Gastenboek en spambots

[Ericjuh]

Zelf heb ik een aantal sites geprogrammeerd met een gastenboek. Het komt de laatste tijd behoorlijk vaak voor dat spambots spam posten in het gastenboek. Ik heb meerdere beveiligingen gebruikt, maar uiteindelijk lijkt het geen zin te hebben.

Tot voor kort heb ik gebruik gemaakt van een sessie. Hierbij moet je eerste het gastenboek bezoeken om vervolgens een reactie te posten. Dit heeft heel veel spambots weggehouden van mij site. Maar sinds kort is ook dit niet de oplossing.

In het verleden heb ik gebruik gemaakt van een extra veld, waarbij users ja moeten antwoorden op de vraag "Bent u een bot?". Naast dat ik dit onprofessioneel vind is ook hier al een omweg voor gevonden. Ik zie ook veel sites met "Confirmation code", maar uit ervaring blijkt dat dit soms nog wel eens problemen wil opleveren. Daarnaast zou ik zo niet weten hoe je een open source code in mijn site implementeert (site programmeren is voor mij puur hobby)

Hoe lossen jullie zoiets op? Wat voor beveiliging hebben jullie gebruikt?

[burp2001]

je kan een klein rekensommentje maken, schijnt erg goed te werken..

[umf]

heb je captca al geprobeerd ?

dit werkt bij onze klanten perfect voor contact formulieren tegen spam te beveiligen

[®on]

Heb je het gastenboek zelf geprogrammeerd of is het een bestaand script? Captcha gebruiken is eigenlijk wel aan te raden, en bij voorkeur een captcha waarbij je zelf fonts kan toevoegen.

[YolkNet]

heb ik eens over gelezen, maar tot nu toe nog niet meegemaakt.
Hoe doen die spambots dat dan? Los je het probleem niet op als je je velden een onduidelijke naam geeft? Met een prefix of een getal ervoor?
Als je de submit ook een andere naam geeft dan 'Verzenden' of 'Opslaan' dan kunnen die spambots toch nooit zelf iets invullen?

[ryanw]

Bots vullen gewoon alle velden in die je formulier heeft, de naam veranderen helpt niet. Een captcha is eigenlijk de enigste oplossing.

[Ericjuh]

Heb je het gastenboek zelf geprogrammeerd of is het een bestaand script?

ja.. zelf geprogrammeerd! een hele simpele gastenboek in php, waarbij ik 2 pagina's heb. 1 index.php waarbij je gewoon alle reacties ziet en een post.php, waarbij een aantal velden in database worden gepost.

ik heb, sinds een jaar, een goede beveiliging met een sessie. Hierbij moet je altijd op index.php zijn geweest om bij post.php te kunnen posten. Dit ging altijd goed, tot laatst. kennelijk komen de spambots nu eerste op index.php en daarna naar post.php.

het nadeel is dat ik wel een banfunctie heb in dat gastenboek, maar het ip is telkens anders.

Ik heb gehoord dat er ook mensen zijn die een hiddenfield hebben met de naam name. spambots vullen hier altijd een naam in, maar omdat het hidden is zal een gewone persoon dit niet zien. Maar hoe ik dat voor elkaar krijg..


http://www.captcha.net/

Ik zat even snel te kijken naar dat captcha.net! op zich wel een goede oplossing, maar zoals ik zei is het niet echt gebruiksvriendelijk. Probleem is dat de website gebruikt wordt voornamelijk door oude mensen. en om nu bijwijze van spreke zo'n verificatie te gebruiken:

http://www.ericjuh.nl/image.jpg

natuurlijk is bovenstaande wel een slecht voorbeeld, maar je kunt begrijpen dat ik liever een andere oplossing zoek dan het gebruik van een verificatie. Het probleem is alleen dat het tegenwoordig zowat onmogelijk is om een normale gastenboek te runnen zonder die beveiligingen d'r in.. jammer

[Blacky]

Het voordeel van captcha is wel dat je ook de letters kunt laten voorlezen d.m.v. het geluid, dus dat is gunstig voor ouderen.
Nadeel is dat het in het Engels is, en dat zou een probleempje kunnen zijn.

De meeste image verificaties kunnen door spambots al gelezen worden aldus blijkt uit mijn ervaring met forums waar ik die dingen ook op heb draaien.
Alleen met de nodige opties enabled (fonts, striping enzo) lukt het ze niet, maar dan is het voor een mens ook vaak al moeilijk om te lezen. Meestal adviseer ik zelf dan een aantal keren op verversen te klikken totdat het wel enigszins leesbaar is.

Tegenwoordig gebruiken we ook wel een rekensommetje of iets anders, dus een bepaalde vraag, die je zelf kunt ingeven, daar moet gebruiker dan een antwoord op geven. Bijv. "wat is de vierde letter in het woord feestje" en dan als voorwaarde opgeven dat alleen de s goed is en de rest afgebroken wordt.
Doch het is maar de vraag hoe lang dit goed gaat voordat spambots bij dit soort beveiliging gewoon steeds blijven inloggen en een lettertje meer gaan proberen, of je moet er een soort random iets van maken met meerdere woorden.

Ik ben zelf echter niet goed in php dus hoe je dat zou moeten maken kan ik je helaas niet bij helpen.

[EHS-Jerre]

Bij sommige whois checks worden een reeks fotos gegeven, en je moet aanduiden wat bijvoorbeeld een kat is of ...
Misschien is dat iets?

[TiMMiEJ]

Een hidden field werkt inderdaad vrij goed. Vrij simpel om te implementeren.

Je field: <input type=hidden name=hidden_field />

Vervolgens bij het controleren van het formulier het volgende:

<?php
if (isset($_POST["hidden_field"]))
// veld is ingevuld

?>

Je submit button een andere naam geven heeft geen zin. Het formulier versturen kan ook zonder die knop .

[Phu]

Een hidden field werkt inderdaad vrij goed. Vrij simpel om te implementeren.

Je field: <input type=hidden name=hidden_field />

Vervolgens bij het controleren van het formulier het volgende:

<?php
if (isset($_POST["hidden_field"]))
// veld is ingevuld

?>

Je submit button een andere naam geven heeft geen zin. Het formulier versturen kan ook zonder die knop .

je hebt ook mensen die er geen drol van begrijpen zonder "submit" button

[YolkNet]

Dan heb ik tot nu toe dus steeds geluk gehad
Ik dacht altijd dat je aardig veilig zat als je invoervelden en buttons geen standaard- of makkelijk te raden namen gaf.

je hebt ook mensen die er geen drol van begrijpen zonder "submit" button

Wat bedoel je?

[Ericjuh]

Een hidden field werkt inderdaad vrij goed. Vrij simpel om te implementeren.

Je field: <input type=hidden name=hidden_field />

Vervolgens bij het controleren van het formulier het volgende:

<?php
if (isset($_POST["hidden_field"]))
// veld is ingevuld

?>

Je submit button een andere naam geven heeft geen zin. Het formulier versturen kan ook zonder die knop .

volgens mij bedoel je:

<?php
if (!isset($_POST["hidden_field"]))
// veld is niet ingevuld

?>

anyway.. probleem is namelijk dat ik de site gemaakt heb voor een kerk. De spam die er nu opkomt is voornamelijk viagra, porno.. en het is daarom niet echt gepast, als je begrijpt wat ik bedoel.

Ik zal je code ff proberen..

Je submit button een andere naam geven heeft geen zin. Het formulier versturen kan ook zonder die knop

zou het dan ook mogelijk zijn om bots, die de knop niet hebben ingedrukt, naar een andere pagina te verwijzen?

[Ahmed]

allebei fout. isset kijkt of de hidden field bestaat. Als dit in een form zit, bestaat 'ie altijd.

Je moet empty gebruiken

if (empty($_POST['hidden_field'])) {

// veld is niet ingevuld, ga door met het in de database zetten van de rest
}
else {
// bannen o.i.d.

}

strlen gebruiken is hier volgens mij nog beter

if (strlen($_POST['hidden_field']) > 0) { //als de lengte van de waard in hidden field groter is dan nul (dus niet leeg)

// veld is ingevuld bannen die hap

}
else {

// ga door met de rest

}

Ik gebruik trouwens een gastenboek die telkens random namen maakt voor de input en text fields en die opslaat in sessies. Bij het daadwerkelijk plaatsen kijk ik of de POST namen overeenkomen met wat in de sessies staat. Werkt tot nu toe erg goed..

[crazycoder]

http://www.captcha.net/

Ik zat even snel te kijken naar dat captcha.net! op zich wel een goede oplossing, maar zoals ik zei is het niet echt gebruiksvriendelijk. Probleem is dat de website gebruikt wordt voornamelijk door oude mensen. en om nu bijwijze van spreke zo'n verificatie te gebruiken:

Ja leuk, maar een goed werkende captcha is ook voor mensen die niet oud of (nagenoeg) blind zijn soms lastig.

Is de captcha te eenvoudig dan kan een spammer die ook lezen.

Alhoewel misschien wat omslachtiger kan je een lijst van foute woorden maken waarna de inhoud van de posting niet in het gastenboek wordt getoond.

Een 100% waterdicht systeem bestaat niet of is dusdanig onwerkbaar dat je net zo goed het gastenboek kan verwijderen. Of je moet alles wat in het gastenboek wordt gezet pas tonen nadat je het goed heb gekeurd. Dat stopt de spam niet maar voorkomt dat je (vaste) bezoekers troep te zien krijgen.