[Neon]

Hallo,

in meinem Board habe ich ein - wie ich finde - merkwürdiges Problem. Ich habe Registration Security Question 1.2 installiert, aber dennoch registrieren sich Bots.

Diese Bots haben aber nicht die Frage richtig beantwortet oder sich überhaupt mit ihr beschäftigt! Denn das Plugin loggt ja die Beantwortungsversuche mit. Bisher hat aber niemand die Frage beantwortet, weder richtig noch falsch!

Wie kann das sein?
Loggt das Plugin nicht alles mit (sondern nur bei bestimmten Browsern und nicht bei Botsoftware) oder hat es eine Sicherheitslücke?

Gruß
Neon

[StefanT]

*Fehler gemeldet*

PS: Das unsichtbare Captcha von MyBB 1.6.5 ist (noch) ein sehr guter Schutz, aktiviere das am besten.

[Neon]

Hallo,

danke für die schnelle Antwort.

D. h. der Bot kann die Sicherheitsfrage 0 gezielt anfordern und dadurch verschwindet gezielt die ganze Abfrage?

Mit dem unsichtbaren Captcha probiere ich es mal. Wird das bei bestimmten (nicht gängigen) Browser-Einstellungen auch für den menschlichen Benutzer sichtbar?

Was empfiehlst du? Verwendet Mybboard.de 3 Captchas: das normale, die Sicherheitsfrage und das unsichtbare? Mit Erfolg?

Gruß
Neon

[StefanT]

Mit dem unsichtbaren Captcha probiere ich es mal. Wird das bei bestimmten (nicht gängigen) Browser-Einstellungen auch für den menschlichen Benutzer sichtbar?

Selbst wenn, das Feld ist entsprechend beschriftet, sodass niemand etwas rein schreiben sollte.

Verwendet Mybboard.de 3 Captchas: das normale, die Sicherheitsfrage und das unsichtbare? Mit Erfolg?

Genau, das funktioniert auch sehr gut. Es kommen praktisch nur noch menschliche Spammer durch.

[Neon]

Ich habe jetzt testweise auch diese 3 Spamschutz-Maßnahmen gleichzeitig aktiviert. Innerhalb von weniger als 4 Stunden schafften es wieder 5 Bots sich anzumelden.

[StefanT]

Merkwürdig, hast du mal ein StopForumSpam-Plugin probiert? Oder Bot-Trap? Ansonsten bin ich echt überrascht, dass da immer noch Bots durchkommen...

[frostschutz]

Alle Dateien / Templates prüfen ob aktuell ist auch nicht verkehrt, zur Not evtl. sogar einfach mal im Datahandler den ganzen Request mitloggen der zum Eintrag in die Users-Tabelle führt. Etvl. kann man dann noch was gezielteres über User-Agent udgl. machen oder so.

Wenn du Pech hast sind es Menschen... gibts leider auch.

[Neon]

StopForumSpam werde ich mal probieren, an Bot-Trap habe ich mich noch nicht gewendet.

zur Not evtl. sogar einfach mal im Datahandler den ganzen Request mitloggen der zum Eintrag in die Users-Tabelle führt. Etvl. kann man dann noch was gezielteres über User-Agent udgl. machen oder so.

Wo geht denn das?

Wenn du Pech hast sind es Menschen... gibts leider auch.

Ich wüsste nur nicht, warum die sich die Mühe machen sollten, wenn sie dann nirgends in meinem Forum einen Werbelink hinterlassen, weder als Beitrag noch im Profil des neu angelegten Users.

[frostschutz]

Hier mal ein kleines Plugin das Usereintragungen über den Datahandler mitloggt. Dein cache/ Verzeichnis muss dafür beschreibbar sein (chmod 777 oder was immer).

Geloggt wird die $_SERVER Variable, sieht z.B. so aus (adminsid usw. eines realen Forums gehört natürlich nicht in ein Posting, aber das ist mal ein Beispiel)

Code:

Array
(
    [UNIQUE_ID] => Tx24S8CoAAMAAEtBEiUAAAAM
    [HTTP_HOST] => localhost
    [HTTP_USER_AGENT] => Mozilla/5.0 (X11; Linux x86_64; rv:9.0) Gecko/20100101 Firefox/9.0
    [HTTP_ACCEPT] => text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
    [HTTP_ACCEPT_LANGUAGE] => en-us,en;q=0.5
    [HTTP_ACCEPT_ENCODING] => gzip, deflate
    [HTTP_ACCEPT_CHARSET] => ISO-8859-1,utf-8;q=0.7,*;q=0.7
    [HTTP_CONNECTION] => keep-alive
    [HTTP_REFERER] => http://localhost/mybb/member.php
    [HTTP_COOKIE] => mybb[lastvisit]=1325206191; mybb[lastactive]=1327347787; loginattempts=1; adminsid=d394aeaf03f11f7f21f9282b93e4dad2; acploginattempts=0; multiquote=; sid=1d922ac54b2aeafdb940d1d6ecd83fcf
    [CONTENT_TYPE] => application/x-www-form-urlencoded
    [CONTENT_LENGTH] => 387
    [PATH] => /bin:/sbin:/bin:/sbin:/usr/bin:/usr/sbin:/usr/bin:/usr/sbin:/usr/local/bin:/usr/local/sbin
    [SERVER_SIGNATURE] => <address>Apache Server at localhost Port 80</address>

    [SERVER_SOFTWARE] => Apache
    [SERVER_NAME] => localhost
    [SERVER_ADDR] => 127.0.0.1
    [SERVER_PORT] => 80
    [REMOTE_ADDR] => 127.0.0.1
    [DOCUMENT_ROOT] => /var/www/localhost/htdocs
    [SERVER_ADMIN] => root@localhost
    [SCRIPT_FILENAME] => /var/www/localhost/htdocs/mybb/member.php
    [REMOTE_PORT] => 52798
    [GATEWAY_INTERFACE] => CGI/1.1
    [SERVER_PROTOCOL] => HTTP/1.1
    [REQUEST_METHOD] => POST
    [QUERY_STRING] =>
    [REQUEST_URI] => /mybb/member.php
    [SCRIPT_NAME] => /mybb/member.php
    [PHP_SELF] => /mybb/member.php
    [REQUEST_TIME] => 1327347787
)

Wenn ein User nun stattdessen übers Admin CP erstellt wird stünde da statt member.php eben z.B. admin/index.php?module=user-users&action=add drin odgl.

Aktivier das Plugin mal, erstelle testweise einen User, schau ob im Cache Verzeichnis dann eine userlogger-Datei liegt mit timestamp (jeder User bekommt ne eigene Datei), dann wartest du auf den nächsten Spamuser...

Falls kein Logeintrag für einen User angelegt wird (bei deinen Tests aber schon) dann hats eine Hintertür irgendwo, wenn der User regulär über die member.php angelegt wird dann hat jemand das Captcha eben geknackt oder aber durch einen Bug umgangen, dann sollte man statt $_SERVER vielleicht mal ganz $GLOBALS mitloggen und den Vorgang noch weiter rückverfolgen mit Debugmeldungen/Logs...

[Neon]

Ok, dankeschön!
Plugin ist aktiviert und funktioniert. Jetzt warten wir mal auf den nächsten Bot. Ich melde mich dann zur gegebenen Zeit wieder hier.