[PHP] Visual Confirmation?

[Katarn]

Al geruime tijd heb ik een formulier op mijn site staan waarmee je kunt inschrijven op een maillist. Het is een simpel formuliertje; naam en mailadres invullen en op verzenden klikken. Vervolgens wordt automatisch de mail naar majordomo verstuurd, en worden enkele gegevens gelogd.

Sinds enkele dagen wordt dit formulier echter misbruikt door bots. Ze gooien er complete spam-mails in, met een waslijst aan BCC-adressen. Het gevolg is dat mijn inbox volloopt met mailtjes over niet-bestaande adressen of vertragingen in de bezorging van berichten.

Het formulier heb ik voorlopig maar offline gehaald. De enige oplossing die ik kan bedenken is het toevoegen van "visual confirmation", een code die je moet invullen aan de hand van een bijna onleesbaar plaatje. Een zoektocht op die term op Google levert mij alleen vrij weinig op.

Als iemand een snellere oplossing weet tegen deze bots hoor ik het graag. En anders hoop ik dat iemand mij op weg kan helpen met "visual confirmation".

[BtM909]

Je kan ofwel een bevestigingsmail sturen naar de aanmelders, zodat niet iedereen automatisch lid wordt of kijken naar opties zoals http://nl.wikipedia.org/wiki/Captcha, maar ik denk dat jij een heel ander probleem hebt: het moet niet mogelijk zijn om je webform te misbruiken en bcc adressen mee te sturen

---

Overigens staat het volgende topic bovenaan elk subforum in Devschuur®: Waar hoort mijn topic?. Als je dat leest, dan zie je dat je topic eerder in Programming hoort.

[ Voor 29% gewijzigd door BtM909 op 14-08-2006 09:27 ]

[TheRookie]

Zoiets heet een captcha, waarschijnlijk helpt dat bij je google speurtocht
BtM909

[ Voor 4% gewijzigd door TheRookie op 14-08-2006 09:26 ]

[André]

Met visual conformation bedoel je denk ik zaken als captcha? Ik zou eerst beginnen met een simpele beveiliging: plaatst een input veld waar mensen bijvoorbeeld verplicht "123" in moeten vullen, bots kunnen dit niet. Die posts kun je dan ook negeren.

Ook kun je het hele formulier met JS opbouwen, dan is hij helemaal niet te zien door spambots.

Mocht dat niet werken kun je altijd nog grijpen naar zwaardere middelen.

[Foxl]

Dat soort bots posten meestal alle input velden vol.. Een leeg hidden input veld toevoegen en bij het submitten controleren of deze nog leeg is helpt vrij goed.

[Verwijderd]

Zou ook met captcha werken ofzo

Met GD een plaatje met text/cijfers genereren welke dan overgetypt moet worden in ene input filed

Gebruik ik zelf op men site ook voor registreren en voor gastenboek (alleen als gasten posten)
Dat scheelt heel veel, omdat botsdie plaatjes niet kunnen lezen

[webfreakz.nl]

Foxl schreef op maandag 14 augustus 2006 @ 09:30:
Dat soort bots posten meestal alle input velden vol.. Een leeg hidden input veld toevoegen en bij het submitten controleren of deze nog leeg is helpt vrij goed.

Waarom zou een bot zo'n hidden veld volplempen? Een user kan dat niet doen dus waarom zou die bot dat dan wel proberen?

[Foxl]

webfreakz.nl schreef op maandag 14 augustus 2006 @ 09:36:
[...]


Waarom zou een bot zo'n hidden veld volplempen? Een user kan dat niet doen dus waarom zou die bot dat dan wel proberen?

Omdat een bot, in tegenstelling tot een user, niet kan zien en dus de input velden uit de bron van de pagina ophaald.

[DeadMetal]

Een bot kan aan de code ook gewoon zien dat het veld hidden is en zo besluiten om daar niks aan te veranderen. Waterdicht is je oplossing dus niet, omdat je het baseert op de aanname dat hij alles zal invullen.

[Foxl]

DeadMetal schreef op maandag 14 augustus 2006 @ 09:43:
Een bot kan aan de code ook gewoon zien dat het veld hidden is en zo besluiten om daar niks aan te veranderen. Waterdicht is je oplossing dus niet, omdat je het baseert op de aanname dat hij alles zal invullen.

Hij is niet waterdicht nee, maar het werkt (tot nu toe in alle gevallen) wel. Je kunt deze input natuurlijk in een div zetten en deze op hidden zetten, dan is het voor de bot al minder goed te traceren of het veld hidden is.

[prototype]

De aangedragen oplossingen werken maar half, en de reden is dat het gewoon moeilijk is om het geheel waterdicht te krijgen, aangezien de interactie gebruiker-systeem bijna in alle gevallen te realiseren is middels bots.
Zo werd er een oplossing door andre aangedragen om je form in javascript te zetten, maar je moet niet raar opkijken als toevallig een bot uitgerust is met een rendering engine (gecko b.v.) die dit makkelijk interpreteert en dus volledig erdoorheen gaat. Ditto voor andere html / javascript truukjes als hidden fields etc...
Wat men over het algemeen doet is een geobfusceerd plaatje presenteren aan een gebruiker met de vraag of deze de inhoud ervan over wil tikken; de mate van obfuscatie maakt het moeilijker voor de bot om dit te interpreteren met image analysis algo's, maar besef je goed dat je het daarmee de gebruiker ook moeilijker maakt om het te lezen. Dit staat overigens niet garant voor succes. Andere oplossingen zijn een versimpelde vorm van een IQ-test, i.e. het werken met reeksen b.v. (welke hoort er niet tussen), maar ook deze is te omzeilen door de plaatjes goed te analyseren en anders is het ook mogelijk om gewoon een simpele gok te doen. Dan is de kans op succes 1 op N mogelijkheden voor een bot, en zul je meer mogelijkheden moeten presenteren om deze kans op pure gok te verkleinen. Daarbij zul je je plaatjes ook zo moeten kiezen dat ze moeilijk geanalyseerd kunnen worden; een voorbeeld is b.v. dat je ervoor moet zorgen dat alle plaatjes praktisch op elkaar moeten lijken of dat alle plaatjes gigantisch moeten verschillen van elkaar. Het is allemaal het moeilijker maken voor een bot, niet het onmogelijk maken helaas.

[Katarn]

Bedankt allen voor de tips. Ik ga eens op zoek naar wat meer info over die captcha (ik heb nu tenminste de juiste naam)

@BtM909 : excuses voor het verkeerd plaatsen, ik zie dat je hem al verplaatst hebt.
@prototype: ik weet dat je dergelijke dingen nooit kan voorkomen. Een mooi voorbeeld is mijn gastenboek op dezelfde site. Deze werd ontdekt door robots, en er werden dagelijks reclame-berichten in geplaatst. Na een aantal aanpassingen heb ik hooguit 1 keer in een half jaar een reclame-bericht. Dat scheelt mij tenminste een hoop e-mailverkeer.

[ Voor 5% gewijzigd door Katarn op 14-08-2006 15:17 ]