Gefragt: Erfahrungen mit Web-Spam

[Martin Lemke]

Was mich mal hinsichtlich Gästebuch-, Foren- und Blog-Kommentar-Spam
interessieren würde, sind die Erfahrungen damit. Besteht das SDpma-Problem
nur bei Standard-Software (also typischerweise Open source-Software) oder
auch bei selbst entwickenten Lösungen?

In ersterem Fall würde es den Spammern ja genügen, die Parameter der
jeweiligen Software zu kennen (z. B. für Wordpress oder phpBB), um per Post
request beliebig viele Kommentare bzw. Beiträge an den URL posten zu
können.

Ein individuelles Formular zu analysieren, bereitet etwas mehr Aufwand,
wobei dies nicht unmöglich ist. Da Spamming und Despammiung immer auch
einen Wettlauf darstellt, bedeutet dies natürlich, dass Algorithmen, die
heute greifen, schon morgen unwirksam sein können.

Hintergrund meiner Frage: Derzeit könnte die Umbenenntung von
Formularfeldern von Standardsoftware noch immer einen wirksamen
Schutzbieten.

Beispiel punBB:
Das Feld für den Usernamen heißt $_POST['req_username']. Benennt man dieses
Feld um zu meinetwergen $_POST['username'] fällt jeder Spammer bei der
Längenprüfung des Usernamen durch, weil nichts ankommt und folglich sind
Spammer, die die Standardfeldnamen zur Grundlage nehmen, ausgegrenzt.

Das ist auf jede ander Standardsoftware übertragbar. Aber es ist zu
erwarten, dass diese Lösung möglicherweise nicht bis alle Ewigkeit
funktioniert. Aber derzeit scheint das noch eine wirksame Strategie
darzustellen.

Vorteil dieses Verfahrens: Es gibt praktisch keine false positives.

Martin

[Lutz Donnerhacke]

Post by Martin Lemke
Was mich mal hinsichtlich Gästebuch-, Foren- und Blog-Kommentar-Spam
interessieren würde, sind die Erfahrungen damit. Besteht das SDpma-Problem
nur bei Standard-Software (also typischerweise Open source-Software) oder
auch bei selbst entwickenten Lösungen?

Jedes Formular wird bespammt. Egal, was sich dahinter verbirgt.
Es wird einfach versucht alle Felder mit URLs zu füllen.

Post by Martin Lemke
Aber derzeit scheint das noch eine wirksame Strategie darzustellen.

Nein. Es erfolgt offenbar eine Suchmaschinenabfrage nach "FORM" und dann
eine Befüllung aller Felder per POST.

[Martin Lemke]

Post by Lutz Donnerhacke

Post by Martin Lemke
Aber derzeit scheint das noch eine wirksame Strategie darzustellen.

Nein. Es erfolgt offenbar eine Suchmaschinenabfrage nach "FORM" und dann
eine Befüllung aller Felder per POST.

Dass es mit so einem Primitiv-Algorithmus funktionieren würde, habe ich mir
schon gedacht, aber das war mehr ein Gedanke, hinter dem keine Erfahrung
steht. In der Praxis ist mir so etwas noch nicht vorgekommen.

Praktisch ist es möglich, noch einen Schritt weiter zu gehen und die
Formularfeldnamen dynamisch zu vergeben [1] (mein Blog). Mein punBB-Forum
ist damit im Moment noch Spamafrei.

Da Spam-Post-Requests (im Moment noch?) direkt verschickt werden (also ohne
das vorherige Formular aufzurufen), besteht die Möglichkeit über die
Session variante Formularfeld-Namen zu übergeben, die einem Direkttposter
nicht bekannt sind.

Martin

[1] http://newblog.maaaddin.de/blog/2007-01-06.html

[Martin Lemke]

Post by Lutz Donnerhacke

Post by Martin Lemke
Aber derzeit scheint das noch eine wirksame Strategie darzustellen.

Nein. Es erfolgt offenbar eine Suchmaschinenabfrage nach "FORM" und dann
eine Befüllung aller Felder per POST.

Dass es mit so einem Primitiv-Algorithmus funktionieren würde, habe ich mir
schon gedacht, aber das war mehr ein Gedanke, hinter dem keine Erfahrung
steht. In der Praxis ist mir so etwas noch nicht vorgekommen.

Praktisch ist es möglich, noch einen Schritt weiter zu gehen und die
Formularfeldnamen dynamisch zu vergeben [1] (mein Blog). Mein punBB-Forum
ist damit im Moment noch spamfrei.

Da Spam-Post-Requests (im Moment noch?) direkt verschickt werden (also ohne
das vorherige Formular aufzurufen), besteht die Möglichkeit über die
Session variante Formularfeld-Namen zu übergeben, die einem Direkttposter
nicht bekannt sind.

Martin

[1] http://newblog.maaaddin.de/blog/2007-01-06.html

[Thomas Gohel]

Martin Lemke meinte zum Thema "Re: Gefragt: Erfahrungen mit Web-Spam"

Hallo Martin,

Post by Martin Lemke
Da Spam-Post-Requests (im Moment noch?) direkt verschickt werden
(also ohne das vorherige Formular aufzurufen), besteht die
Möglichkeit über die Session variante Formularfeld-Namen zu
übergeben, die einem Direkttposter nicht bekannt sind.

Entweder sind hier die Spammer zu blond oder ich bin ein Einzelfall,
aber ich habe heute mal den POST-Traffic meiner CGI-Applikationen
geloggt und mußte feststellen, daß die Jungs zumindestens am heutigen
Tag keine Daten im POST mitgeschickt haben. Was mich doch sehr ver-
wundert.

Mir fällt allerdings seit ein paar Tagen auf, daß hier zeitlich
eng begrenzte Dupletten dieser POST-Request erscheinen, die innerhalb
von 15-20 Sekunden von jeweils immer zwei verschiedenen und neuen
IP-Adressen ausgehen (gehäuft Japan, Thailand, Brasilien). Ziel ist
hier ein identisches Such-Formular, welches sich aber in zwei ver-
schiedenen virtuellen Hosts (.de/.com) befindet.

Unserer russischer Dauer-Form-Spam-Depp auf 81.177.22.243 ist seit
dem Tage verschwunden und dafür erscheint offensichtlich ein neues
Bot-Netz, welches aktuell wohl noch trocken trainiert (um eventuell
noch nicht aufzufallen?). Als User-Agent wird dabei prinzipiell
"Opera/9.0 (Windows NT 5.1; U; en)" verwendet und im Referer die
jeweils verwendete Domain für das Formular.

Tschau,

--------------
/ h o m a s