs jetzt mal umgesetzt.

Wenn wir aber vom schlimmsten Fall ausgehen, dass jemand die Bots darauf trimmt, genau DIESES Forum hier anzugreifen, dann müssen wir uns wohl mehr überlegen.
Denn so reicht es, die neuen IDs einfach aus dem Quelltext der Seite auszulesen...
Was mich nur wundert: Wie kommen die Bots am Captcha vorbei?

[Kerli]

Wenn wir aber vom schlimmsten Fall ausgehen, dass jemand die Bots darauf trimmt, genau DIESES Forum hier anzugreifen, dann müssen wir uns wohl mehr überlegen.

Wobei ich das nicht glaube, da der Spam dann wohl etwas themenbezogener sein würde. Aber auch da könnte man es eventuell mit Javascript versuchen. Ich weiß zwar nicht wie es aktuell ist aber was mein letzter Wissenstand ist, ist das Bots kein Javascript auswerten.

Was mich nur wundert: Wie kommen die Bots am Captcha vorbei?

Die Bilderkennung ist zurzeit gar nicht einmal so schlecht... Aber ich würde eher vermuten, dass es so ähnlich wie zum Beispiel mit jDownloader abläuft. Ein Spammer lässt einen Bot eine Liste von Forenadressen durchlaufen und bekommt dann nur mehr die Captcha-Bilder angezeigt worauf er den Text eingibt und der Bot dann wieder weiterarbeitet.

[Bebu]

Wie wäre es mit zwei Captcha Bildern, die eine Rechenaufgabe darstellen? Würde einen simplen Spamer vielleicht vom Aufwand her abschrecken und er sucht sich andere Ziele.

Eine andere Möglichkeit wäre es, für neu registrierte Benutzer nur eine bestimmte Postingzahl zuzulassen, bevor sie von einem Moderator freigeschaltet werden müssen. Allerdings ist der administrative Aufwand dafür ziemlich hoch, drum eher unpraktisch.

[Dirty Oerti]

Wenn wir aber vom schlimmsten Fall ausgehen, dass jemand die Bots darauf trimmt, genau DIESES Forum hier anzugreifen, dann müssen wir uns wohl mehr überlegen.

Wobei ich das nicht glaube, da der Spam dann wohl etwas themenbezogener sein würde. Aber auch da könnte man es eventuell mit Javascript versuchen. Ich weiß zwar nicht wie es aktuell ist aber was mein letzter Wissenstand ist, ist das Bots kein Javascript auswerten.

Hm, naja, die letzten Beiträge enthielten stark Computer bezogene Wörter. Ein/Zwei Beiträge waren auch so formuliert, dass sie - ausgenommen der Spamlink am Ende - in einem englischen Computerforum nicht aufgefallen wären.
Mit Javascript... naja, das ist halt immer so ein Ding.
Das Forum verwendet schon JavaScript, ja, aber eben nur für relativ nebensächliche Dinge und nicht für so etwas grundlegendes wie die Registrierung.

Was mich nur wundert: Wie kommen die Bots am Captcha vorbei?

Die Bilderkennung ist zurzeit gar nicht einmal so schlecht... Aber ich würde eher vermuten, dass es so ähnlich wie zum Beispiel mit jDownloader abläuft. Ein Spammer lässt einen Bot eine Liste von Forenadressen durchlaufen und bekommt dann nur mehr die Captcha-Bilder angezeigt worauf er den Text eingibt und der Bot dann wieder weiterarbeitet.

Hm, aber die Bilder scheinen generiert zu werden. Immerhin hab ich keine "Presets" in den Ordnern von phpBB gefunden...

[stampuhh]

Wenn man davon ausgeht, dass es ein extra für phpBB Boards geschriebener Bot ist, könnte man doch einfach das Anmelde-Formular etwas umgestalten oder nicht? z.B. das normale Pflichtfeld was den Namen email hat einen anderen Namen zuweisen und ein per css verstecktes Feld mit dem Namen email einfügen welches nicht ausgefüllt werden darf. Der Bot würde dass dann automatisch ausfüllen und mitsenden. Das hatte auch irgendnen speziellen Namen.
edit: Ok Honeypot Captcha heißt sowas...

gruß stampuhh

[Dirty Oerti]

Wenn man davon ausgeht, dass es ein extra für phpBB Boards geschriebener Bot ist, könnte man doch einfach das Anmelde-Formular etwas umgestalten oder nicht? z.B. das normale Pflichtfeld was den Namen email hat einen anderen Namen zuweisen und ein per css verstecktes Feld mit dem Namen email einfügen welches nicht ausgefüllt werden darf. Der Bot würde dass dann automatisch ausfüllen und mitsenden. Das hatte auch irgendnen speziellen Namen.
edit: Ok Honeypot Captcha heißt sowas...

gruß stampuhh

Sowas in der Art hab ich gestern zusammengebastelt...

Problem ist nur, falls es wirklich ein direkter Angriff auf DIESES Forum ist, dann hält das auch keinen auf.