automatisierter Forenspam

[guppy]

in letzter Zeit habe ich in unserem Forum (phpbb) täglich bis zu 30 Anmeldungen, die automatisiert nur mit dem Zweck erfolgen, im Profil den Link zu hinterlegen.
Die visuelle Codeeingabe wird dabei auch schon automatisiert ausgelesen - (ich frage mich wie).

Den Einbau weiterer Mods, die Kontrollfragen stellen u.s.w. halte ich nicht für sinnvoll, da Updates schon jetzt langsam zum Albtraum werden.

Hat da schon jemand eine praktikable Lösung gefunden ?
Hier im Forum scheint das ja nicht der Fall zu sein.

[Forenmensch]

Kommt mir bekannt vor, zwar nicht 30 am tag aber 4-8 vorwiegend aus russland usa
sie bestehen die visuelel bestätigung (wie machen diese bots das?), sie bestätigen den mailaktivierungscodeund posten etwas, einer hat sogar nachdem ich sein post gelöscht hab es neu gepostet *LOL*...

[guppy]

sie bestätigen den mailaktivierungscodeund posten etwas,

nein den Account aktivieren sie bei mir nicht, nur anmeldung mit einer Fantasymail - sogar icq Hobby u.s.w. werden ausgefüllt - aber bestätigt wird nicht einer dieser Accounts.

[I-Jack]

Wir haben das selbe Problem. Dieser Aktivierungscode war nur reine Zeitverschwendung. Anfagns konnte man noch gewissen Namen ausschließen, aber das bringt mitlerweile auch nichts mehr. Es ist echt zur Plage geworden und es wird immer mehr. Da hilft nur noch manuelles löschen!!!

[Ice Man]

Jupp, das hat mich auch schon gewundert, wie die den Code umgehen.
Der Spam ist fast immer identisch, ru Mail adressen, und fast immer irgendwelche Drugs Seiten im Profil.

Fast immer werden die Accounts aber nicht aktiviert.

[Doki]

Also der Visuelle Code von phpBB lässt sich sehr einfach umgehen.
Es gibt Programme im Internet die den Code lesen mit einer Treffergenauigkeit von 99% das ist mehr als bei Menschen

Bei mir hat ein kleiner Trick sehr effektiv geholfen.

Einfach bei der Anmeldung das Feld für die Webseite entfernen und sollte jemand trotzdem die Daten übermitteln ihn

1. nicht registrieren und
2. mit einem sleep() erstmal lahmlegen so das er ein timeout bekommt.

Der kommt dann nicht mehr wieder und stört in der Zeit auch keine anderen Foren.

Reguläre Mitglieder können dann über das Profil bearbeiten weiterhin Ihre Webseite eintragen.

Es gibt noch einige andere Dinge die man tun kann, aber im wesentlichen
geht es darum sich vom Standard zu unterscheiden damit der Aufwand für den Spammer zu hoch wird, extra für dein Forum das Programm anzupassen.

[twiggie]

Edit: Aus speziellem Grund entfernt!
Bei Bedarf bitte PN
Twigg

[ole1210]

Ich kann sonst www.bot-trap.de empfehlen. Mein Spam hat sich um ca. 95%rediziert. Und ich denke die letzten 5% werden auch noch eliminiert werden...

[Forenmensch]

111

[Forenmensch]

Also der Visuelle Code von phpBB lässt sich sehr einfach umgehen.
Es gibt Programme im Internet die den Code lesen mit einer Treffergenauigkeit von 99% das ist mehr als bei Menschen

Bei mir hat ein kleiner Trick sehr effektiv geholfen.

Einfach bei der Anmeldung das Feld für die Webseite entfernen und sollte jemand trotzdem die Daten übermitteln ihn

1. nicht registrieren und
2. mit einem sleep() erstmal lahmlegen so das er ein timeout bekommt.

Der kommt dann nicht mehr wieder und stört in der Zeit auch keine anderen Foren.

Reguläre Mitglieder können dann über das Profil bearbeiten weiterhin Ihre Webseite eintragen.

Es gibt noch einige andere Dinge die man tun kann, aber im wesentlichen
geht es darum sich vom Standard zu unterscheiden damit der Aufwand für den Spammer zu hoch wird, extra für dein Forum das Programm anzupassen.

Klingt gut, wie lässt sich so etwas einbauen?

[bugscout]

moin moin,

bei mir funktionieren bei formularen z.z. zwei kleine änderungen.

es gibt ein unsichtbares formularfeld, wer das ausfüllt, wird in einer schleife beschäftigt.

es gibt eine zeitsperre, wer schneller als 45 sekunden alle felder ausfüllt, wird in einer schleife beschäftigt.

seit 8 wochen gibt es keine spam darüber.

grüsse

[Nullpointer]

das hidden field ist sicher gut, 45 sekunden brauche ich aber in der regel nicht für eine registrierung.

[ole1210]

Stimmt!

Zusätzich gibt es nette Extensions für den FF die einem das Ausfüllen von Formularen erleichtern. Damit ist man klar unter 45 Sekunden!

[SAi^T^aN]

Falls es wen interessiert: https://sam.zoy.org/pwntcha/
Wenn man sich daran orientiert, kann man sicher ein gutes eigenes Captcha basteln.

[Doki]

....

1. nicht registrieren und
2. mit einem sleep() erstmal lahmlegen so das er ein timeout bekommt.

....

Klingt gut, wie lässt sich so etwas einbauen?

Erstmal in der Datei usercp_register.php suchen nach

Code: Alles auswählen

		if ( empty($username) || empty($new_password) || empty($password_confirm) || empty($email) )
		{
			$error = TRUE;
			$error_msg .= &#40; &#40; isset&#40;$error_msg&#41; &#41; ? '<br>' &#58; '' &#41; . $lang&#91;'Fields_empty'&#93;;
		&#125;

und ersetzen durch

Code: Alles auswählen

		if ( empty($username) || empty($new_password) || empty($password_confirm) || empty($email) )
		{
			$error = TRUE;
			$error_msg .= &#40; &#40; isset&#40;$error_msg&#41; &#41; ? '<br>' &#58; '' &#41; . $lang&#91;'Fields_empty'&#93;;
		&#125;
		if &#40; !empty&#40;$website&#41; &#41;
		&#123;
			$error = TRUE;
			$website = '';
			$error_msg .= &#40; &#40; isset&#40;$error_msg&#41; &#41; ? '<br>' &#58; '' &#41; . $lang&#91;'Website_notempty'&#93;;
		&#125;

Und noch in main_lang.php einen Text für
$lang['Website_notempty']; definieren.

Damit kann man bei der Anmeldung keine webseite mehr angeben.

Eventuell sollte man das Feld noch rausnehmen aus dem Template und nur anzeigen wenn jemand sein Profil bearbeitet. Aber es klappt bei mir auch ohne.