Dotaz: Spamovací robot

[Kníže Ignor]

Celkem dost jsem hledal, ale žádného spamovacího robota podobného tomu, co řádil tady v diskuzích se mi najít nepodařilo. Nevíte, kde něco takového sehnat? Samozřejmě se zdrojáky. Přece si to ty každej spammer nenechává vyvíjet na zakázku zvlášť...

Odpovědi

[kozzi]

a co si tak napsat vlastiho?

[Pavel Kysilka]

Mile abclinuxu,

koukam, ze trpis problemy se spamboty. tak pokud ti nebude vadit reseni od zleho goldenfishe z mrtveho portalu penguin.cz, tak tady je. trolove jiz sem nechodi a byli vyhnani pryc. protoze troll je nekdo, kdo je vetsinou vyhnan at jiz v budoucnosti nebo minulosti. a ten kdo se prihlasuje a bloguje, tak to je nejspise vzorny clovek. tak jediny problem asi budou ti spamboti.

reseni je jednoduche:

do formulare se vlozi skryta polozka typu input/[@type='text'] skryta pomoci kaskadovych stylu.

k tomu je dobre dodat dodat skryte upozorneni pro majitele textovych prohlizecu, aby nic nevyplnovali do tohoto pole.

boot je hloupy a vyplni vse.

a ted pointa:

-nemusi se davat nejednoznacna kontrolni otazka, na kterou je vice odpovedi a zabira vice casu na implementaci.

- v controleru servletu nebo v miste, kde se ctou hodnoty z formulare ke zpracovani se zkontroluje, zda je polozka nevyplnena. pokud ji nekdo vyplni, tak je to robot. anebo velmi nemyslici clovek, ktereho taktez neni prilis skoda.

- dodame tresnicku na dortu: nejenom, ze udaje z formalare daneho cloveka/bota neulozime do database, ale posleme si ho mailem pres javamail se specialnim subjektem. a ten pomoci procmailu vlozime do iptables do seznamu blokovanych adres. me chodi tak 4-8 mailu denne. machri to naprogramuji i s vyhodnocovanim blokaci i na cele site(neni cas).

- na zaver, pak uz jenom vynakladame usili na to, co je potreba. treba upgrade javy na serverech o jednu versi, kdyz uz v hlavickach z odpovedi webserveru rikame, na cem nam to bezi.

a pak at se uz jen plesa v hrobe otaci. prijemnou rotaci. ted jen nevim, kdo bude vyhanet odborniky z abclinuxu a bezduvodne nadavat sproste lidem po icq [nadavky od vzorneho a uctivaneho pana/boha plesingera si doplnte sami].

trochu jsem si rypnul. a vcelku se bavil, jak bojujete se spamboty. me to trvalo asi 4 dny na par desitek minut zkouseni nastrah. uz je nekolik mesicu neresim. ale snad vam to pomuze, coz je hlavni ucel tohoto prispevku.

prispevek oznacit za nevhodny, i kdyz poresi, co je treba a neni spravnou odpovedi na tuto otazku.

bye gf

[Pavel Kysilka]

jeste na lepsi porozumeni prispevku:

se spamboty zde nemam nic spolecneho. aby nekdo nemel nejake jine asociace. sam jsem s tim mel dost problemu na penguinu a nepreju to nikomu - jak provozovatelum, tak navstevnikum, kteri pak musi dokazovat, ze nejsou roboti.

bye gf

[Leoš Literák]

Diky za zajimavy napad. Hezky trik. Ale ten zaver s JXP jsem nepochopil.

[Kníže Ignor]

Díky, žes oživil můj dotaz Chtěl bych právě zjistit, zda skutečně spamboti jsou tak hloupí (ty neúspěšní asi ano) nebo jestli třeba využívají nějaké učící se techniky atp. Takový spambot může být docela sofistikovaný kus software

[Filip Jirsák]

Máte štěstí na spamboty. Ten, se kterým jsem bojoval já, neváhal některá pole ponechat prázdná, takže skryté pole, které mělo zůstat prázdné, ho nezastavilo…

[Kníže Ignor]

Jo a tvůj trik je bude fungovat je tak dlouho, dokud ho nerozšíříš na půlku internetu Dost se divím, že se s ním chlubíš. Ospamovat tebou spravované servery bude celkem hračka, taky je fajn, že sem dáváš návod, jak zablokovat přístup nic netušícím lidem - stačí z jejich IP poslat šikovně vyplněný formulář. Dá se to udělat tak, že ten formulář někde předpřipravím, oběti pošlu jen URL a ta pak formulář odešle (třeba "tyto stránky obsahují sexuálně explicitní obsah. chcete opravdu vstoupit?" a tlačítko ano odešle formulář)?

[Pavel Kysilka]

ano,

mate pravdu. jsem asi hlupak, kdyz pomuzu abicku, aby venovali lide cas na neco jineho nez na implementaci antispamu, ktery otravi diskuse. nebo zamykanim kazde infikovane diskuse.

on kazdy napad jiz nekdo nekdy vymyslel. a jedinecneho to nic neni.

asi vyuzivate opensource. ono to neni jenom sdileni kodu. a jeho nasledna instalace. ve vasem pripade asi pouze instalace. ale je to i o sdileni technologii. a s rozumnymi lidmi si o tech technologiich rad popovidam. ono je to i overeni jejich spravnosti a funkcnosti.

ja skutecne nehledam super dokonale reseni pro lidi, co si prectou pred pouzitim stranky html kod a pak teprve odeslou formular.

ukonceme tuto diskusi. mam takovy pocit, vy by jste se nemel bavit s tak neschopnym clovekem jako se mnou. mate na vic. vase diskusni prispevky a blogy jsou plne geniality. takze ja vam moc asi nepomuzu. sorry.

totally->bye gf

[......]

Aneb jak dokola stále píšu: "Nejsi normální".

[b*d]

to je velmi chytry.

Problem vetsiny bootu je neshopnost vyhodnotit javascript, takze i tudy vede cesta, neco jako document.forms['odpoved'].action = jine URL, zmena pres regex atp.

Pak mne napadlo mit shodny formular a ten jeden cely skryt - blokovat pokud se skryty posle.

Nebo generovat jako druhy krok opet shodny formular (post) ale pod nim link 'Uloz' ala jsessionid=XXX kde XXX je id formulare ulozeneho docasne na serveru a brat pouze GET, POST hodit do blokovani. A treba jeste tech linku udelat nekolik a schovat - nahodne do DOMu dat bordel v podobe <span>, tak aby se menila jeho pozice v DOMu.

Nebo posilat stranku v UTF-8 a cist hidden pole kde bude treba čau

poznamenat si na session cas GET a pak POST (boot to udela vetsinou daleko rychleji nez clovek)

a tak dale a tak dale

ted mne jeste napadlo sranda je taky s &amp; (heh uz tady clovek vlastne musi puouzit &amp;amp;)

Posilat GET after POST pomoci <meta refresh="" a tam dat stejny form ...

Uz jdu spat, booty nepisu, ale vim krapet o crawlerech. Ano jednoduchy boot se da napsat v perlu+wget za 10 minut

[Filip Jirsák]

Problém s JavaScriptem je ten, že se musí udělat nějaká alternativa, která bude funkční i bez JS.

Předvyplnění nějakého pole také nepomáhá, je to stejné, jako když ho necháte prázdné – pokud robot neuspěje se změněním všech polí, některým ponechává původní hodnotu. Kódování na tom nic nemění, navíc UTF-8 je na webu defaultní kódování.

GET after POST nechápu, v čem by mohlo pomoci.

Nápad s porovnáním času je dobrý, v kombinaci s JavScriptem a třeba odpočtem na stránce, sledovánímj počtu úhozů apod. by to mohlo asi docela fungovat. Samozřejmě je pak nutné mít nějakou variantu bez JS – ale to už může být textová otázka nebo třeba i ruční kontrola…

Blokování IP adresy, odkud přišel spam, bych neřešil na úrovni iptables, ale až na úrovni webového serveru – třeba po dobu 8 hodin od spamování bych dal IP adresu na blacklist, kterému webserver nezobrazí správnou stránku, ale místo toho upozornění, že z této IP adresy přišel spam a pokud jí chci odblokovat, musím udělat něco – a to něco už může být složitější Turingův test – obrázková captcha, pro nevidomé třeba varianta poslat někam e-mail atd.

[happy barney]

a pre textove browsre ?

[Filip Jirsák]

Stejně jako pro nevidomé. Tj. třeba poslat e-mail. Nebo vyřešit nějakou složitější textovou úlohu. To že je nějaká IP adresa zablokovaná spambotem a následně z té samé IP adresy chce přistupovat člověk je IMHO natolik vzácný případ, že bych tam klidně nasadil něco složitějšího, co dá člověku "zabrat", bude mu nějakou dobu trvat. Třeba bych tam i přidal prosbu o popis, z jaké sítě se člověk připojuje a co o ní ví a může o ní říct – protože pokud se člověk připojuje ze stejné adresy, ze které se před chvílí připojil spambot, je i v jeho zájmu zjistit, kdo za spambotem stojí a učinit jeho řádění konec.

[VícNežNic]

No, je pravda, že zaručených informací jak takoví spam roboti fungují, těch už jsem slyšel mnoho, ale ještě jsem opravdu žádného neviděl.

[Sandik]

Spamboti nejsou včechách, ale v Aamerice ;o)

[Pavel Kysilka]

zdravim,

diky za ohodnoceni napadu. skutecne to zabira. a minimalne se da delat hodne dalsich triku. treba do menit jmena promennych, pokud mate rozumny vystup v xml (xhtml). nebo na zacatek hodnoty elementu (/input[@type='hidden'] do nahledu vkladat skryte znaky. a podobne. napadum se meze neklade.

vyvinout jednoduchy spamovac neni nic moc tezkeho. kdyz budu vedet, jak odeslat http_post pozadavek na klienta, tak to je otazka 2 hodin programovani.

jak na to:

0) tidy-up dokument to xmldocument

1) pres xpath vybrat z xmldocumentu hodnoty z typu //form/input[@type='text' or @type='hidden'] a potom //form/textarea

2) zjistit //form[@action] a odeslat.

3) je -li dalsi stranka s nahledem, tak se potom pres xpath zjisti hodnoty z tidy-up xml dokumentu, ktere jsme vlozili v prvnim formulari.

4) druhou stranku odeslu.

5) stranek formularu za sebou muze byt nekonecne. klidne takto zaregistrujete x emailovych stranek na freemail a podobne. logika je jasna, vzdy budete mit vetsinou ve dalsim formulari nejakou stejnou hodnotu z predchoziho. a to je voditko.

6) nemam na takoveto voloviny cas. fakt. sice jsem mel nejakou vizi vam propojit diskusni forum na zive a blogy z abclinuxu ze srandy, ale jak mi kdysi rekl david necas na podobne tema, tak ono to nejak ztraci smysl a nic to neresi.

velmi moudry to clovek. nejlepsi spamovaci roboti je jsou nekteri lide zde sami. jenze k jejich zastaveni neni potreba nejakych navnad, ale jednorazove reseni. a zda bude v diskusich viagra nebo clanky o tom, jak si kdo poprve zasexoval, tak to je uz jedno.

jdu kodit. mam tu zajimavou aplikaci na dodelani, ktera je na pul ceste k webove sluzbe. solved.

<bye>gf</bye>

[Kníže Ignor]

škoda, že jsi se nevyjádřil k mému komentáři, podle mě to zneužitelné opravdu je - uložil jsem si stránku pro vložení formuláže z penguin.cz, vyplnil jsem to "zakázanou" položku, přepsal action a odeslal, vypsalo mi to "FUCK!", zatím na penguin stále můžu, takže se IP asi (ještě) nezablokovala, ale pokud by se to stalo, tak můžu vytvořit stránku s tlačítkem, na které když člověk klepne, zablokuje se mu přístup na tvůj server, myslíš, že to je opravdu dobré řešení antispamu? navíc se dá lehce obejít...

[Pavel Kysilka]

vyjadrit se k vasemu komentari nejde http://www.abclinuxu.cz/forum/show/139950#2 . ten komentar je totiz muj. asi mylka.

poznamka k systemu: je to jednoduchy system a nepocita s naprostymi dokonalostmi. system je zameren na booty. to znamena, ze clovek, ktery je hloupy a vyplni to, tak to je jeho problem. a nekde jsem naznacil, ze skutecne nemam zajem o uplne hloupe uzivatele.

muze se stat, ze to nevedomky nekdo ozkousi. nebo, ze toho nekdo zneuzije. mozna proto mi to chodi mailem, aby se dali lidi odblokovat i s nejakou ztratou spameru. jenomze tady je reseni treba napsat adminovi, ze je tu takovy a takovy problem s pristupem na server.

vite, ja nemam cas resit uplne mailockosti. reseni je zatim funkcni. az nebude, tak ho olepsim. venuji se jinym vecem. je to jako s unixem. reste to, az to bude potreba.

mate -li lepsi reseni, tak ho navrhnete. rad se poucim. rici, ze je spatne to umim take. ale lepsi reseni ci jeho navrh rekne malokdo. kritizujte vzdy nejlepe s lepsim resenim, kolego.

bye gf

[M.]

me se tve reseni libi:) dneska jsem do guestbooku implementoval prazdne input text pole ;) a uz tam mam neco jako "opis cislo", coz je trivialni ;)

[Jan Odvárko]

Možností je hodně, podle mě je nejpřijatelnější kombinace JS, a jako non-JS alternativa ověření kontrolním kódem. Funkční JS skryje kontrolní pole a nastaví skrytou položku formuláře, která řekne serveru, že nemá ověřovat kontrolní kód. A s JS si spamboti neporadí.