Quando os bots atacam! [fechadas]

https://stackoverflow.com/questions/111576

02-07-2019
|

Pergunta

Quais são alguns métodos de prevenção de spam populares além CAPTCHA?

Solução

Eu tentei fazer 'honeypots' onde você coloca um campo e depois escondê-lo com CSS (marcando-a como 'vazio licença' para qualquer pessoa com folhas de estilo com deficiência), mas eu descobri que um monte de bots são capazes de passar por isso muito rapidamente. Há também técnicas como a definição de campos para um determinado valor e alterá-los com JS, calcular os tempos entre o tempo de carga e enviar tempo, verificando a URL referer, e um milhão de outras coisas. Todos eles têm suas armadilhas e praticamente tudo o que você pode esperar é para filtrar tanto quanto você pode com eles, enquanto não alienar que você está aqui:. os usuários

No final do dia, porém, se você realmente, realmente, não quer bots estar enviando as coisas através de seu formulário que você vai querer colocar um CAPTCHA sobre ele - melhor que eu já vi que cuida de praticamente tudo é reCAPTCHA - mas graças a CAPTCHA resolver mercado da Índia e da engenhosidade dos spammers em todos os lugares que nem sequer é bem-sucedido de todos A Hora. Eu cuidado usando algo que é 'engenhosa', mas espécie de 'lá fora', como seria mais de um 'wtf' para os usuários que são pelo menos um pouco usada para seus CAPTCHAs habituais.

Outras dicas

chocante, mas quase todas as respostas aqui incluída alguma forma de CAPTCHA. O OP queria algo diferente, eu acho que talvez ele queria algo que realmente funciona, e talvez até mesmo resolve o problema real.
CAPTCHA não trabalho, e mesmo que o fizesse - o seu o problema errado - os seres humanos ainda pode inundar o seu sistema, e por definição CAPTCHA não vai parar que (seu primo concebido apenas para dizer se você é um humana ou não - não que ele faz isso bem ...)

Então, o que outras soluções são lá? Bem, isso depende ... no seu sistema e suas necessidades. Por exemplo, se tudo que você está tentando fazer é limitar o número de vezes que um usuário pode preencher um formulário "Fale Comigo", você pode simplesmente acelerador quantas solicitações cada usuário pode enviar por hora / dia / whatever. Se os usuários são anônimos, talvez você precisa do acelerador de acordo com os endereços IP e, ocasionalmente, lista negra de um IP (embora isso também pode ser contornado, e causa outros problemas).
Se você está se referindo a um fórum ou blog comentários (como este), assim quanto mais eu uso, mais eu como a solução. Uma mistura entre usuários autenticados, autorização (com base na reputação, não é susceptível de ser acumulado através de inundação), estrangulamento (quantos você pode fazer um dia), o CAPTCHA ocasional, e, finalmente, a moderação da comunidade para a limpeza dos poucos que get through - tudo combinado para fornecer uma solução decente. (Eu me pergunto se Jeff pode fornecer algumas informações sobre a quantidade de spam e outras malposts realmente passar ...?)

Outro controle a considerar (não sei se eles têm-lo aqui), é uma forma de IDS / IPS - se você pode detectar e reconhecer spam, você pode bloquear esse padrão. Moderação preenche essa necessidade manualmente, aqui ...

Note que qualquer um destes não evitar o spam, mas de forma incremental diminui a probabilidade , e assim a rentabilidade. Isso muda a equação econômica, e as folhas CAPTCHA para realmente fornecer valor suficiente para valer a pena -., Desde a sua não vale a pena para os spammers se preocupar quebrá-lo ou ir ao seu redor (graças a outros controles)

Dar ao usuário a possibilidade de calcular:

O que é a soma de 3 e 8?

A propósito: Apenas surfada por uma abordagem interessante da Microsoft Research: Asirra.

http://research.microsoft.com/asirra/

Ela mostra-lhe várias fotos e você tem que identificar as imagens com um determinado motivo.

Akismet

Captchas ou qualquer forma de perguntas só humanos são horríveis de uma perspectiva de usabilidade. Às vezes são necessárias, mas eu prefiro matar o spam usando filtros como Akismet.

Akismet foi originalmente construído para impedir comentários de spam em blogs WordPress, mas a API é capabable de ser adaptado para outros usos .

Atualizar : Nós começamos a usar a biblioteca ruby ?? Rakismet em nossa aplicação Rails, Yarp.com . Até agora, tem sido muito bom trabalhar para frustrar os bots de spam.

Um método muito simples que coloca nenhuma carga sobre o usuário é apenas para desativar o botão enviar para um segundo depois que a página foi carregada. Usei-o em um fórum público que tinha mensagens de spam contínuas, e parou desde então.

Ned Batchelder escreveu-se uma técnica que combina hashes com honeypots para alguns bot de prevenção perversamente eficaz. Não captchas, apenas o código.

Cabe em Parando spambots com hashes e honeypots :

Em vez de parar bots por ter pessoas se identificam, podemos parar os bots, tornando difícil para eles para fazer um post bem-sucedido, ou por tê-los inadvertidamente identificar-se como bots. Isso remove a carga de pessoas, e deixa o formulário de comentário livre de medidas anti-spam visíveis.

Esta técnica é como eu evitar spambots neste site. Funciona. O método descrito aqui não olhar para o conteúdo de todo. Ele pode ser aumentada com a prevenção baseada em conteúdo, como Akismet, mas eu acho que funciona muito bem por si só.

http://chongqed.org/ mantém listas negras de fontes de spam activas e as URLs que estão sendo anunciados nos spams. Eu descobri filtrando mensagens para o último a ser muito eficaz em fóruns.

Os mais comuns a maioria dos que eu orient observado em torno de entrada do usuário para resolver simples quebra-cabeças por exemplo do seguinte é uma imagem de um gato. (Exibição de imagens de miniaturas de cães em torno de um gato). Ou problemas simples de matemática.

Enquanto interessantes que eu tenho certeza que a corrida armamentista também vai sobrecarregar esses sistemas também.

Você pode usar Recaptcha para pelo menos fazer um captcha útil. Então você pode fazer perguntas com problemas de matemática verbal simples ou similar. Microsoft do Asirra faz você encontra fotos de cães e gatos. Exigindo um endereço de email válido para ativar uma conta deixa de spammers quando eles não iria se beneficiar bastante do serviço, mas pode impedir usuários normais também.

O seguinte é inviável com a tecnologia de hoje, mas eu não acho que é muito longe. Também é provavelmente um exagero para lidar com spam fórum, mas poderia ser útil para inscrições de contas, ou qualquer situação onde você queria ser realmente certeza de que estavam lidando com seres humanos e que iria estar preparado para isso levar alguns minutos para completar o processo.

Os usuários têm 2 que estão tentando provar-se de conexão humana entre si através de suas webcams e perguntar-lhes se a pessoa que eles estão vendo é humano e ao vivo (ou seja, não uma gravação), fazendo com que eles, por exemplo, espelham outros movimentos de, ou algo escrita em um pedaço de papel. Obter todos a fazer isso algumas vezes com diferentes usuários, e jogar algumas gravações na mistura que eles também têm de identificar corretamente como tal.

Um método popular em fóruns é simplesmente a fila os fios de membros com menos de 10 mensagens em uma fila de moderação. Claro, isso não ajuda se você não tem moderadores, ou não é um fórum. Um método mais geral é o cálculo do hiperlink para índices de texto. Muitas vezes, as mensagens de spam contêm uma tonelada de hiperlinks, e você pode pegar um monte desta forma. Na mesma linha está comparando o conteúdo de mensagens consecutivas. Simplesmente não permitem mensagens consecutivas que são extremamente similar.

É claro, qualquer pessoa com conhecimento das medidas que você tomar vai ser capaz de obter em torno deles. Para ser honesto, há pouco que você pode fazer se você é o alvo de um ataque específico. Em vez disso, você deve se concentrar na prevenção, os ataques não qualificados mais gerais.

Para moderadores humanos certamente ajuda a ser capaz de encontrar facilmente e excluir todas as mensagens de alguns IP, ou todos os posts de algum usuário se o bot é suficiente inteligente para usar uma conta registrada. Da mesma forma a opção de bloquear facilmente os endereços IP ou contas por algum tempo, sem mais administração, irá diminuir a carga administrativa para os moderadores humanos.

O uso de cookies para fazer bots e spammers humanos acreditam que o seu post é realmente visível (enquanto apenas eles mesmos vê-lo) os impede (ou trolls) alterem técnicas. Deixe os spammers e trolls ver as outras mensagens de spam e trolls.

técnicas de avaliação de JavaScript como este sistema de Captcha Invisible exigem o navegador para avaliar Javascript antes da apresentação da página será aceito. Ele cai de volta bem quando o usuário não tem Javascript habilitado por apenas exibindo um teste CAPTCHA convencional.

captchas animados - texto de rolagem -. Ainda fácil de reconhecer por seres humanos, mas se você se certificar de que nenhum dos quadros oferecer algo completo para reconhecer

pergunta de escolha múltipla - Tudo o que precisamos é um ______ e um sorriso. idéia aqui é que o usuário terá que escolher / entender.

variável de sessão - a verificação de que uma variável que você colocar em uma sessão faz parte do pedido. vai frustrar os bots mudos que simplesmente gerar pedidos, mas provavelmente não os bots que são modelados como um navegador.

questão de matemática - 2 + 5 = -. Este é outra vez para fazer uma pergunta que é fácil de resolver, mas evita a possibilidade bots para gerar uma resposta

grade de imagem - você cria grade de imagens - selecione 1 ou 2 de um tipo particular, tais como a imagem da grade 3x3 de animais e você tem que escolher todas as aves no grid

Espero que isso dá-lhe algumas ideias para a sua nova solução.

Um amigo tem o mais simples método de anti-spam, e ele funciona.

Ele tem uma caixa de texto personalizado que diz "por favor digite o número 4".

Seu blog é bastante popular, mas ainda não o suficiente popular para bots para descobrir isso (ainda).

Por favor, lembre-se de fazer sua solução acessível para aqueles que não usam navegadores convencionais. A multidão iPhone não devem ser ignorados, e aqueles com problemas de visão e cognitivas não deve ser excluída qualquer um.

Honeypots são um método eficaz. Phil Haack dá um boa honeypot método , que poderia ser usado em princípio, para qualquer fórum / blog / etc.

Você também pode escrever um rastreador que segue links de spam e analisa a sua página para ver se é uma ligação real ou não. O mais óbvio seria páginas com uma cópia exata do seu conteúdo, mas você poderia escolher outros indicadores.

Moderação e listas negras, especialmente com plugins como estas para WordPress (ou o que você está usando, software similar está disponível para a maioria das plataformas), vai trabalhar em um ambiente de baixo volume. Se o ambiente é um volume baixo, não subestime a vantagem isso lhe dá. Pessoalmente decidir o que é o conteúdo razoável eo que não é você dá a máxima flexibilidade no controle de spam, se você tem o tempo.

Não se esqueça, como outros já apontaram, que CAPTCHAs não estão limitados a reconhecimento de texto de uma imagem. Visual associação, problemas de matemática, e outras questões não-subjetivos retransmitida através de uma imagem também se qualificam.

Sblam é um projeto interessante.

Invisble campos do formulário. Faça um campo de formulário que não aparece na tela para o usuário. usando display: none como um estilo css para que ele não aparece. Pelo amor de acessibilidade, você pode até mesmo colocar um texto oculto para que as pessoas que utilizam leitores de tela saberia não preenchê-lo. Bots quase sempre preencher todos os campos, então você poderia bloquear qualquer post que preencheu o campo invisível.

Bloquear o acesso com base em uma lista negra de spammers endereços IP.

técnicas Honeypot colocar um formulário de chamariz invisível no topo da página. Os usuários não vê-lo e enviar o formulário correto, bots enviar o formulário errado que não faz nada ou proibições seu IP.

Eu vi algumas idéias puras ao longo das linhas de Asira que pedir-lhe para identificar quais as imagens são gatos. Eu acredito que a idéia se originou a partir KittenAuth um tempo atrás ..

Use algo como o google imagem Labeler com imagens adequadamente escolhidos de tal forma que um computador não faria ser capaz de reconhecer as características dominantes de que um ser humano poderia.

O usuário seria mostrado uma imagem e teria que digitar palavras associadas com ele. Eles iriam continuar sendo imagens mostradas até que tenham digitado palavras suficientes que concordaram com o que os usuários anteriores tivesse digitado para a mesma imagem. Algumas imagens seriam os novos que eles não estavam sendo testados contra, mas foram incluídos para gravar o que as palavras são associadas com eles. Dependendo do seu público que você poderia possivelmente também escolher as imagens que só eles reconheceriam.

Mollom é supostamente bom em parar o Spam. Ambas as versões pessoais (grátis) e profissionais estão disponíveis.

Eu sei que algumas pessoas mencionado ASIRRA, mas se você vai para toda a adotar me liga para as imagens, ele vai dizer nessa página ligada se o seu gato um ou cão. Por isso, deve ser relativamente fácil para um bot para apenas ir para todos os links adoptme. Então é só uma questão de tempo para esse projeto.

apenas verificar o endereço de e-mail e deixe google / yahoo etc preocupar com isso

Você pode obter algum software de identificação do dispositivo the41 tem algum software de prevenção de fraude que pode detectar o hardware que está sendo usado para acessar o seu site. Eu acredito que eles usá-lo para pegar os fraudadores, mas poderia ser usado para bots parada. Depois de ter identificado um dispositivo sendo usado por um bot você pode simplesmente bloquear esse dispositivo. Última vez que um verifiquei pode até traçar o seu percurso passando por ele rede de telefonia (Não é o seu Geo-IP !!) assim pode até mesmo bloquear um código postal se quiser.

A sua através caro assim prop. uma solução melhor, mais barato que é um pouco menos grande irmão.

Licenciado em: CC-BY-SA com atribuição

Não afiliado a StackOverflow