Gli spambots si dirigono direttamente al server o compilano moduli HTML?

Question

Sto cercando di utilizzare un'alternativa a Captcha (o Recaptcha) per il modulo di registrazione sul sito Web su cui sto lavorando.

Credo che Captcha abbia un impatto negativo su UX. Stavo guardando ad utilizzare campi nascosti, ma a quanto pare non sono efficaci a tutti (Riferimento: http://radio.javaranch.com/davo/2008/10/15/1224063498569.html)

Un commento su tale articolo recita:

Come qualcuno che scrive i cracker CAPTCHA come parte del mio lavoro (no, non per lo spamming ), posso assicurarti che un campo nascosto non farebbe assolutamente il viaggio . Come menzionato in un altro poster, controllo il traffico over the wire, e non presta molta attenzione a ciò che accade nel codice HTML del modulo .

Questo mi ha portato a credere che gli spambot facciano richieste POST dirette al server, piuttosto che richiedere il modulo e compilarlo.

Se è il caso, cosa succede se creo un campo nascosto di sola lettura che pre-popola con un hash memorizzato in SESSIONE. Quando l'utente invia il modulo, posso confrontare i valori. Funzionerebbe come un modo per tenere lontani gli spambots o sto supervisionando qualcosa?

Se il modulo non viene mai richiesto, ovviamente non troverei alcun hash memorizzato in sessione e potrei quindi ignorare la richiesta.

Answer 1

L'aggiunta di un altro campo con una sfida legata a una variabile di sessione lato server è un buon approccio; richiederebbe uno sforzo considerevolmente maggiore da parte dei bot spam, cioè dovranno caricare e analizzare il modulo, compilarlo e fare un'altra richiesta (inviando i cookie necessari).

Si potrebbe anche considerare di aggiungere JavaScript per modificare la sfida specificata e modificarla in un certo modo. L'utente malintenzionato dovrebbe quindi scoprire che cosa fa il codice prima di poterlo replicare in modo automatico. Le trasformazioni possono essere semplici operazioni rot13 o più complesse xor. Cose come md5, sha1 sono algoritmi stabiliti, quindi quelli sono una scelta sbagliata; deve essere personalizzato.

Ovviamente, se un utente malintenzionato è impegnato a scegliere come target il tuo sito, non c'è molto che puoi fare per impedire che lo spam entri; questa è la brutta verità. Ad esempio, potrebbero eseguire Selenium e aggirare tutta la protezione JavaScript che è stata attentamente costruita.

Answer 2

Direi che dipende dal bot. Se qualcuno di mira il vostro sito, questo può essere aggirato facilmente:

1. pagina Richiesta con la forma e compilato in valore di sessione
2. Compila il modulo e inviarlo.

Direi che non è quasi nessuna protezione.

Purtroppo non ho molta familiarità con lo stato attuale dei robot e su come funzionano, quindi questo è solo il mio input su quanto sarebbe facile aggirare questa implementazione.

Answer 3

Spambot diversi utilizza modi diversi.

Ma più flessibili bots spam: 1. richiesta di pagina con il modulo di 2. leggere ciò campi contiene 3. inviare richiesta POST con campi trovati con alcuni valori pieni

cann't certo, che tutti i robot possono trovare e lasciare il tuo input "token-form-token". Non sei sicuro che tutti i robot possano usare javascript (un altro modo per proteggerti - aggiungi il campo richiesto per l'invio con js). Ma i robot sono molto diversi.

Answer 4

Sfortunatamente, ho il sospetto che tu abbia già degli spammer specificamente mirati al tuo sito. Se hai implementato manualmente il login e la registrazione, è improbabile che uno spambot abbia la logica in grado di registrarsi senza essere specificamente adattato ai tuoi moduli.

Le altre soluzioni sono buone, e mentre aiuteranno, nessuna di esse impedirà nemmeno uno spammer moderatamente determinato. Un sacco di spambots funzionano come plug-in del browser, quindi è improbabile che l'aiuto di uno spambot non valuti JavaScript o che non richieda il modulo sia molto lungo. Per lo meno, un CAPTCHA per la registrazione (e forse per ogni post, o qualsiasi cosa faccia il tuo sito, fino a quando l'account viene approvato manualmente) sarà probabilmente obbligatorio.

So che non si vuole influire sull'esperienza utente, ma i messaggi di spam e gli account sono molto più dannosi per UX dei CAPTCHA. Mordete il proiettile e fate tutto il possibile per rallentare gli spammer, altrimenti i vostri utenti guarderanno altrove.

Concesso, i CAPTCHA non sono soluzioni complete: esiste un software in grado di risolverli (in alcuni casi) in modo più accurato rispetto agli umani. Loro, come i cereali per la colazione arricchiti, fanno semplicemente parte di questa colazione completa - e nessuno sano di mente potrebbe iniziare il giorno libero con lo SPAM. ;)

I moderatori di nuovi utenti probabilmente si dimostreranno molto utili.