WICHTIG! Neuanmeldungen vs. Hacker

[Ravenheart]

Momentan ist FC leider SCHON WIEDER im Visier des Abschaums der Menschheit!

Ich habe heute rund 300 (in Worten DREIHUNDERT!!) Anmeldungen, überwiegend aus dem Ostblock, mit Usernamen wie

shhjhjdkll

und Mailadressen wie

sd222244.ff.rtt.zzzz.@rumail.com

gelöscht.

Ich habe mir dabei größte Mühe gegeben, die ECHTEN FC-interessierten User NICHT zu löschen, sondern frei zu schalten.
Insgesamt sitze ich jetzt seit 3,5 Stunden dabei....

Sollte jemand mit EHRENHAFTEN Interessen sich angemeldet haben und ist NICHT freigeschaltet worden, möge er/sie das bitte irgendwie Kund tun... Ich tu' zwar mein bestes, aber unfehlbar bin ich leider auch nicht....

(sonst wäre ich auch Papst, und alle Hacker in der Hölle, hihi...)

Rabe

[the_Toaster (✝)]

Boa Mann.
Was wollen die Deppen hier bloß?

[Heidjer]

Unglaublich!
Aber Danke für Deine Arbeit Rabe.
Es ist mir schon Aufgefallen das wir in letzter Zeit von zweifelhaften Post und Trollen verschont wurden.



Gruß Dirk

[Pyromir]

Moin Rabe,

vielen Dank für Deine Mühe. Ist es ein Trost: Sei froh, das ist noch sehr harmlos. Anderes Forum, anderes Thema, über 10.000 Spam-Anmeldungen an einem Tag. Bietet phpBB keine Tools zur Automatisierung? Lässt sich das über freie Module, Plugins eventuell erleichtern? Kenne diese Forensoftware nicht sonderlich gut, phpBB ist bezüglich der Sicherheit im Vergleich sehr weit hinten dran.

Grüße
Marc

[Trinkhorn]

Stimmt, es gibt doch diese zusätzliche Abfragen, da muss man bei der Neuregistrierung so einen fast unleserlichen Code/Zeichenkette eingeben, die sind "maschinell" nicht lesbar also kann man die Registrierungen nicht automatisieren!

Wäre evtl. eine Möglichkeit...es sei denn die Hacker haben auch dagegen schon wieder ein Hintertürchen...

Und auch von mir DANKE!

Trinkhorn

[Don Koro]

Ach ja, diese lustigen Script Kiddies...
wenn in Russland halt der Vodka ausgeht, dann muss man sich halt anders beschäftigen.

[Huibuh]

Stimmt, es gibt doch diese zusätzliche Abfragen, da muss man bei der Neuregistrierung so einen fast unleserlichen Code/Zeichenkette eingeben, die sind "maschinell" nicht lesbar also kann man die Registrierungen nicht automatisieren!

Wäre evtl. eine Möglichkeit...es sei denn die Hacker haben auch dagegen schon wieder ein Hintertürchen...

Und auch von mir DANKE!

Trinkhorn

Da gibt es m.E. kein Hintertürchen. Das System ist noch sicher. auch SPON verwendet dieses System teilweise, vor allem auf der mobile. Seite. Zuzeit hast Du damit gegenüber OCR-Scripts die Nase vorne.

Gruß Huibh

[Pyromir]

Moin,

Stimmt, es gibt doch diese zusätzliche Abfragen, da muss man bei der Neuregistrierung so einen fast unleserlichen Code/Zeichenkette eingeben

"CAPTCHA" [1] heißen die Dinger welche Du meinst. Die sind mittlerweile zum größten Teil geknackt/maschinenlesbar. Der Schutz besteht mittlerweile nur noch in einem etwas besseren Gefühl. Bei einer entsprechenden Attacke werden diese Dinger mittels komplexer Schrifterkennungslösungen (OCR-Funktionen, wie schon von Huibuh erwähnt) umgangen.

Eine kleine Abhilfe sind die sogenannten "intelligenten" CAPTCHAS, welche den sich neu registrierenden User Fragen stellen, Rechenaufgaben lösen lassen usw. Die Dinger sind nur dann (relativ) sicher, wenn dahinter ein sehr großer Pool von Fragen/Aufgaben steht und nach wenigen Fehlversuchen ein komplett neuer Registrierungsvorgang erforderlich ist. Ansonsten gehen die bei einer Brute-Force-Attacke (in diesem Fall wäre das ein automatisiertes Abfeuern von Antwortmöglichkeiten) in die Knie.

Als (relativ schwarzseherisches) Fazit kann man sagen: Wenn jemand unbedingt will, dann schafft er es, jede Online-Anwendung aufzuschließen, einige Hochsicherheitsanwendungen ausgenommen. Speziell die schon angesprochenen Skriptkiddies machen sich meist nicht diese Mühe. Die ballern mit einigen frei verfügbaren Tools im Netz rum und brüsten sich dann mit den Zufallserfolgen.

Grüße
Marc
[1] Siehe im verlinkten Artikel insbesondere die Abschnitte "Umgehung von CAPTCHAS" und die Weblinks.

[Xolgrim]

Die ersten CAPTCHA die nur aus Zahlen/Buchstaben bestanden die in unterschiedlichen grössen und positionen dargestellt wurden hat ein Freund von mir selbst umgangen bekommen durch einfachen Bildvergleich. Der hat damals nen Programm geschrieben welches sich jede Stunde in ein Browsergame einloggt um extra punkte zu bekommen.

Die neueren verschnörkelten und in unterschiedlicher Farbe dargestellten CAPTCHA kann ich selbst offt erst nach dem zweiten oder dritten versuch lösen aber Programme wie JDownloader o.ä. (manager für rapidshare) geben auch die schon relativ zuverlässig ein.

Hilft nicht ein einfacher Bestätigungslink den man in einer Email anklicken muss? Die Mailadressen sind ja vermutlich frei erfunden

Oder zur not eine Registrierungssperre für XX Stunden sobald mehr als XX Anmeldungen in einer Stunde eintrudeln. Das ist zwar auch nicht super toll aber es kann ja auch nicht angehen das Rabe sich jedesmal 3,5h durch Anmeldungen wühlen muss wenn irgendwo im Osten jemand den Startknopf für sein Script drückt.

[the_Toaster (✝)]

Oder zur not eine Registrierungssperre für XX Stunden sobald mehr als XX Anmeldungen in einer Stunde eintrudeln.

Dann kann sich irgendwann KEINER mehr regulär anmelden, weil der Anmeldepool durch die Bots permanent verstopft ist.
Ein Captcha mit einem Abbruch der Anmeldung nach drei Fehlversuchen könnte eine Lösung sein.

[ravenheart_als_gast]

Schriebtest! Damit ernsthafte User, die nicht freigeschaltet wurden, dies hier als Gast mitteilen können, habe ich hier für Gäste mal das Schreiben freigeschaltet!

(Das Schreiben hier IST nur mit Captcha-Abfrage möglich, sollte hier dennoch Spam auftauchen, nehm' ich's wieder raus...)

Rabe

PS: Allein heute Vormittag 32 Neue!

[eddytwobows]

@rabe...
Ich hab da zwar nicht SOOVIEL Ahnung von, aber vielleicht wäre das hier ja ein möglicher Problemlösungsansatz...
Googlesuche "Bot Detector":
http://www.google.de/search?client=fire ... ogle-Suche
Detector Programm:
http://wordpress.org/extend/plugins/ttc ... -detector/

Ich meine, wir haben hier doch bestimmt einen ganzen Sack voll Informatiker und Informatikstudenten im Forum, angefangen bei Galighenna endend bei was weiß ich wem...
Da müßte es doch irgendwie möglich sein, eine eloquente Lösung aus dem Hut zu ziehen...
z.B. die Forumssoftware bzw. die Anmeldung so einzustellen, daß entweder gar kein Bot mehr Zugriff hat (was zugebener Maßen blöd wäre, weil FC dann ja sozusagen aus dem Netz verschwinden würde...) oder das nur ganz bestimmten Bots der Zugriff gestattet wird und das auch nur mit Einschränkungen...

LG
etb

[TariExorall]

Hey Iam terrible with introductions but I thought I could adleast say hallo too you all. Not sure what to say here .... I live in France and plan on relocating to the states soon. In a matter of fact Iam leaving to Chicago the next day with my wife. I will be back in a 1 week if anyone want ill post some pictures:)

[Trinkhorn]

Habe mit der Materie leider nur am Rande zu tun verwende aber zB. für meine Website (ist auch auf PHP Basis) DEFENSIO http://defensio.com/.
Ist für die private Nutzung kostenlos und trotzdem auch zuverlässig. Seitdem ich es installiert habe, bekomme ich jedenfalls keine Spams mehr über meiner Website! Vielleicht ist's ja mal einen Versuch wert!

@etb: Der "Bot-Dedector" ist übrigens für ein anderes Problem gedacht - eher für private Rechner.

Wahrscheinlich habt ihr das zwar eh schon versucht aber falls nicht, hier evtl. noch zwei nützliche Links:
http://www.nxplorer.net/blog/2007/03/de ... urs-phpbb/
http://www.michel-kraemer.de/anti-spam-phpbb3


Lg, Trinkhorn

[Huibuh]

Hallo Rabe,

dass sollte Dein Problem lösen:
http://www.pcwelt.de/news/Internet-Vide ... 70521.html

Alternativ empfehle ich Captchas in unterschiedlichen Graustufen. Da OCR-Scripts meist mit einfachen Schwellwerten arbeiten, kannst Du so einen erheblichen Teil von vorneherein killen.

Wenn Du weitere Hilfe brauchst, schick mir eine PM.

Gruß Huibuh