[PHP] Spammer met varierend IP blokken *

[Verwijderd]

Iemand zit voordurend te spammen, schelden en te bedrijgen op mn forum, maar die persoon is erg moeilijk te blokkeren omdat hij om de 10 seconden een nieuw bericht plaatst met een ander IP adres!

Wat kan ik hier tegen doen en op wat voor manier gaat deze persoon te werk? Hij gebruikt ook gewoon bestaande ip-adressen (waaronder mijne)....
Hoe doet deze persoon dat en wat is er tegen te doen? Is het mogelijk iemands MAC-adres te achterhalen met een php-scriptje? Misschien kan ik hem daarop blokken.

[ Voor 12% gewijzigd door Verwijderd op 02-02-2004 07:35 ]

[Erkens]

mac adres kan je niets mee, tezij die gast in hetzelfde netwerk zit als je server

persoonlijk zou ik die ip-range blokken (naast het blokken van zijn accounts), en als dat niet helpt een tijdelijke users-stop zodat er geen nieuwe users gemaakt kunnen worden.

[Verwijderd]

Het is een open forum, waar je gewoon zoner inloggen kunt posten. Ip-ranges blokkeren helpt ook niet, want hij kan elk ip adres aannemen dat hij wilt (???)...

Ik vraag me af hoe hij dat doet (binnen 10 sec ook nog....)

[]Byte[]

Hmmmm... forum iets "te open"
Misschien is het een idee om dan toch eens accounts in te gaan invoeren....
Tja... ook hiervoor geldt weer eens dat de goede onder de kwade moeten lijden...

[m3gA]

zelfde topic als op fok?

iig .. als je zijn originele ip kan achterhalen.. mail zijn provider op [e-mail]

[Verwijderd]

m3gA schreef op 02 februari 2004 @ 07:50:
zelfde topic als op fok?

iig .. als je zijn originele ip kan achterhalen.. mail zijn provider op [e-mail]

Goed idee, dank je wel. Ik ga kijken wat ik kan doen. Iig erg bedankt!

[Erkens]

Verwijderd schreef op 02 februari 2004 @ 07:45:
Het is een open forum, waar je gewoon zoner inloggen kunt posten. Ip-ranges blokkeren helpt ook niet, want hij kan elk ip adres aannemen dat hij wilt (???)...

Ik vraag me af hoe hij dat doet (binnen 10 sec ook nog....)

iedere keer een andere isp dan ofzo omdat hij dus iedere keer vanuit een andere range komt?

[TeeDee]

Erkens schreef op 02 februari 2004 @ 09:44:
[...]
iedere keer een andere isp dan ofzo omdat hij dus iedere keer vanuit een andere range komt?

Open Proxy?

[curry684]

***** Lees dit! Over topictitels in P&W *****

[gorgi_19]

TeeDee schreef op 02 februari 2004 @ 09:54:
[...]


Open Proxy?

Een proxy heeft toch ook maar 1 IP-adres?

[Glimi]

Je kunt niets doen, als je niet weet hoe de persoon dat doet. Sowieso lijkt me jouw idee erg sterk, omdat via het TCP/IP protocol eigenlijk een IP-spoof erg moeilijk wordt (door de SYN/ACK's). Het lijkt me eerder dat de persoon via een bepaald inbel account (een of meerdere) problemen veroorzaakt. Hierdoor is het allemaal wel te traceren naar bepaalde ranges ipv 'elk ip adres'

[jurri@n]

Misschien een idee om een tabelletje met scheldwoorden (en andere verboden woorden) aan te leggen en iedere nieuwe reactie op je forum te scannen op dat soort woorden? Dit zou ik zeker doen als je je forum open wilt houden.

[Ghost(NL)]

TS mischien kun je met dit iets. Mischien dat er via een proxy server bepaalde gegevens aangeven dat het via een proxy komt of dat je dat er uit kan halen.

[gorgi_19]

jurri@n schreef op 02 februari 2004 @ 10:23:
Misschien een idee om een tabelletje met scheldwoorden (en andere verboden woorden) aan te leggen en iedere nieuwe reactie op je forum te scannen op dat soort woorden? Dit zou ik zeker doen als je je forum open wilt houden.

Mja, daar is imho wel heel eenvoudig omheen te werken met 'censuurtekens...' . Effect blijft hetzelfde en moet je alsnog een post gaan verwijderen.

[Ciprix]

Ik zou je database eens checken als ik jouw was.

Waarschijnlijk heeft hij daar toegang tot en kan hij daar dus zelf invullen welk ip hij gebruiken wil.

[curry684]

Compleet andere aanpak trouwens: parkeer bij ieder bezoek een cookie op de client. Zonder cookie kun je niet posten, en na het aanmaken van een nieuw cookie voor een specifiek IP duurt het 5 minuten voordat je ermee kunt posten.

Weinig administratie nodig (soort van 'leases'-tabel) en makkelijk klaar

[Mexxus]

Check eens op de hostname, meestal blijft die het zelfde als het IP om een bepaalde tijd veranderd word. Met de hostname kun je de provider achterhalen, en zoals eerder gezeld, een abuse mailtje sturen.

Succes

[curry684]

Verwijderd schreef op 02 februari 2004 @ 07:33:
Wat kan ik hier tegen doen en op wat voor manier gaat deze persoon te werk? Hij gebruikt ook gewoon bestaande ip-adressen (waaronder mijne)....

Ik vind dit trouwens wel erg sterk: zoals Glimi zegt kun je in TCP nauwelijks IP's spoofen (en zodra je cookies vereist al helemaal niet meer omdat je dan bidirectioneel traffic vereist).

Spoofs werken alleen als het antwoord op een request niet aan mag komen en de request binnen 1 enkele netwerkframe past.

Enige andere mogelijkheden zijn idd dat ie op hetzelfde subnet zit als de server (dan kun je in de firewall op MAC blokken meestal) of dat ie directe DB-access heeft.

[TeeDee]

gorgi_19 schreef op 02 februari 2004 @ 10:15:
[...]

Een proxy heeft toch ook maar 1 IP-adres?

Met een open proxy bedoel ik ook de diverse tools die er zijn om van proxy server te wisselen. En dat kan per bezoek variëren!

[Verwijderd]

curry684 schreef op 02 februari 2004 @ 10:33:
Compleet andere aanpak trouwens: parkeer bij ieder bezoek een cookie op de client. Zonder cookie kun je niet posten, en na het aanmaken van een nieuw cookie voor een specifiek IP duurt het 5 minuten voordat je ermee kunt posten.

Weinig administratie nodig (soort van 'leases'-tabel) en makkelijk klaar

Lijkt mij ook een goede of in iedergeval zorgen dat er nog een stap tussen versturen van het bericht en het posten zit. Door bijvoorbeeld een "Weet u het zeker?" pagina ertussen. Hij kan dan nooit een vals adres gebruiken, want hij zal de data moeten onvangen.

Uiteraard kan hij dan nog steeds 10X inbellen en een ander adres krijgen. het wordt dan alleen een stukje moeilijker.

Misschien is het een idee om een URL te geven. Wie weet zien wij een simpele fout in je forum.

[Ciprix]

Dat houd in dat Topic Starter zelf ook een openproxy draait.

ik ga er toch meer van uit dat aangezien zijn eigen IP gebruikt werd de spammer database toegang heeft. of mischien phpmyadmin toegang.

[curry684]

Verwijderd schreef op 02 februari 2004 @ 10:57:
[...]
Misschien is het een idee om een URL te geven. Wie weet zien wij een simpele fout in je forum.

De fout is heel simpel: met 1 enkele HTTP-POST request die binnen 1 packet past kun je posten op het forum. Alle hier gesuggereerde oplossingen (logins/cookies/sessions/confirmations) lossen dat probleem op

[Erkens]

TeeDee schreef op 02 februari 2004 @ 10:54:
[...]

Met een open proxy bedoel ik ook de diverse tools die er zijn om van proxy server te wisselen. En dat kan per bezoek variëren!

de meeste (open)proxyservers geven het originele ip alsnog mee via een extra header. Wellicht een idee om die ook te checken.

[coubertin119]

Kan je het forum dan niet ontoegankelijk maken voor niet-geregistreerden, of toch post-rechten ontnemen? En volgens mij hebben sommige fora de mogelijkheid om een post eerst door een moderator te laten controleren voor hij daadwerkelijk gepost wordt. Kan je dat niet instellen voor een dag of 3 tot hij het beu is?

En ben je zeker dat je database beveiligd is, zoals Ciprix zegt?

[Osiris]

curry684 schreef op 02 februari 2004 @ 10:59:
[...]

De fout is heel simpel: met 1 enkele HTTP-POST request die binnen 1 packet past kun je posten op het forum. Alle hier gesuggereerde oplossingen (logins/cookies/sessions/confirmations) lossen dat probleem op

Ik denk dat je hier doelt op het spoofen van het IP, omdat je maar 1 packet gebruikt.. (en gezien je vorige posts over spoofen)

Nu ben ik het hier niet mee eens, aangezien je eerst een SYN, SYN/ACK, ACK-sequence nodig hebt voordat een verbinding überhaupt "geldig" is. Dus ook het met 1 packet posten met gespoofed IP is niet mogelijk zonder SYN & ACK-waarde-gokking

[curry684]

Osiris schreef op 02 februari 2004 @ 12:46:
[...]
Nu ben ik het hier niet mee eens, aangezien je eerst een SYN, SYN/ACK, ACK-sequence nodig hebt voordat een verbinding überhaupt "geldig" is. Dus ook het met 1 packet posten met gespoofed IP is niet mogelijk zonder SYN & ACK-waarde-gokking

Zit ook wat in ja, ik zat even met het verkeerde protocol in m'n hoofd