Bots $!%$?&$!*

Hallo,
ich habe gerade soooo einen Hals, daher mal die Frage ob ihr auch derart massive Probleme damit habt.
Unser Forum basiert auf der aktuellen Version von phpbb.
Wir sind damit auch an sich reht zufrieden.
Leider nimmt das Bot-Problem täglich zu neuerdings, so dass ich locker täglich bis zu 10 russische Bot-User löschen muss.
Habt ihr auch derartige Probleme und wenn ja wie habt ihr sie gelöst?
Einzige was mir im Moment wirklich einfällt. wäre ein neues Captcha zu verwenden, oder
noch ein "Frage/Antwort - Captcha" hinzuzufügen.
Leider bin ich von meinen Ideen nicht besonders überzeugt.
Über jede Anregung oder Erfahrungsaustausch bin ich dankbar.
mfg
Sensei

tausch das captcha-bild mit einem eigenen generierungs-algo ..
die bots sind nur auf bestimmte (standard)-captchas ausgelegt.
meist reicht es auch die anordnung/benennung der felder im anmeldeformular "abweichend" von der norm zu machen.
alternativ: intelligenten captcha einbauen (z.b. "3+5=" [InputFeld])

Hatte noch nie Probleme mit Bots, hatte allerdings auch noch nie ein gut besuchtes Forum. Ich würde den Image Code einschalten und zusätzlich noch so ein Frage-Antwort Teil damit dürften doch die Bots eigtl. keine Chance mehr haben.
Ansonsten würde mir nur einfallen, evl. die IP-Range der Bots zu bannen, wenn sie alle ähnliche IPs haben.

hi
danke für den tip. würde sinn machen.
wobei mir gerade der gedanke gekommen ist, eventuell auf die Version phpBB3.0 umzusteigen, da die der Betaphase nun entsprungen ist.
Habe es mir mal lokal installiert, wirkt auf den ersten Blick sehr sehr nett.
Habe nur die Befürchtung, dass die Version noch zu sehr in den Kinderschuhen steckt, wobei wir auf der anderen Seite ja nur wenige teilweise persönlcih bekannte Testuser haben, da noch nicht fertig .
Würde sicherlich auch seinen Teil evtl. Beitragen.
Hat jemand zufällig (falls phpbb genutzt wird) Erfahrungen mit der neuen Version?
mfg
Sensei

Original von Pretandor
Ich würde den Image Code einschalten und zusätzlich noch so ein Frage-Antwort Teil damit dürften doch die Bots eigtl. keine Chance mehr haben.
Ansonsten würde mir nur einfallen, evl. die IP-Range der Bots zu bannen, wenn sie alle ähnliche IPs haben.

Code ist immer aktiviert und die IP-Range wird nix .
Glaube das Drezils Tip da eventuell wirksamer wäre.
Warum mir der Gedanke mit phpBB3 kam, weil sie in dieser Richtung einiges gemacht haben wie ich es sehe.
Das Captcher hat dieverse Konfigurationsmöglichkeiten, wie vordergrundrauschen und Hintergrundrauschen einstellen.
Positionen der Buchstaben etc. ändern.
Erweiterte Captchalibrary etc, sowie allgemein sehr umfassende Sicherheitseinstellungen.
*grübel grübel grübel*
:/
mfg
Sensei

Eine Beta ist nicht für den produktiven Einsatz gedacht.
Führe lieber den Vorschlag von Drezil aus, denn das phpBB ist wie Windows: unheimlich weit verbreitet, so dass es sich lohnt seinen Bot darauf zu spezialisieren.

naja, da hast du sicherlich recht.
laut phpbb-entwickler ist dies aber keine beta mehr.
der funktionsumfang ist im vergleich zu meiner "aktuellen" phpbb 2.0.0x richtig richtig nett. da juckts richtig in meinen fingern^^
ich werds mal lokal bissl weiter testen, dann mal als nicht öffentliches zweites testforum mal aufm produktivserver mit ner kleinen gruppe testen und wenn nix böses bei rauskommt umstellen.
ist sicherlich derzeit mit meinen kümmerlichen 30 usern der bessere zeitpunkt als nach unserem release.
danke euch für eure tips
mfg
Sensei

das standard-captcha Problem habe ich auch ... wo kann ich im phpbb den Captcha-Code austauschen bzw. ändern?

klar gibts für phpBB2 auch diverse mods... der einbau sollte wohl mehr als nur einfach sein und ich selbst bin auch relativ zufrieden...
da hätten wir einmal den better captcha:
www.phpbb.com/mods/db/index.php?i=misc&mode=display&contrib_id=1513
oder advanced visual confirmation welche auch ich verwende:
www.phpbb.de/moddb/mod.php?id=403
hier sollten bereits die meisten bots ausgesperrt sein
dann gäbe es auf phpBB.de /.com noch einige antibot modifikationen die sehr gut arbeiten... aber es bleibt natürlich dir ueberlassen was du nimmst^^
phpBB 3 RC1 mag ja ganz nett sein (ist auch bereits recht bugfrei - selbst wenn eben die entwicklungsabteilung noch vom produktiven einsatz abrät...), aber auch die beta 4 war den Redmoonstudios bereits gut genug fuer das Knightfight-board, aber ich persöhnlich warte noch auf das finalrelease
und bin mit gemoddeten phpbb2 immer sehr gut gefahren

Ich habe mir den Humanizer gegriffen und ihn modifiziert und schon hatte ich wieder Ruhe.
Man darf nur nicht den Fehler machen Standardmods zu verwenden. Die Bots sind für solche schon optimiert.

Zum Thema Mods für phpBB2. Da kann ich eigentlich Orion empfehlen, das ist eine Sammlung von Mods als Paket geschnürt und wird als Paket auch aktualisiert. Der Entwickler ist der gleiche, der den CTRACKER macht, und der sollte bei einem größeren Board mit phpBB meiner Meinung nach schon Pflicht sein.

Ein Tipp, der auf jeden Fall funktioniert. Wir hatten auf unserer Bandseite auch massive Probleme mit Gästebuchspam (trotz Captcha).
Ganz einfache Lösung:

blablabla...
document.getElementById('secret').value = 'irgendwas';
In PHP dann die Logik: Wenn $_REQUEST['secret'] != 'irgendwas' dann die( 'LMAA!' );
Seit dem ist bei uns im Gästebuch Ruhe.
JavaScript könnense nämlich nicht. Und wenn man als Wert nicht einen Fixwert nimmt, sondern z.B. die Session ID / IP / whatever ... dann können die Bots das auf keinen Fall mehr.
Gruß,
Marc

so ähnlich hab ich mein gästebuch auch gesichert...
aber ohne die nichtjavascriptler auszuschließen
einfach ein hidden field in dem dem sowohl name als auch value ein von der ip abgeleiteter hash sind ... der bot könnte zwar das html parsen aber das macht AFAIK keiner....
es könnte sein dass ich damit proxy/AOL user ausschließe ... aber es hat sich noch keiner beschwert

ich hab die 3er auch schon im produktiv einsatz. noch gibts natürlich keine bots, das wird aber kommen. selbst wenn man am captcha viele parameter definieren kann, werden die bots das wohl alle recht zügig knacken können. auch hier hilft nur, die anmeldung zu verändern. andere variablen benutzen, evtl. die eingabezeit des benutzers messen, da die standardbots ja direkt das registrierungsformular aufrufen.
ps: der ctracker ist für mich das überflüssigste, was es gibt. nen netter counter, der "angriffe" zählt, ui.. achja, und nen paar zusätzliche löcher reinreißt. aber manche benutzen ja auch zonealarm und konsorten.

Windowsnutzern ohne Router würde ich für Eingehende Angriffe aber auch eine Firewall empfehlen - Tatsache.
Von CTracker muss man keinen Counter anstellen, wenn du glaubst, das wäre nur das, dann hast du da etwas falsche Vorstellung

ich weiß, dass da noch mehr hintersteckt
glaubst du aber wirklich, die beheben irgendwelche fehler, die die phpbb-entwickler nicht beheben könnten / wollen? die zusätzliche filterung der variablen kann ich mit mod_security und ähnlichem deutlich schneller und sicherer vornehmen, außerdem überprüft phpbb (sofern nicht eben ne sicherheitslücke vorliegt) die variablen selbst in ausreichendem maße.

Wenn ich mir die mehr oder weniger professionelle Hackingattacken via Google & Co. ansehe, dann würde ich schon sagen, dass ein bisschen mehr Sicherheit als das Original nicht falsch ist.
Ich bin zwar nicht paranoid, aber phpBB2 ist auch nicht gerade das Non-Plus-Ultra..

Warum verwendet ihr auch solche Boards? Es gibt genug Perl/Ruby/Java Alternativen, da werden die Fehlerquellen erheblich reduziert. Allein weil dort die dynamische Casts wegfällt. Leider gibts ja bis heute keine Möglichkeit die abzuschalten unter PHP. Daher kommen die meisten Fehler.

Eine wirklich gute Alternative zu phpBB ist übrigens punBB (punbb.org). Der Vorteil: Es kommt nicht mit einer Millionen von Features, sondern als solides und einfaches Forum, dass aber über Plugins erweitert werden kann.
Gruß,
Marc

Hallo,
für alle die es interessiert.
Mich hat es in den Fingern gejuckt und ich habe konvertiert^^
Falls Interesse besteht würde ich auch mal Erfahrungen posten.
mfg
Sensei

.htaccess file mit:

RewriteEngine on

RewriteCond %{REMOTE_ADDR} ^XXX.XXX.XXX.XXX
RewriteRule ^(.*)$
XXX.XXX.XXX.XXX" target="_blank">http://site.com/bottrap.php
XXX.XXX.XXX.XXX mit der IP des Bots ersetzen / andere RewriteConditions einbauen wie Useragent o.ae und alle Bots landen in bottrap.php
PS:
www.deepspaceomega.de/forum/

Warning: mysql_connect() [function.mysql-connect]: Access denied for user 'forum'@'localhost' (using password: YES) in /opt/lampp/htdocs/forum/db/mysql4.php on line 48
Warning: mysql_error(): supplied argument is not a valid MySQL-Link resource in /opt/lampp/htdocs/forum/db/mysql4.php on line 330
Warning: mysql_errno(): supplied argument is not a valid MySQL-Link resource in /opt/lampp/htdocs/forum/db/mysql4.php on line 331
phpBB : Kritischer Fehler
Could not connect to the database

na ja, ich schreib einfach mal aus erfahrung
es gibt ein besseres captcha für phpBB 2.0.X, welches ich im moment nutze, und womit das problem erledigt war...
siehe
www.zehnsur.de/forum
dann werde ich auch demnächst auf Olympus umsteigen (freu mich schon seit einem Jahr), aber ich will noch warten, bis es etwas weiter entwickelt ist und es vielleicht ein fertiges portal dafür gibt....
ich teste es auch schon und bisher, auch mit den beta versiionen, nur gute Erfahrungen gemacht...
grunsdsätzlich also captcha aktivieren, dann kommen auch keine bots mehr durch die anmeldung...

inwiefern in den fingern gejuckt?
was phpBB3 RC1 angeht oder wie
nu ja.. das einzige statement das ich bekomme wenn ich in deiner sig auf deepspace omega forum clicke ist:

diverse mysql fehler +
Could not connect to the database
aber das hat ein vorposter ja bereits entdeckt wie ich sehe
nun ja, was ich bisher in meinen testinstalls gesehen habe ist mehr als nur gut.
was performance angeht koennen mit dem release wohl einige andere forensoftwares einpacken

Original von Bringer

diverse mysql fehler +
Could not connect to the database

Wieso? Das ist doch mal ein richtig inovativer SPAM-Schutz!

nun ja, was ich bisher in meinen testinstalls gesehen habe ist mehr als nur gut.
was performance angeht koennen mit dem release wohl einige andere forensoftwares einpacken
... aber es ist phpBB ...
Ich habe zu den Jungs noch nie Vertrauen gehabt und der Santy Wurm hat so ziemlich jegliches Vertrauen, dass in der Zukunft wieder aufgebaut hätte werden können für immer zerstört. Wer eine GET Variable ungefiltert in eine Regex mit modifier "e" ballert, gehört erschossen. Aber ohne Henkersmahlzeit!
Es gibt genug bessere und sichere Alternativen.
Gruß,
Marc