phpBB2 - Wie Spammer wirksam bekämpfen?

TiKu

TiKu

Administrator
Teammitglied
Mitglied seit
16.11.2001
Beiträge
21.665
Renomée
1.247
Standort
München
  • SIMAP Race
  • QMC Race
  • Spinhenge ESL
  • Docking@Home
  • BOINC Pentathlon 2021
Hi,

folgendes Problem:
Ich betreibe ein phpBB2-Forum. Anfangs konnte man noch als Gast posten, aber nachdem das immer öfter von Spammern ausgenutzt wurde, habe ich das geändert. Das ging eine Weile ganz gut, seit letzter Woche aber erstellen die Spammer einfach Accounts und geben als Website ihre superduper Cialis-Viagra-Schlagmichtot-Seiten an.:P Diverse Mail-Provider habe ich schon komplett gesperrt, dummerweise wird jetzt verstärkt yahoo.com genutzt, was ich nicht komplett sperren möchte, da auch reguläre Member diesen Provider nutzen. IP-Bereiche zu sperren widerstrebt mir auch etwas.

Hat jemand eine Idee wie man die Spammer effektiv abwehren kann? Mir ist bisher nur dieser eine phpBB2-Hack eingefallen, bei dem man bei der Registrierung einen Code von einem Bild ablesen und ihn eingeben muss. Das würde zumindest dann funktionieren, wenn die Accounts von Bots erstellt werden. Leider finde ich diesen Hack grad nicht. *such*

TiKu
 
Aktuell läuft bei mir phpBB 2.0.16 (jaja, ich weiß, die 2.0.17 gibt's längst). Ich hatte den Hack irgendwann mal entfernt, weil die Codes zum Teil ziemlich schwer zu entziffern sind, was in vielen Fehlversuchen resultierte. Manche Zeichen sind einem anderen Zeichen näher als dem, das sie darstellen sollen.

Ich werde den Hack wohl trotzdem mal wieder einbauen und mal schauen ob er hilft. Andere Lösungen sind natürlich jederzeit willkommen.

/edit: Hab beide Mods eingebaut. Mal schauen, ob's hilft...
 
Zuletzt bearbeitet:
Du kannst die Anmeldung umändern, so dass der Account erst per Mail aktiviert werden muss, dass du ihn freischalten musst, oder dass Zahlen auf einem Bild richtig erkannt werden müssen (gut, um automatische Anmeldungen zu verhindern).

Ich würd da einfach je nach Größe des Forums und Geduld der zu erwartenden Member eine Methode nehmen. Für die Spammer würde es zB. wenig Sinn machen, wenn ihr Account erst nach 24h freigeschaltet würde. Außerdem wäre es vermutlich auch für die Spammer net so toll, wenn sie ihre Mailadresse zwecks Aktivierung angeben müssen (du könntest dir dann den Spaß machen und irgendwelche Newsletter auf deren Namen zu abonnieren, oder da du ja an einen Breitbandanschluss mit ordentlichem Upload hast... ;D).

E: Bei dem einen Mod steht übrigens das dabei:

This is now default in 2.0.11. You do not need this MOD if you are running anything higher than or you are running 2.0.11. Upgrade ASAP if you are running anything lower than the current version.
Zum Vergrößern anklicken....

trotzdem installiert?
 
i_hasser schrieb:
aus diesem Posting

Du kannst die Anmeldung umändern, so dass der Account erst per Mail aktiviert werden muss
Zum Vergrößern anklicken....
Ist bei mir eh so eingestellt.
dass du ihn freischalten musst
Zum Vergrößern anklicken....
Bringt nix, da die Spam-Accounts eh nie aktiviert werden (die Mail-Addis existieren meistens gar nicht), aber mit in der Memberliste stehen (inklusive der Links auf Viagra und Co.). Die pure Anmeldung ist also schon Spam.
oder dass Zahlen auf einem Bild richtig erkannt werden müssen (gut, um automatische Anmeldungen zu verhindern).
Zum Vergrößern anklicken....
So habe ich es inzwischen gemacht und es hilft. :D
Außerdem wäre es vermutlich auch für die Spammer net so toll, wenn sie ihre Mailadresse zwecks Aktivierung angeben müssen (du könntest dir dann den Spaß machen und irgendwelche Newsletter auf deren Namen zu abonnieren, oder da du ja an einen Breitbandanschluss mit ordentlichem Upload hast... ;D).
Zum Vergrößern anklicken....
Bringt nix, da die Spammer vermutlich irgendwelche Zombie-Rechner nutzen. Es würde also die falschen treffen.
E: Bei dem einen Mod steht übrigens das dabei:
trotzdem installiert?
Zum Vergrößern anklicken....
Ja. Grund:
Ich nutze phpBB2+. Da ist zwar auch ein solcher Mod dabei, aber vermutlich ein anderer (oder eine andere Version) als der den ich jetzt nutze. Denn als ich phpBB2+ vor ca. 1 Jahr aufgesetzt habe, habe ich den Mod nach wenigen Tagen rausgeschmissen, weil die Codes sehr schwer zu lesen waren. Bei dem Mod, den ich jetzt nutze (und der seit phpBB 2.0.11 fest eingebaut ist), kann man die Codes dagegen sehr gut lesen und die Hintergrundtextur sieht auch anders aus. Ja, also, da ich den Mod damals ja rausgehauen hatte, musste ich ihn jetzt wieder einbauen.
 
Tolle Wurst!
Seit ca. Anfang Februar habe ich wieder vermehrt mit Spam-Accounts zu kämpfen. Offenbar haben die Spammer einen Weg gefunden, ihre Bots den Visual Code überwinden zu lassen.:P Siehe auch hier.
Ich werde als Gegenmaßnahme mal das probieren, aber falls jmd. eine bessere Lösung hat, dann immer her damit.
 
ich hätte dazu gleich mal eine frage, da die bots mein kleines forum leider auch gefunden haben.
jedenfalls registrieren sich diese bots ja einfach unter umgehung der bildabfrage und hauen dann einen link ins profil. sie posten nichts, und worauf meine frage abziehlt, wie kann mir der bot schaden ( ausser das er jetzt als registrierter user in meiner db steht ) ? vor einiger zeit wars ja der fall, dass der link der angegeben war ja mit werbung für alles mögliche verbunden war. bei den jetzigen also jtfoe etc finde ich aber nichts auf deren seiten, auch wenn ich mir den quelltext ansehe finde ich nichts was auf werbung, dialer etc deuten würde.

welchen zweck hat also so eine anmeldung für den botschreiber/initiator?
 
Das ist mir auch ein wenig ein Rätsel. Ich habe da 2 Theorien:
Da die Accounts nicht sofort als Spam erkennbar sind, werden sie nicht so schnell gekickt. Das ermöglicht aussagekräftige Analysen zum Verbreitungsgrad der Spamaccounts und somit brauchbare Aussagen über die Effizienz der Methoden zum Umgehen der Anti-Spam-Maßnahmen.*noahnung*
Oder sie warten bis die URLs zu den derzeit noch harmlosen Seiten wie tempus-fugit weit verbreitet ist und hinterlegen auf den Seiten dann klassischen Spam.*noahnung*
Eine dritte Möglichkeit wäre, dass die Spammer die Foren mit den unauffälligen Botaccounts für irgendein größeres Vorhaben quasi markieren.
 
Anscheinend hat das Erstellen von Accounts durch Bots, ohne dabei Spam zu verbreiten, durchaus einen tieferen Sinn:
Ok, what is a danger?
Next time the phpBB announces a critical vulnerability, the bot would
have everything ready (just a post click away) from attacking
thousands of sites/forums.
Zum Vergrößern anklicken....
(Quelle)

Zu deutsch: Wenn mal wieder eine Sicherheitslücke in phpBB bekannt wird, werden die Bots aktiv und versuchen die Foren, in denen sie angemeldet sind, zu hacken.
 
was veranlasst eigentlich den Google Bot permanent 20 Sessions offen zu haben? Alleine was das Traffic verursacht !!
 
Du könntest es mal mit einer Dealist versuchen.

(Also, dass manche Worte in den Namen nicht erlaubt sind)

Dann haben die meisten Spammer schon keinen Spaß mehr dran!!!
 
Zuletzt bearbeitet:
Einfach aber genial... :) stimmt..

Captchas sind ja wirklich leider nicht Barrierefrei und daher wäre so ein Logiksystem wirklich eine sehr gute Idee...

Gibt's da auch schon was fertiges?
 
ich hab einfach die variable zur akzeptierung der dingsbums erklärung (über 13 jahre und akzeptieren bzw. unter 13 jahren und akzeptieren) umbenannt, seitdem kein einziger bot mehr da.
 
Zurück
Oben Unten