Opcja AntiSPAM

[Tomirad]

Bez względu na to czy forum będzie zamrażane czy też nie, potrzebna jest jakaś mała korekta antyspamowa. I jest to wg mnie czynność dosyć pilna, nawet jeżeli będzie krótkotrwała.

Sądzę że jest jakaś prosta metoda tekstowa, np. Ile jest 2 do potęgi 10? {1024} albo Jaka dyscyplina jest królową nauk? {matematyka}

Etc..

[kptLucek]

Wspomniane przez Ciebie są dość trywialne, ze swojej strony sugerowałbym Captcha od Google'a - czasowo (implementacja i "rozwiązanie") wychodzi pewnie podobnie, a zabezpieczenie jest... "pewniejsze".

[andrewprofile]

Proste metody tekstowe, bez problemu omijają boty, bo te systemy już są od dawna znane, reCAPTCHA będzie najlepszym rozwiązaniem na ten moment

[kwiateusz]

reCaptcha już jest, tak samo jak pytanie, tyle że pytanie jest statyczne

[Tomirad]

Doskonale wiem że są trywialne, ale są na tyle że szybko można zmienić zapytanie, a forum.php.pl w tej chwili jest zaspamowane ze względu na to że użyte są techniki popularne, i nie aktualizowane.

[kptLucek]

Jasne, tylko wiesz @Tomirad IPB to dość popularny system, pluginy również, bo są publiczne, a że są publiczne i przeważnie (te captcha chociażby) operują na dość prostych mechanizmach, gdzie majac dostęp do źródła masz dostęp do informacji jak owe zabezpieczenie obejść.

Nie słyszałem aby Googlowe ktoś złamał, a już na pewno nie spam-boty firmy krzak które od dłuższego czasu nawiedzają forum.

Kolejną kwestią jest to, że serwis tego typu wymaga dość sprawnej moderacji, to co się dzieje na forum.php.pl niestety takie nie jest (z całym szacunkiem, kiedyś było lepiej).

[kwiateusz]

Plugin do reCaptcha pisałem sam na bazie oryginału który korzystał z v1 ;) obstawiam że jest jakaś dziura w forum która pozwala na rejestrację z pominięciem odpowiedzi

[Tomirad]

Czy dałoby się zainstalować plugin reCaptcha które oferuje community IPB oraz czy da się łatwo usunąć wandalizmy?
Np. usuwając bota razem z jego postami i wątkami?

[kwiateusz]

Jak znajdziesz taki plugin do tego antyku to mogę zmienić.

Mogę tak usuwać w panelu admina, ale jest to strasznie czasochłonne

[kptLucek]

Zastanówcie się (chociaż tymczasowo) nad tym

[Tomirad]

@kwiateusz
To może dałbyś prawa do administracji jeszcze komuś, kto pomógłby usuwać tak te spamy?
Lub zrobić to z poziomu mySQL jednym zapytaniem, bo z tego co wiem (miałem kiedyś taki problem na SimpleMachineForum), że wszystkie boty były z tej samej stajni, więc łatwo wyłapać większość z nich.

[nospor]

@kptLucek odnosnie moderacji: kiedys administracja / zarzad reagowali na prośby/problemy zglaszane przez moderatorow. Teraz prośby / problemy wisza latami. Obecne olanie spambotow to jest strajk moderacji z racji ze jestesmy ignorowani. Inne aspekty moderacyjne wydaje mi sie ze robimy jak robic należy. A o strajku nie raz na forum pisalem.

[nospor]

@kptLucek a jesli uwazasz ze procz spambotow zawalamy w czymś jeszcze to napisz. Postaramy sie naprawic

[nospor]

Zas co do spamu to wystarczy zmienic/dodac niewidzialne pola i po sprawie

[kptLucek]

@nospor Moje "ale" dotyczyło głównie spambotów, sam mam ustawionych kilka "przypominajek" o nowym poście i od dłuższego czasu są to głównie spamy. Wiesz, na forum jestem zwykłym, szarym użytkownikiem który od czasu do czasu coś napisze / komuś odpisze, nie wiem jak to "u Was" wygląda (u Was - mod/admin/zarząd/...), ale fakt jest taki, że spamboty (u mnie osobiście) wywołały dość znaczną niechęć do tego forum, mimo iż czytanie i pisanie sprawiało mi przez długi czas znaczną frajdę.

[Tomirad]

Właśnie, stąd wyszedł ten pomysł, aby rozpocząć jakieś działania w tej sprawie. Aby nie zabijać frajdy z korzystania z forum, ani nie zniechęcać potencjalnych nowych forumowiczów czy też pracodawców.

Obecnie jesteśmy wstanie jedynie pisać rady, tylko grupa głównych developerów ma dostęp do kodu forum IPB.

[nospor]

Spamboty zwiekszyly czestotliwosc ataku. Jest szansa ze ktos wprowadzi w zycie to o czym pisalem w tym temacie? Ta prosta modyfikacja powinna ich zatrzymac na pare miesiecy a roboty powinno byc na ok 5 minut dla osoby, ktora wczesniej to juz wprowadzala - z tego co kojarze to bylo to juz wprowadzane wiec wystarczy teraz zmienic tylko nazwy pol

[kwiateusz]

@nospor rozwiniesz myśl, o jakich polach mówisz? I to nie będzie 5 min bo ostatnie poprawki jakie tam robiłem były wieki temu, ale mogę dziś nad tym posiedzieć.

[nospor]

O jakich polach? No o tych, ktore zostaly do rejestracji jako pola fake. Nie bardzo rozumiem pytanie chyba teraz :( A 5 min to chodzilo mi o to, ze wystarczy zmienic troche ich nazwe ewentualnie dodac dwa nowe? Tak, nie znam IPB totalnie, moze to nie takie proste w IPB. Moja wina.

[kwiateusz]

Z tego co widzę to przy rejestracji ilość widocznych inputów zgadza się z ilością wszystkich inputów na stronie, więc nie ma tam pól nadmiarowych.
Ok, mogę kilka dodać i sprawdzać czy przypadkiem ich nic nie uzupełnia, do tego możne coś na kształt csrf dodać, bo może boty uderzają bezpośrednio postem do skryptu rejestracji pomijając parsowanie html'a.

[nospor]

Hm, bylem swiecie przekonany ze wprowadzales juz do rejestracji pola ukryte pare lat temu i to wtedy ladnie powstrzymalo spamboty.

[nospor]

Nawet w tym temacie sprzed 6 lat o tym wspominalem
http://forum.php.pl/spamboty_t218786.html

[kwiateusz]

Dodane nowe pole hidden, zmienione pytanie pomocnicze i dodany token csrf więc na pewno teraz bezposrednie strzały do endpointa nie zadziałają.

[nospor]

Super. Dzieki @kwiateusz

[nospor]

Milo otworzyc forum bez kilkudziesieciu nowych spamerskich postow. Dzieki @kwiateusz za zmiany.

[kwiateusz]

Przepraszam że tak późno, ale miałem trochę spraw na głowie.

[andrewprofile]

czy miedzy tymi polami dodane zostało jakieś, które jest obecnie wymagane dodatkowo? bo widzę spam wrócił i prawdopodobnie jakiś skrypt po prostu ignoruje te zmiany co wprowadziliśmy, bo to są fałszywe pola i pewnie bez tego da się zarejestrować nadal, a że robi to ten sam skrypt co wcześniej to ich nie wypełnia :)

[kwiateusz]

Wszystkie dodane pola są sprawdzane przy rejestracji czy są poprawnie wypełnione lub czy nie są bo nie powinny być.

[andrewprofile]

ok, no tak to wiem tylko chodzi mi czy mamy teraz jakieś nowe pole(lub inna nazwę pola) bo widzę, że boty dalej grasują po forum, wczoraj zaspamowaly wszystkie działy chyba, wiec coś nasz mechanizm nie zadziałał albo ma lukę :D

Nie wiem jak to rozwiązałeś, ale czy istnieje taka możliwość, że po prostu tych nowych pól bot nie wysyła(bo działa dalej starym skryptem) i da się zarejestrować bez nich, bo wydaje mi się że właśnie tak się stało, ale mogę się oczywiście mylić, wtedy musi być jakaś inna furtka, mimo wszytko dziękujemy za pomoc :D

[Tomirad]

Chyba że luka jest gdzieś indziej.

[Tomirad]

Jakaś walka z wiatrakami jest na tym forum ze spammerami.
Zastanawiam się czy wyłączenie tymczasowo rejestracji nie jest dobrym pomysłem.