Onderwerp: Spamsoftware doorbreekt captcha-beveiliging

Spamsoftware doorbreekt captcha-beveiliging

AMSTERDAM - Spammers hebben technologie ontwikkeld waarmee het mogelijk is om websites met een reactiemogelijkheid, zoals blogs en discussieforums, geautomatiseerd te bestoken met reclame, de zogenoemde commentspam.


Tot zover oud nieuws zou je zeggen, waar het niet dat ze nu ook de Captcha-velden in kunnen vullen.


Zie het bericht bij Nu.nl en Panda software.

zelfs dat is al vrij oud nieuws gelukkig zijn er nu al nieuwe beveiligingen voor vbulletin beschikbaar

Zoals je in het flash filmpje kan zien, is het alleen de captcha van phpBB versie 2. Die is ook wel erg makkelijk:
http://forum.autosnelwegen.nl/profil...1631225c7a1116

dit is niet echt nieuws.. captcha kunnen ze al langer uitlezen, alleen met veel ruis is het moeilijker (maar tevens ook voor de mensen die echt willen registreren), en de captcha van phpBB2 is waardeloos.


EDIT: Check de datums van de forum posts die hij maakt.. 24 december 2006

Gezien het enorme aantal spam registraties op vBulletinforums ondanks captcha is dit voor mij ook geen nieuws.

Heb zelf een phpbb2 draaien en daar kwamen ze enkele maanden geleden met honderden op af, heb toen een andere captcha erop gezet en sindsdien komt er niet 1 meer door.

Ik werk met een zelf ontwikkelde beveiliging dmv javascript, aangezien 99.9% van de bots javascript uit heeft staan, werkt dit zeer goed. Het javascriptje zorgt er voor dat een verborgen value (Verborgen via css, anders valt het te snel op als je type="hidden" gebruikt.) ingevuld wordt met een bepaalde waarde. Binnen het verwerk script controleer ik deze waarde: is hij aangepast -> javascript enabled -> kans dat het een bot is: 0.01% -> bericht plaatsen.

Ben nu een andere versie aan het ontwikkelen met xml erbij (ajax dus) waarmee ik ook kan afvangen of de gebruiker sessies of cookies accepteerd (werkt ook niet bij bots).

Nadeel: gebruikers zonder javascript, of die geen cookies accepteren, kunnen geen forms submitten. Maar zo be it, beter dan 1000en berichten die ik niet wil.

Niels, daar is vrij gemakkelijk omheen te werken met curl in PHP b.v.

Ik heb een antispam module gemaakt welke PM's,postings,registraties en zoekopdrachten door een strenge validator haalt.
Bij registratie zit er een random field ipv het username field dat bij submit een nieuwe random naam krijgt en de website die ingevuld wordt in profiel wordt remote uitelezen en ook door de validator gehaald.
Voor de liefhebbers van deze phpbb2 mod: www.phpbbantispam.com

Uitgebreide specs + screenshots van backend staan hier:
http://www.phpbb.com/community/viewtopic.php?t=393606


@Niels, indien je idee GPL is zou ik het graag van dichtbij willen zien.

Update: @Niels:

Ben nu een andere versie aan het ontwikkelen met xml erbij (ajax dus) waarmee ik ook kan afvangen of de gebruiker sessies of cookies accepteerd (werkt ook niet bij bots).

Bij spambots zoals xrumer die erin geslaagd zijn een actief account te krijgen en inloggen lukt ze dit dus al, daar phpbb2 met sessions of cookies werkt om de login te bewaren.

Oorspronkelijk geplaatst door nikkelhost

Niels, daar is vrij gemakkelijk omheen te werken met curl in PHP b.v.

Dan moet men handmatig de variabele toekennen. Want de variabele staat in de javascript, die in een hidden veld geplaatst worden en dan wordt gecontroleerd binnen php. En deze variabele is aan te passen, op bijvoorbeeld php mktime() basis zodat deze altijd uniek is... Dan is er met een bot zonder javascript niet door te komen. Tenzij ze los de javascript file gaan inlezen, de juiste var uitlezen en posten naar het form... maar dan wordt het dus een bot op maat.

@hierboven, klopt. Echter zijn deze bots wel specifiek gemaakt voor die software. Ik pas het toe op contact formulieren, en verwacht voorlopig nog niet dat men die formulieren zo belangrijk acht om er handmatig een aparte bot voor te schrijven.

Maar het blijft er altijd achter aan wandelen... Ik heb op papier ook nog een beveiliging bedacht, maar deze moet ik nog uitwerken want die zit wat lastiger in elkaar... Als de praktijk net zo werkt als de theorie, dan zal ik hem hier posten.