wp-comments-post.php in Wordpress schon länger kein ausreichender Schutz mehr vor Kommentarspammern, da diese mittlerweile die Seite nach dem Dateinamen durchsuchen.
Die Suchmaschinen auszuschließen scheint aber wohl noch zu wirken.It looks like the spammers have finally found a way around this hack
Spam Stopper Hack for Wordpress 1.2, mudbomb.com. The new spam bots apparently parse through the post page to find the correct name of the comment-posting script. Oh well, it was fun while it lasted.
Ich schätze, dass der weblogs.com-Ping auch eine wichtige Rolle spielt. Ich kenne nämlich 2 Blogs, die seit August letzten Jahres nicht einen weblogs.com-Ping mehr verschicken und seitdem unbelästigt sind. 2 andere Blogs mit gleicher Marke/Konfiguration/PageRank und Alter, die aber weblogs.com anpingen, sind weiterhin Ziel von Kommentar- und Trackbackspam. Wer also keine Zeit, Nerv oder Möglichkeit hat, verschiedene Antispam-Methoden auszuprobieren, könnte es mal mit dem Abschalten des weblogs.com-Ping (und andere Dienste) oder dem Aussperren von Suchmaschinen mittels Robots.txt versuchen. Dadurch ist man natürlich für neue Leser nicht mehr so komfortabel zu finden. Textpattern-User mit erzwungener Kommentarvorschau vor dem Abschicken, sind wohl immernoch kommentarspamresistent. Trackback-Spam haben Textpattern-User aber auch schon erlebt, weshalb Ralle sein Trackback-Skript für Texpattern entsprechend um eine Moderationsmöglichkeit erweitert hat. Da einmal von den Suchmaschinen erfasster Kommentar/Trackbackspam nur noch mehr Spam nach sich zieht, kommen eigentlich nur Methoden in Betracht, die den Spam erst gar nicht erscheinen lassen. Was sich bis heute anscheinend immernoch bewährt hat sind Methoden die aufOffenbar kann man sich Kommentarspammer dadurch einigermassen vom Hals halten, wenn man (a) das Skript, welches die Kommentare annimmt, umbenennt, und (b) Suchmaschinen wie Google aussperrt.
Ein kleiner Sieg gegen Spam, Michael Himsolt
- JavaScript (z.B. WP-Hashcash, hier erwähnt) und
- Captchas (grafische oder barrierefreie)
Defined tags for this entry: Sicherheit
1
Boris: Umbenannte "wp-comments-post.php" hatte bei mir (inklusive Erhaltung einer leeren Datei dieses Namens) noch zu 1.2-Zeiten einige Wochen lang absolut funktioniert. Dann war das an einem Tag schlagartig vorbei. Die Spam-Skripte waren also inzwischen angepasst worden.
Die Sache mit dem weblogs.com-Ping werde ich jetzt direkt ausprobieren... mal schauen, ob das was bringt.
2
Michael: Meine Erfahrung (MovableType) ist, dass ein Ping an weblogs.com den Spammern keine neuen URLs verrät. In meinem Fall scheint es zu reichen, Google auszuschliessen.
Zum Umbenennen des Kommentarskripts bei MovableType kann ich sagen, dass bei mir genau eine bestimmte Art von Spam durchkommt (dann aber schon mal 100 pro Tag), vermutlich einer, der den XHTML Code parst und analysiert ... nochmal umbenennen bringt gar nichts, habe ich schon ausprobiert. Unter der Annahme, dass der gesamte Spam nicht von einer Quelle stammt, würde das bedeuten, dass es in den anderen Fällen immer noch wirkt.
Möglicherweise könnte es helfen, den XHTML Code so umzubauen, dass der Parser ins leere läuft. Leider fehlen mir momentan leider Zeit und Nerven, um da intensiv herumzuprobieren, deswegen ist Sperren älterer Kommentare + Aussperren von Google für mich im Moment der beste Workaround.
3
Lars: Ich hab' mal zu diesem Thema ein Six Apart Dokument zu diesem Thema etwas zusammengefasst: Weitere Tipps gegen Kommentarspam
4
[bronski.net]: nicht pingen
Alp U�an vermutet, dass das Nichtbenutzen von ping-Services wie bspw. weblogs.com eine Auswirkung darauf haben k�nte, nicht mehr so viel Kommentarspam anzuziehen.
Das erscheint mir teils einleuchtend, teils nicht. Einerseits bekommen "gro�" Web...
5
Steffen Glückselig: Wie wär's, wenn du eine Spidertrap ausprobierst? Kurz die Idee: in der Seite vor das eigentliche Formular ein falsches, unsichtbares Formular einbauen. Normale Besucher der Seite werden es nicht sehen, nur jemand, der den Sourcecode anschaut oder eben parst. Das falsche Formular verlinkt ein Skript, in dem die IP desjenigen, der das Skript aufruft gebannt wird.
Tja, da eigentlich nur Spamskripte auf die Idee kommen werden, dieses Skript zu aktivieren, könnte das ein ziemlich günstiger und funktionierender Schutz gegen ebensolche sein.
Zwei Links: http://www.webmasterworld.com/forum88/3104.htm und http://www.webtechniques.com/archives/2001/08/champeon/
schöne Grüße
Steffen, der sich über die Abwesenheit von Captchas freut.
6
Steffen Glückselig: 1. Ich glaube nicht, nein, ich bin davon überzeugt, dass eine einzelne Massnahme nicht viel bringt. Dennoch kann sie schon Spam reduzieren. Vielleicht eine Überlegung wert. Ich hab's noch nicht ausprobiert - Ich leide nicht unter Kommentarspam (oder Kommentaren
).
2. Daran habe ich nicht gedacht. Vielleicht gibt's irgendwelche andere Information, die man kurzfristig verwenden könnte (User-Agent zusammen mit IP oder einem Teilbereich der IP? Und das dann für kurze Zeit.). Ist auch die Frage, ob ein Spammer zwischen zwei Zugriffen auf dieselbe Seite seine IP neu fälscht. Da kenne ich mich nicht aus.
3. Vielleicht ist das Skript ja so dumm, dass es nur in ein Formular postet. Zumindest besteht die Hoffnung, dass hier ein paar dumme Skripts hängen bleiben und sich zu früh am Ziel wägen.
7
alp: Lars: Guter Artikel, kannte ich noch gar nicht.
Steffen: Eigentlich 'ne gute Idee. Ich sehe nur 2 mögliche Schwachstellen:
1. als einzige Schutzmassnahme wirkt es nur, wenn man davon ausgeht, dass alle Kommentarspambots die Seite durchsuchen (ein paar ältere Modelle sind aber auch noch unterwegs)
2. Die IP-Adressen wechseln sehr oft bzw. sind ausgedacht, so dass IP-Banning schon lange nichts mehr bringt.
8
Lars: Alle Lösungen funktionieren nur solange, wie sie eigen und individuell sind. Sobald aber die Masse diese einsetzt, werden die Bots an die neue Situation angepasst.
Solange ein Browser die Aufgabe lösen muss, solange kann sie auch ein Bot lösen. Zum Beispiel der Spidertrap: Suche alle Textarea+Form+sonstigeFelder, fange bei dem letzten Textarea an, lade Müll ab.
Man könnte nun ganz wild die Textareas platzieren, wobei wir schon wieder dort sind, wo man von einem Standard Browser ausgeht, der das richtige Textarea anzeigt.
Ebenso wird von einem Standard ausgegangen, wenn es um "Schutzmaßnahmen" geht, die nur der Mensch lösen kann (CAPTCHAs). Ein nettes Bild hätte ich auf dieser Seite hier: blog.choas.net/Captcha