Onderwerp: Gastenboek en spambots

soms helpt het om een htaccess / refer check te doen op het formulier naast ander maatregelen welke hier al deels voorbij zijn gekomen.

Oorspronkelijk geplaatst door crazycoder

Is de captcha te eenvoudig dan kan een spammer die ook lezen.

Laatst las ik over nieuwe methodes die de spammers gebruiken. Ze huren gewoon goedkope mensen in (bv. Indiers) die de hele dag niets anders doen dan CAPTCHA codes invullen.

Oorspronkelijk geplaatst door Henky!

Laatst las ik over nieuwe methodes die de spammers gebruiken. Ze huren gewoon goedkope mensen in (bv. Indiers) die de hele dag niets anders doen dan CAPTCHA codes invullen.

dan nog... je wil bots stoppen geen mensen ... op die manier kun je tenzij je iets in de locale taal doet of locale kennis aan de invuller vraagt deze "human bots" nooit stoppen.

Oorspronkelijk geplaatst door Ramon Fincken

dan nog... je wil bots stoppen geen mensen ... op die manier kun je tenzij je iets in de locale taal doet of locale kennis aan de invuller vraagt deze "human bots" nooit stoppen.

Helemaal correct dus elke captcha is daarmee praktisch verslagen en nutteloos geworden mits de bezoeker een mens is.

Naast de eerder genoemde oplossingen kun je er ook een soort van tijds check toevoegen. Een mens vult formulieren natuurlijk trager in dan een bot dat doet en zo kun je dus alweer een hele zooi bots onderscheppen. Wordt het formulier binnen een bepaalde (onmenselijke) tijd ingevuld heb je met een bot te maken (of je maakt gebruik van programma's als RoboForm) en kun je zelf bepalen wat daar mee te doen. Een extra vraag misschien of doorsturen naar een bot trap.

Dingen die ik toepas:

Schrijf dit woord over: 'hoi'. Bots doen dat niet en mensen snappen het.

Als je een zelf gemaakt gastenboek hebt dan volstaat een hele simpele captcha ala dit: http://frontpage.credible.nl/images/...c.php?id=28072

Daar had ik ook al over geschreven over dat soort verificatie.
Je link geeft overigens een InvalidID melding.

Op dit moment werken deze en soortgelijke truuks nog, maar zoals ik al eerder aangaf zul je er een random iets van moeten maken, als je maar 1 woord gebruikt zal het niet lang duren eer ze spambots die dingen ook kunnen laten lezen.
Voordeel is dat wij hier in NL zitten en spambots de NL taal niet zo heel machtig zijn.
Maar beter is toch om hier random woorden van te maken.

Wat doet een spambot als het radiobutton tegenkomt? Stel dat je drie buttons op het form zet:
Button 1 = waarde ja
Button 2 = waarde nee, voorbeeld
Button 3 = hidden, eventueel een waarde

Gebruiker kan alleen ja of nee aanklikken. Maar de spambot ziet dit verschil niet denk ik? Of hebben ze hier ook al truukjes voor?

Oorspronkelijk geplaatst door Blacky

Daar had ik ook al over geschreven over dat soort verificatie.
Je link geeft overigens een InvalidID melding.

Klopt ja, de captcha's worden na een tijdje opgeruimd om te voorkomen dat bots ze gaan leren.

Oorspronkelijk geplaatst door dinges2007

Wat doet een spambot als het radiobutton tegenkomt? Stel dat je drie buttons op het form zet:
Button 1 = waarde ja
Button 2 = waarde nee, voorbeeld
Button 3 = hidden, eventueel een waarde

Gebruiker kan alleen ja of nee aanklikken. Maar de spambot ziet dit verschil niet denk ik? Of hebben ze hier ook al truukjes voor?

Kijk,.. het _kan_ wel, dwz ik heb een succesvolle phpbb2 antispam mod geschreven en zie een boel voorbij komen; Ik heb geloof ik alles wel gezien in de logs, waaronder bots die ieder veld dat niet gelijk was aan 'username' ' email' of 'password' volstopten met url naar de ons bekende sites ..

ook bots die hidden velden juist wel of niet vullen, bots die meerdere malen vanaf verschillende IP's op dezelfde tijden eenzelfde form invullen, noemt u maar op

ook bots die hidden velden juist wel of niet vullen, bots die meerdere malen vanaf verschillende IP's op dezelfde tijden eenzelfde form invullen, noemt u maar op

is het dan niet een combinatie van manieren om een spambot d'r uit te werken? Ik bedoel, als je maar genoeg beveilingen hebt dan zullen vanzelf de grootste gedeelte van de spambots afvallen.

Ik heb 'n zelfgeknutseld gastenboek (bv hier) al jaren in een aantal varianten draaien op diverse sites en er komt nooit geautomatiseerde spam in. Mijn recept:

Tegen spambots

• De submit-knop is een afbeelding, een javascript triggert de verzending. Gevolg: bots zien geen submit en vaak kunnen ze sowieso niet overweg met javascript.
• Een mens kan wel kijken hoe het ineen zit & een spamscriptje bouwen. Maar het gastenboek is in ASP.NET geprogrammeerd, automatisch wordt gecontroleerd of wel het originele formulier gepost wordt (versleuteling "viewstate" adhv autogenerated "machinekey"). Gevolg, bij geautomatiseerd posten klopt de viewstate niet en de data worden niet aanvaard.

Tegen "human" spammers

• Sommige lui (geen bots) willen hun site bekend maken door ze in zoveel mogelijk gastenboeken te zetten.
• Naargelang de site, kan ook dat een echte plaag zijn. In zo'n geval is de shoutbox uitgebreid met een controle op URL's, die komen er niet in. De creatievelingen proberen de links vervolgens te omfloersen ("mijnsite . nl" of "supersite[dot]be"). Maar na 3 URL-pogingen wordt de verzendknop onzichtbaar (adhv IP & cookie) en zijn ze eraan voor de moeite.

Bovenstaande is natuurlijk niet onfeilbaar, maar blijkt in de praktijk voldoende. In de bezoekersstats staan tientallen spam-IP's maar ze krijgen niks gepost.

mooi bedacht, maar wat als mensen JS uit hebben gezet?

@Ericjuh: bij die mod heb ik oa. gebruik gemaakt van lijsten met verboden woorden, viagra o.a. hij herkent ook vi4gr_a en dat soort ongein. Verder laat ik het systeem de ingegeven urls automatisch uitlezen en ook die op de woorden scannen.

Oorspronkelijk geplaatst door Ramon Fincken

mooi bedacht, maar wat als mensen JS uit hebben gezet?

Die kans is zo klein dat het verwaarloosbaar is voor zoiets.

Oorspronkelijk geplaatst door Ramon Fincken

mooi bedacht, maar wat als mensen JS uit hebben gezet?

@Ericjuh: bij die mod heb ik oa. gebruik gemaakt van lijsten met verboden woorden, viagra o.a. hij herkent ook vi4gr_a en dat soort ongein. Verder laat ik het systeem de ingegeven urls automatisch uitlezen en ook die op de woorden scannen.

een list met verboden woorden zou idd niet gek zijn. Maar probleem is dat er ontzettend veel varianten zijn. precies wat jij zegt in je post.. je hebt viagra, vi@gr@ etc..

Oorspronkelijk geplaatst door Ericjuh

een list met verboden woorden zou idd niet gek zijn. Maar probleem is dat er ontzettend veel varianten zijn. precies wat jij zegt in je post.. je hebt viagra, vi@gr@ etc..

Een lijst kan ik je wel verschaffen:
http://www.phpbbinstallers.net/bad_w...?antispam=true

Wbt het "slim maken van de lijst" een paar str replace of regexp kun je zelf wat verzinnen, vaak volstaat de lijst met het veranderen van de spaties en _ in niets en de cijfertjes naar alfabet ( 1 = i, 4 = a etc.. )