Quand les robots attaquent! [fermé]

https://stackoverflow.com/questions/111576

02-07-2019
|

Question

Quelles sont certaines des méthodes de prévention du spam populaires en dehors de CAPTCHA?

La solution

J'ai essayé de faire des "pots de miel" dans lesquels vous mettez un champ que vous cachez ensuite avec du CSS (en le marquant comme "laissez vide" pour tous ceux dont les feuilles de style sont désactivées), mais j'ai constaté que beaucoup de robots pouvaient le dépasser. très rapidement. Il existe également des techniques telles que la définition des champs à une certaine valeur et leur modification avec JS, le calcul du temps entre le temps de chargement et le temps de soumission, la vérification de l'URL du référent et un million d'autres choses. Ils ont tous leurs pièges et tout ce que vous pouvez espérer est de filtrer autant que possible avec eux sans vous aliéner pour qui vous êtes ici: les utilisateurs.

À la fin de la journée, cependant, si vous ne voulez vraiment pas vraiment que les robots envoient des éléments via votre formulaire, vous allez mettre un CAPTCHA dessus - le meilleur que j'ai vu Tout est principalement reCAPTCHA - mais grâce au marché de la résolution CAPTCHA en Inde et à l'ingéniosité des spammeurs partout dans le monde qui n'a pas encore abouti le temps. Je me méfierais d'utiliser quelque chose qui est "ingénieux" mais un peu "là-bas", car ce serait plutôt un "wtf" pour les utilisateurs qui sont au moins un peu habitués à vos CAPTCHA habituels.

Autres conseils

Choquant, mais presque toutes les réponses ici incluaient une forme de CAPTCHA. Le PO voulait quelque chose de différent, peut-être qu'il voulait quelque chose qui fonctionne réellement, et peut-être même qu'il résolve le vrai problème.
CAPTCHA ne fonctionne pas, et même s’il le faisait - c’est le problème qui ne se pose pas - les humains peuvent toujours inonder votre système, et par définition, le CAPTCHA n’arrêtera pas cela (son but est de dire si vous êtes un humain ou pas - pas que ça le fasse bien ...)

Alors, quelles autres solutions y a-t-il ? Cela dépend ... de votre système et de vos besoins. Par exemple, si vous essayez uniquement de limiter le nombre de fois qu'un utilisateur peut remplir le champ "Me contacter". forme, vous pouvez simplement limiter le nombre de demandes que chaque utilisateur peut soumettre par heure / jour / peu importe. Si vos utilisateurs sont anonymes, vous devez peut-être limiter les adresses IP et éventuellement mettre une adresse IP en liste noire (même si cela peut également être contourné et causer d'autres problèmes).
Si vous faites référence à un commentaire sur un forum ou un blog (comme celui-ci), eh bien, plus je l'utilise, plus j'aime la solution. Une combinaison d'utilisateurs authentifiés, d'autorisation (basée sur la réputation, non susceptible d'être accumulée en cas d'inondation), de limitation (combien de personnes peuvent en faire par jour), de CAPTCHA occasionnel et enfin de modération de la communauté pour nettoyer les quelques-uns qui passent - tout se combine pour fournir une solution décente. (Je me demande si Jeff peut nous donner des informations sur la quantité de spam et autres messages malveillants qui passent réellement ...?)

Un autre contrôle à prendre en compte (ne pas savoir s’ils l’ont ici) est une forme d’ID / IPS - si vous pouvez détecter et reconnaître le spam, vous pouvez bloquer CE modèle. La modération remplit ce qui a besoin manuellement, ici ...

Notez que l’un d’entre eux n’empêche pas le spam, mais diminue progressivement la probabilité , et donc la rentabilité. Cela change l’équation économique et laisse à CAPTCHA le soin de fournir suffisamment de valeur pour en valoir la peine - car cela ne vaut plus la peine pour les spammeurs de se donner la peine de la rompre ou de la contourner (grâce aux autres contrôles).

Donnez à l'utilisateur la possibilité de calculer:

Quelle est la somme de 3 et 8?

Au fait: Je viens de surfer sur une approche intéressante de Microsoft Research: Asirra.

http://research.microsoft.com/asirra/

Il vous montre plusieurs images et vous devez les identifier avec un motif donné.

Essayez Akismet

Les captchas ou toute autre forme de questions réservées aux humains sont horribles du point de vue de la convivialité. Parfois, ils sont nécessaires, mais je préfère supprimer le spam en utilisant des filtres comme Akismet.

Akismet a été créé à l'origine pour contrecarrer les commentaires de spam sur les blogs WordPress, mais l'API peut être adaptée à d'autres utilisations. .

Mise à jour : nous avons commencé à utiliser la bibliothèque ruby ?? Rakismet sur notre application Rails, Yarp.com . Jusqu'à présent, cela a bien fonctionné pour contrecarrer les robots de spam.

Une méthode très simple, qui ne charge pas l'utilisateur, consiste simplement à désactiver le bouton d'envoi pendant une seconde après le chargement de la page. Je l'ai utilisé sur un forum public qui contenait des messages de spam en continu, et il les a arrêtés depuis.

Ned Batchelder a écrit une technique qui combine des hachages avec des pots de miel pour une prévention des bot extrêmement efficace. Pas de captchas, juste du code.

C'est en Arrêter les spambots avec des hachages et des pots de miel :

Plutôt que d’arrêter les robots en faisant en sorte que les gens s’identifient eux-mêmes, nous pouvons les arrêter en leur rendant difficile la réussite de leur publication ou en les faisant s’identifier par inadvertance en tant que bots. Cela supprime le fardeau des personnes et laisse le formulaire de commentaire exempt de mesures anti-spam visibles.

Cette technique est la façon dont je préviens les spambots sur ce site. Ça marche. La méthode décrite ici ne regarde pas du tout le contenu. Il peut être complété par une prévention basée sur le contenu, telle que Akismet, mais je trouve que cela fonctionne très bien tout seul.

http://chongqed.org/ maintient des listes noires des sources de spam actives et des URL annoncées dans les spams. J'ai trouvé les messages de filtrage pour que ces derniers soient très efficaces dans les forums.

Les plus courantes que j’ai observées s’orientent autour des entrées des utilisateurs pour résoudre des énigmes simples, par exemple de ce qui suit est une image d'un chat. (affichant des images de vignettes de chiens entourant un chat). Ou de simples problèmes mathématiques.

Bien qu'intéressant, je suis certain que la course aux armements submergera également ces systèmes.

Vous pouvez utiliser Recaptcha pour au moins rendre utile un captcha. Ensuite, vous pouvez poser des questions avec des problèmes de mathématiques verbales simples ou similaires. La Asirra de Microsoft vous permet de trouver des images de chats et de chiens. Exiger une adresse électronique valide pour activer un compte empêche les spammeurs de bénéficier du service, mais risquent également de dissuader les utilisateurs normaux.

Ce qui suit est irréalisable avec la technologie actuelle, mais je ne pense pas que ce soit trop éloigné. C’est probablement aussi une surexploitation pour traiter le spam de forum, mais cela pourrait être utile pour l’inscription à un compte, ou pour toute situation dans laquelle vous voulez être vraiment sûr de traiter avec des humains et qu’ils seraient prêts à prendre quelques minutes pour terminer le processus. processus.

Deux utilisateurs essayant de prouver qu'ils sont humains se connectent via leur webcam et leur demandent si la personne qu'ils voient est humaine et vivante (c'est-à-dire qu'il ne s'agit pas d'un enregistrement), en les amenant, par exemple, en miroir. les mouvements des autres, ou écrire quelque chose sur un morceau de papier. Invitez tout le monde à le faire plusieurs fois avec différents utilisateurs et ajoutez-y quelques enregistrements qu'ils doivent également identifier correctement en tant que tels.

Une méthode populaire sur les forums consiste simplement à mettre en file d'attente les discussions des membres ayant moins de 10 publications dans une file d'attente de modération. Bien sûr, cela n'aide pas si vous n'avez pas de modérateurs, ou ce n'est pas un forum. Une méthode plus générale consiste à calculer le rapport hyperlien au rapport de texte. Les messages de spam contiennent souvent une tonne de liens hypertextes et vous pouvez en capturer beaucoup de cette façon. Dans le même ordre d'idées, on compare le contenu de publications consécutives. N'autorisez tout simplement pas les publications consécutives extrêmement similaires.

Bien entendu, toute personne connaissant les mesures que vous prenez pourra les contourner. Pour être honnête, vous ne pouvez rien faire si vous êtes la cible d'une attaque spécifique. Vous devriez plutôt vous concentrer sur la prévention d'attaques plus générales et non qualifiées.

Pour les modérateurs humains, il est certainement utile de pouvoir facilement trouver et supprimer toutes les publications de certaines adresses IP, ou toutes les publications de certains utilisateurs si le bot est suffisamment intelligent pour utiliser un compte enregistré. De même, la possibilité de bloquer facilement les adresses IP ou les comptes pendant un certain temps, sans autre administration, allégera le fardeau administratif imposé aux modérateurs.

L'utilisation de cookies pour faire croire aux robots et aux spammeurs que leur message est réellement visible (alors qu'ils sont les seuls à le voir) les empêche (ou les trolls) de changer de technique. Laissez les spammeurs et les trolls voir les autres messages de spam et de troll.

Des techniques d'évaluation en Javascript comme celle-ci Invisible Captcha , le système est obligatoire évaluer Javascript avant que la soumission de page ne soit acceptée. Il retombe bien lorsque l'utilisateur n'a pas activé Javascript en affichant simplement un test CAPTCHA conventionnel.

Des captchas animés - du texte défilant - restent faciles à reconnaître par les humains, mais si vous vous assurez qu'aucune des images ne propose quelque chose de complet à reconnaître.

question à choix multiples - Tout ce qu'il faut, c'est un ______ et un sourire. L’idée ici est que l’utilisateur devra choisir / comprendre.

variable de session - vérifie qu'une variable que vous avez insérée dans une session fait partie de la demande. va déjouer les bots muets qui génèrent simplement des requêtes mais probablement pas les bots modélisés comme un navigateur.

question mathématique - 2 + 5 = - Il s'agit à nouveau de poser une question facile à résoudre mais qui empêche les robots de générer une réponse.

grille d'images - vous créez une grille d'images - sélectionnez 1 ou 2 d'un type particulier, tel qu'une image 3x3 sur une grille d'animaux et vous devez sélectionner tous les oiseaux sur la grille.

J'espère que cela vous donne quelques idées pour votre nouvelle solution.

Un ami utilise la méthode anti-spam la plus simple, et cela fonctionne.

Il dispose d'une zone de texte personnalisée dans laquelle il est indiqué "saisissez le nombre 4". "

Son blog est plutôt populaire, mais pas encore assez pour que les robots le découvrent (encore).

N'oubliez pas de rendre votre solution accessible à ceux qui n'utilisent pas les navigateurs classiques. La foule des iPhone ne doit pas être ignorée, et ceux qui ont des problèmes de vision et cognitifs ne doivent pas non plus être exclus.

Les pots de miel sont une méthode efficace. Phil Haack utilise une bonne méthode du pot de miel , qui pourrait être utilisée en principe pour tout forum / blog / etc.

Vous pouvez également écrire un robot qui suit les liens de spam et analyse leur page pour déterminer s’il s’agit ou non d’un lien authentique. Les plus évidentes sont les pages avec une copie exacte de votre contenu, mais vous pouvez choisir d’autres indicateurs.

Modération et liste noire, en particulier avec des plugins comme ceux-ci pour WordPress (ou ce que vous utilisez, un logiciel similaire est disponible pour la plupart des plateformes), fonctionnera dans un environnement à faible volume. Si votre environnement est peu encombrant, ne sous-estimez pas l’avantage que cela vous donne. Décider personnellement du contenu raisonnable ou non, vous donne une flexibilité ultime en matière de contrôle du spam, si vous en avez le temps.

N'oubliez pas, comme d'autres l'ont souligné, que les CAPTCHA ne se limitent pas à la reconnaissance de texte à partir d'une image. L'association visuelle, les problèmes de mathématiques et d'autres questions non subjectives relayées par une image sont également admissibles.

Sblam est un projet intéressant.

Champs de formulaire invisibles. Créez un champ de formulaire qui n'apparaît pas à l'écran pour l'utilisateur. using display: none comme style css pour qu’il ne s’affiche pas. Pour des raisons d'accessibilité, vous pouvez même mettre du texte masqué de manière à ce que les utilisateurs de lecteurs d'écran sachent qu'il ne faut pas le remplir. Les robots remplissent presque toujours tous les champs. Vous pouvez ainsi bloquer tout message remplissant le champ invisible.

Bloquer l'accès sur la base d'une liste noire d'adresses IP de spammeurs.

Les techniques de pot de miel mettent une forme de leurre invisible en haut de la page. Les utilisateurs ne le voient pas et envoient le bon formulaire, les bots soumettent le mauvais formulaire qui ne fait rien ou qui interdit leur IP.

J'ai lu quelques idées intéressantes sur le thème de Asira qui vous demandent d'identifier quelles images sont des chats. Je crois que l'idée est née de KittenAuth il y a quelque temps.

Utilisez quelque chose comme le analyseur d'images Google avec des images correctement choisies, de sorte qu'un ordinateur ne le ferait pas être capable de reconnaître les caractéristiques dominantes qu’un humain pourrait posséder.

Une image apparaîtrait à l'utilisateur et devrait taper les mots qui lui étaient associés. Ils continueraient à voir les images jusqu'à ce qu'ils aient tapé suffisamment de mots en accord avec ce que les utilisateurs précédents avaient tapé pour la même image. Certaines images sont de nouvelles images sur lesquelles elles n'ont pas été testées, mais qui ont été incluses pour enregistrer les mots qui leur sont associés. En fonction de votre auditoire, vous pouvez également choisir des images que seul celui-ci reconnaîtrait.

Mollom est censé être efficace pour arrêter le spam. Des versions personnelles (gratuites) et professionnelles sont disponibles.

Je connais des gens qui ont mentionné ASIRRA, mais si vous allez dans tous les liens adoptez-moi pour les images, il sera indiqué sur cette page si c'est un chat ou un chien. Il devrait donc être relativement facile pour un bot d’aller sur tous les liens d’adoption. Donc, ce n'est qu'une question de temps pour ce projet.

vérifiez simplement l'adresse e-mail et laissez Google / Yahoo s'en soucier

Vous pourriez obtenir un logiciel d'identification de périphérique. the41 est doté d'un logiciel de prévention de la fraude qui peut détecter le matériel utilisé pour accéder à votre site. Je crois qu'ils l'utilisent pour attraper les fraudeurs mais qu'ils pourraient être utilisés pour arrêter les robots. Une fois que vous avez identifié un périphérique utilisé par un bot, vous pouvez simplement le bloquer. La dernière fois qu’elle a été cochée, elle peut même suivre votre itinéraire sur le réseau téléphonique (ce n’est pas votre Geo-IP !!) et peut même bloquer un code postal si vous le souhaitez.

C'est cher, donc bon. une solution moins chère, un peu moins grand frère.

Licencié sous: CC-BY-SA avec attribution

Non affilié à StackOverflow