Názory k článku Komentárový spam

Mě taky. Zrovna potřebuji zajistit, že se mi na můj redakční systém přihlašují lidé a ne roboti :-) A teď mám spoustu možností

Na mem formulari, ktery denne vyplni asi 30 000 lidi je to asi tak 5 uzivatelu tydne. Da se to vyresit ctenim generovanych kombinaci.

diq za napad, moc dobra pripominka

dávám do ALT, že zrakově handicapovaní - nebo kdokoliv jiný - může příspěvek odeslat na e-mail..

Taky dobrý nápad. Asi ho použiji.

A nebo ještě lepší nápad:
Dát tam CAPTCHA, a pro nevidomé dát speciální tlačítko, kterým příspěvek odešlou bez nutnosti vyplnit CAPTCHA, ale ne rovnou do diskuze, ale někomu, kdo to poté zkontroluje (třeba právě na ten e-mail). Tím se omezí počet kontrolovaných příspěvků (či spíše mezi nimi bude méně těch důležitých, nespamových) a ten zbytek, který půjde přes CAPTCHA, už nikdo nemusí kontrolovat, protože zde spam (snad) nebude.

Z vaseho hlediska je 5/30 000 lidi malo. Ale z hlediska zrakove postizeneho to vypada, ze mu takovy klacek pod nohy hodi treba kazdy druhy web, coz je dost spatne. Dalsi komplikace typu odeslani na email to moc neresi.

nebyl by nějaký odkaz?
protože o tom dost pochybuju, že by to bylo když už tak extra funkční.. možná u nějakejch blbě udělanejch obrázků..

http://www.cs.sfu.ca/~mori/research/gimpy/

ale jak tak koukam, tak tohle pouziva k vyhodnoceni spravnosti slovnik, ne? pokud by tedy text obrazku nebylo slovo, ale nejaky random balast, nesnizila by se ucinnost rozpoznavani?

Obejit se to da. Nez jsem zmenil CAPTCHA na svem phpBB foru na tohle (http://forum.drdteam.org/profile.php?mode=newprofile&agreed=true) tak se tydne zaregistrovalo 5-15 botu.

tak tuhle sracku taky neprectu a to prosim nejsem robot ani zrakove postizeny.

Hezky kontrastni, jasne definovane obrysy, nesplyvajici pismenka ... je to sice HNUSNE na pohled, ale citelnost je IMHO asi tak 100x lepsi nez u sedo-sedych captchas nebo ruzne rozbitych pismenek.

Každopádně pokud chceš dělat přístupnej web tak je to naprosto nepoužitelný...

Existuje bohuzel jeste jeden zpusob louskani Captcha obrazku ale i jinych forem Turingova testu (napr. kontrolni otazky).

Spamer vytvori "uzasne" stranky typicky s pornem. Navstevnikovy zobrazi jen nahledy obrazku. A pri kliknuti na plnou velikost obrazku se zobrazi informace se se museji branit vykradani "jejich" obrazku a tudiz, ze uzivatel musi opsat Captcha text (nebo vyresit jiny Turinguv test). Jeden obrazek se da dokonce vyuzit vycenasobne, pokud budu jako prvni odpoved brat jako chybnou a dam dalsi otazku.

De fakto si robot najima nezkusene uzivatele aby problem vyresily za nej.

Samozrejme ze je takovyto utok mene masivni, ale zato vice uciny.
Zatim se jako ucine jevi napriklad kontrolni otazka v cestine, kdy cestine vetsina takto najmutych mozku nastesti nerozumi.

Určitým řešením by mohla být kombinace Captcha s metodou uvedenou pod bodem 7.

Na jednom webu o mobilech jsem mel taky problem se spamovanim knihy hostu (denne neco kolem 1000 prispevku). nechtelo se mi generovat obrazky a podobne veci. takze mam u tlacitka na odeslani formulare jeste pridany text s varovanim ze pokud chteji aby se prispevek zobrazil musi jejich zprava jako prvni slovo obsahovat sluvko ochrana a za nim az text prispevku. v provozu to je asi 4 mesice a zatim 100% uspesnost

To je pekne :)

R.

Ja uz nejaky cas pouzivam trivialne riesenie pri ktorom dovolim prispiet len navstevnikovi s UA, podporujucim zaroven JS aj cookies.

V stranke, obsahujucej prispevkovy formular necham client side skriptom nastavit cookie na nejaku hodnotu, ktoru potom server side testujem. Ak sa nerovnaju zobrazi sa ospravedlnenie o potrebe DHTML+cookie compliant browsra.

Toto riesenie ma na weboch kde je pouzite zatial 100% uspesnost voci form spamu pricom nevyzera ze by statisticky ubudlo ziadanych prispevkov.

Skor to vyzera, ako keby to opravovala ceska korektorka a menila niektore slova do cestiny. Cim samozrejme vniesla do slovenskeho textu strasne chyby.

A ja odporúčam to po sebe aspoň raz prečítať a opraviť početné gramatické chyby...

Nevim. Zkusil jsem a bud to jsem divny ja, nebo ten test. Jasne, ze obludy najdu snadno. Ale tech atraktivnich tam vzdycky vidim tak ctyri.

Jj, ten test okrem botov odfiltruje aj tych, co nie su zmagoreni avonmi, herbalajfmi, vychrtnutymi modelkami zavislymi na kokaine, pozickami do jedneho dna a rebrandingom, ktori si aj tak sami zaplatia.

BTW, pripomina mi to jednu zaujimavu studiu: zobral sa nejaky pocet fotiek muzov (oholenych) a zien v pomere 1:1, vystrihla sa len tvarova cast (tj. ziadne vlasy, atd.) a fotky tvari sa ukazali respondentom (muzi:zeny 1:1). Ti mali povedat, ktori z nich by sa im najviac pacili ako partneri. Sranda bola, ze vacsina (snad 2/3) si vyberali zeny. Nakoniec tam bola diskusia, od akych "featur" tvare zavisi "atraktivnost", celkom dobre voditko bola vraj symetria podla zvislej osi v strede tvare.

Inak by ma celkom zaujimalo, jak by na hotcaptcha dopadol BLEK ;-)

hh, a ještě větší sranda by byla, kdyby tam člověk uviděl svůj xicht.
a navíc, kdybys to třeba odesílal a vedle tebe byla např. tvoje kamarádka, která třeba není zrovna krásná a objevil by se tam její xicht, co bys dal? a kdybys dal že je krásná a ono by to neuznalo, jak by se pak tvářila?
ale jinak metoda zajímavá, třeba to bude za chvilku potřeba

Na první pokus jsem dostal "Wrong, Die, bot, die", druhý
pokus mi to uznalo. Přecejenom ta metoda pro schizoidní
psychopaty není ideální.

tak jsem se 4 snazil otipovat muze a nepovedlo se mi to ani jednou. Zajimave. Jak u toho dopadaj homosexualove? :)

hehe 2x mi to napsalo ze sem robot az na potreti mi to uznalo...asi by mezi tema "modelama" mely byt vetsi rozdily at je poznat kdo je pekny a kdo ne...robot to stejne nepozna i kdyby tam bylo "vyber tri animovane postavicky" :D:D:D

Bod 10 ma jistou nevyhodu (uz jsem neco podobneho na jednom foru nasadil). Pokud uzivatel formular odesle tak, ze neklikne na "poslat" ale na nekterem z policek proste zmackne enter (napisu prispevek, pak vyplnim subject a klovnu na klavesnici do enteru) tak browser pouzije prvni tlacitko na odeslani. A to i kdyz je neviditelne.

Takze misto

echo "<input type='submit' name='robot' value='Jsem robot' style='display: none;' />\n";
echo "<input type='submit' value='Vložit příspěvek' />\n";

to chce

echo "<input type='submit' value='Vložit příspěvek' />\n";
echo "<input type='submit' name='robot' value='Jsem robot' style='display: none;' />\n";

Eventuelne zkusit zmast robota necim ve stylu:

echo "<!--<input type='submit' name='robot' value='Jsem robot' style='display: none;' />-->\n";
echo "<input value='Vložit příspěvek'\ntype="submit" />\n";
echo "<input type='submit' name='robot' value='Jsem robot' style='display: none;' />\n";

(neumi li 100% dobre parsovat html, ale bere to nejak odhadem, nachyta se. A ten spravny submit bude nejvice "zmrseny" (rozlamany na vice radku, ruzne typy uvozovek ... pouziti html entities v hodnote ... neco s cim browser nema problemy, ale potencialne jednoduchy parser spammeru by mohl mit :)

Ja bych tam to tlacitko navic vubec nedaval, jenom bych ve formulari pridal jedno prazdne textove pole s popiskou "nevyplnovat - past na roboty" a skryl jej kaskadovym stylem i s popiskou. Roboti vyplnuji vsechna pole, a pokud by tohle pole bylo nejak naplneno, vim ze je to robot nebo trouba uzivatel, kteremu nefunguji kaskadove styly a neumi cist :)

Koukněte sem, jsou tu tisíce MP3 zdarma ke stažení mp3 ke stažení zdarma

Dobry den. Zajimalo by me jakym zpusobem tito roboti funguji, jestli nekdo znate nakej link nebo kratke vysvetleni.
Predpokladam ze si captcha obrazek porovna v databazi a pak vyplni ale jakym zpusobem zjisti takovy robot ze zrovna tento obazek ma porovnavat. Popr. kdybych vypisoval overovaci kod normale jako text jak zjisti, ze zrovna toto je ten kod?

no prave u metody captcha by som povedal ze pouziva nejaky ocr soft ktory ten obrazok proste precita ako normalny clovek..
inak by ma tiez zaujimalo ako funguje taky robot..

jj, presne tak. Musim na sebe prasknout, ze tohle pouzivam pro odesilani sms pres internetevou branu O2 pomoci smssend (teda nevim jestli ten muj skriptik je porad funkcni, mozna uz tu CAPTCHU vylepsili)

OCR soft :)) kdo to bude prosím vás kupovat a vyvíjet? Představte si místnost plnou číňánků, kterým se na obrazovkách ukazují jednotlivé kombinace a oni to klepou do počítače. Kolik myslíte, že můžou udělat za hodinu?

kupovat? myslim ze spammerovi je uplne jedno ci ten software "ukradne" alebo kupi (dokonca sa da najst aj free ocr soft)

<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd">
<html>
<head>
<meta http-equiv="Content-language" content="cs" />
<meta http-equiv="Content-Type" content="text/html; charset=windows-1250" />
<title>Test</title>
<script type="text/javascript">
<!--
function makeSubmit(id)
{
    var par = document.getElementById(id);
    par.innerHTML = '<input type="submit" name="madesubmit" value="Submit" />';
}
-->
</script>
</head>
<body>
<form method="post" action="somescript.php">
<input type="hidden" name="12345" value="56789" />
<p id="submitpara"></p>
<p><input type="button" name="maker" value="Click to enable submit" onclick="javascript:makeSubmit('submitpara');" /></p>
</form>
</body>
</html>

cuduj sa svete ale motivaciu k tomu dlho mat nebudu. obeti je este stale dost.

a uvazuj: clovek ktory sa snazi o spamochranu je aj clovek, ktory ziadny spam neponecha na webe. cize naco sa snazit tychto ludi prechytracit, ked je tu kopec umrtvenych webov s vone dostupnym pridavanim komentarov.

ci som alebo nie som optimista, to s tym az tak vela nema.

skor som pragmaticky zvazil to, co si v druhom odstavci sam povedal a ja iba inde potvrdzujem: ich zaujem je, aby tam tie odkazy zostali.

takze naco by sa TERAZ pustali do luskania niektorych typov ochran?

Ja sam mam s jednou z nich super vysledky. Tj. od casu nasadenia ANI jediny pokus. Pokus chap ako to, ze sa niekto pokusil vlozit spam a trebars neuspel.

A to mi staci. Nehatim plany spammerov ukladat komentare na stranky, ktore su polomrtve :-)

A buducnost? Uvidime. Mozno v dobe, ked budem musiet komspam riesit znovu uz budu zasa ine technologicke moznosti.

Co si to nechat posilat na mail -> pre spam filtrovat -> a mail automaticky zpracovat a ulozit do databaze ?
Napsal bych tam neco jako 'vas prispevek byl odeslan ke zkontrolovani a nasledne bude vystaven' ..
Skript by se dal spoustet jen jednou za cas (za 10, 100 sprav) a spam fitr by se dal ucit i na jine vtipne 'spamy' napr 'Prvni!!!!' apod.

Ahoj,
no tak to rovnou m;6e3 na vstup spustit spamassasina....
Matyáš

omlouvám se, m;3e3 = můžeš :-)

a co jeste udelat captcha ve stylu ze se objevi obrazek a vedle toho listbox treba s 3-5ti odpovedmi. neco jako co vidite na obrazku (kde je opicka): 1) domecek; 2)auticko; 3) opicka...
pak je robotovi OCR nanic.. protoze stejne nepozna co je na obrazku ;o) leda zkusit vsechny moznosti. ale kdyz se to skombinuje s metodou /10. Nech sa robot "bonzne" sám/ a ti kdo se bonznou se hned zablokuji, takze dalsi pokus poslat odpoved co precetli ve formulare se jim uz nepovede..
nevidomi tohle bohuzel nerozeznaji ;o(

> predpokladáme, že málokto dokáže písať rýchlejšie ako 50 úderov za minútu

Aha, takže každý, kdo umí psát všemi deseti je spamer? :-)

Rekl bych, ze temer kazdy kdo cte root udela bez problemu 50 char/min. Neni to zadne hrozne tempo.Netreba to nejak dale resit, proste to je autorova zvolena konstanta.

Do diskuzí občas píšu příspěvky o poruše osobnosti.

Existuje několik javascriptovych forku. Napriklad, javascriptem vypocitat nejakou hodnotu do neviditelneho policka formulare. Takze robot musi umet pracovat s javascriptem, coz klade docela velke naroky na sofistifikovanost takoveho robota.

Dalsi moznost je nektere policka pro vyplneni skryt. Pokud budou vyplnene pak je jasne ze posilal zpravu robot.

Btw. tenhle clanek mi prijde trochu docela o nicem. Polovina z neho je nastin naprosto hloupych reseni, jako "myslenkove pochody" administratora. Nevidim v nich zadny podstatny prinos.

Len akonahle sa tie javascriptove forky rozsiria, tak si spammeri do svojich botov zacnu davat kod na spracovanie javascriptu, napr. zoberu ho z otvoreneho kodu IE ;-) Javascriptove forky je uloha, ktora je strojovo riesitelna v "kratkom case".

Naproti tomu "semanticke testy", ako napr. spomenute obrazky auto/dom/strom/binarny ladin a clovek ma vybrat z listboxu, obecne strojovo riesitelne nie su (jedine enumeraciou poloziek z listboxu, ak je ich malo, ale admin ich nemusi dat nutne do listboxu, mozu byt trebars napisane v texte nad formularom). Tj. spammer moze naucit bota rozoznavat tych par obrazkov, potom admin zmeni otazku na "co je ta ptakovina v lavom hornom rohu" a zmeni polozky v listboxe. Akonahle si to kazdy admin spravi podla seba, tak spammer bude mat na praci rucnu upravu bota presne tolko krat, kolko webov chce zaspamovat. Pritom zmena otazky/obrazkov/odpovedi adminovi zabere trebars 10 minut, spammerovi 10 minut krat pocet spamovanych webov.

Totiz kod bota, ktory by "chapal semantiku", bude rast nado vsetky medze, to uz fakt sa spammerovi viac oplati zaplatit tych cinanov ;-)

Jenze tim kladete dalsi naroky na uzivatele. Idealni je takove reseni, ktere spameri neprojdou aniz by si uzivatel vsiml ze neco takoveho deje.

V tuto chvili je javascript idealnim resenim. Az se na to spameri adaptuji, tak ve svem PHP (JSP) skriptu budete nahodne menit nazvy policek pro vyplneni. Takze spamer nepozna ktere policko ma byt vyplneno a ktere ne. Az se adaptuji na to. Tak jim misto hidden policek skryjete policka pomoci DIV bloku a css stylu, takze pak nepoznaji jestli blok uzivatel vidi nebo nevidi. Ty skryte policka se mezi neskrytymy muzou vyskytovat vcelku uplne nahodne a navic s ruznymi jmeny, takze dokud spamer nerozlouskne vasi metodiku generovani nazvu, nebo nevyresi jak zjistit co se zobrazuje a co ne, tak mate na dlouhou dobu vystarano.

Mate vystarano nejmene na dalsich deset let dopredu, nez se spameri adaptuji i na tohle a pak urcite prijdete na spoustu jinych moznosti, ktere ale nezatizi uzivatele a to bude jejich nejvetsi prednost oproti obrazkovym metodam.

Btw. obrazkova metoda je dosti bezzuba, ve chvili kdyz spamer udela samoadaptovatelny kod, ktery pri volbe z nekolik moznosti bude vybirat tak dlouho dokud se netrefi (klidne s pulhodinovym intervalem). No a kdyz ani to nepomuze tak muze vyuzit sofistifikovaneho spamklienta kdy bude pomoci nejakeho Spyware sledovat co vlastne ti uzivatele klikaji kdyz chteji odeslat prispevek a podle toho bude volit i on pri odesilani spamu.

Proto si myslim, ze je nejlepsi volit v tuto chvili nejjednodussi metodu, kterou soucasni spameri neumi zvladnout. A cekat dokud se nezlepsi a pak pouzit slozitejsi. A az vystrilime vsechny automatizovane, tak zacneme prechazet na ty ktere zatizi uzivatele. Ale na to je jeste spousta casu.

Jj, zatim by mal js stacit, aj ked z hladiska cistoty kodu je to IMHO prasarna, nicmene funkcna.

Vyplnovanie nahodnych policok: ak ich bude zopar, je to rovnake ako triafat spravnu odpoved z listboxu, do polhodiny sa mu to najskor trafit podari (samozrejme je lepsie mat moznosti mimo listbox, pretoze spammerov bot nevidi, co su za moznosti, kym sa sam spammer na stranku nepozrie). Viditelnost sa da riesit tiez obslahnutim rendering engine.

IMHO najlepsie automaticke riesenie je take, ze si kazdy webmaster vymysli vlastny uchylny system :-) Pretoze inak spammer proste vygoogli urcity typ boardu a bude spamovat stranky s tym druhom softu, co je pre spammera asi najjednoduchsie.

Vzhledem k tomu, že enginy WWW prohlížečů Gecko, KHTML i MSHTML se dají přilinkovat k jakémukoli programu a stránka se místo klikání dá ovládat tímto programem, je celkem jednoduché udělat automat, který bude mít všechny schopnosti prohlížeče.

Teoreticky nepochybne ano, realita je ale momentalne taka, ze na nasich sajtoch za 3/4 roka od nasadenia ochrany proti form spamu formou vyzadovania podpory JS+cookies od UA nepresiel ani jediny (pred tym to boli radovo desiatky tyzdenne), pricom negativny vplyv na mnozstvo beznych prispevkov to nemalo.

Semanticke testy naproti tomu otravuju navstevnikov, nie su velmi zlucitelne s pristupnostou (rozhodne nie viac nez vyzadovanie JS) a na korporatnych weboch ich zadavatelia nechcu.

uz sa tesim ako nejaky drbnuty matfyzak, namiesto pretahovania spoluziacok v snahe ukojit svoje analyticke ego, publikuje instantne riesenie na webe pre dobro ludstva a hlavne s cielom byt prvy a jediny genialny.

a samozrejme tym spamerov, ktori nepovazuju pracu myslienok za obchodne zaujimavu, ponukne k implementovaniu jeho riesenia.

este stastie, ze pragmatici nemudruju nad spamom a antispamom ale tvrdo idu na efektivitu a ta spociva v tom, ze nebudem travit cas analyzami a filozofovanim nad sofistikovanymi rieseniami, ktore neodstrania zakladnu poziadavku: mam web a nechcem seba a ani citatelov zatazovat antispam rieseniami.

javascript ponuka ludom, co su aktivne proti spamu vysadeni moznost jednoduchej nenarocnej ochrany prave v tom, ze roboti hladajuci FORMy ako obete pre spam, ich neuvidia. A pretoze spamera skor zaujima moznost zotrvania ich prispevku na webe, tak nehladaju momentalne riesenia ako odrbat takychto ludi. Aj preto, ze takito ludia by publikovany spam na webe dlho neponechali. Takze premyslanie nad implementovanim javascriptoveho luskacika je pre spamera neefektivne. Obeti vo forme stranok, na ktore ich majitel kasle, bude vzdy stale dost.

Takze mili majitelia webov - aplikujte co najjednoduchsie riesenie pre seba a potom pre citatela. Take, aby ste na SPAM zabudli a nie iba "riesili".

..som videl kdesi na jednom serveri - zobrazili sa fotky 6 zien, z ktorych 5 bolo skaredych a iba jedna pekna a mali ste vybrat tu peknu :-). Toto asi nejaky bot len tak neprelomi :) Jedine zeby si hodil random, ma sancu 1:6 :)

A chvili bude zkouset a nakonec to trefi :))

Je ještě jedna metoda, vhodná jako doplňková. Nechte každého uživatele aby si sám určil co vidět chce a co ne. Přidejte tlačítko ignore do každého příspěvku a ke každému threadu uživatelé si spamy odfiltrují sami, a to dokonce včetně trollů, tapetářů a podobné verbeže. Příklad třeba zde http://portal2.dkm.cz/phorum/list.php?f=2

ano, to je ucinne pre fora, kde sa premelie kvantum citatelov.

akonahle produkcia spamu prevysi aktivitu citatelov, tak sa to zruti ako domcek z karat.

moznost zapojit do hry citatelov je ale dobry napad, samozrejme skor ako prirodzene hodnotenie prinosnosti obsahu.

To co tady ještě nezaznělo. Každý z vás jistě posílal SMS zprávu.
Další možností je také JavaScript.

Mozna by bylo dobre hlidat jak url stranky tak udelat minutove zpozdeni pro novy prispevek danou osobou, antispamove heslo vygenerovane a falesny input ktery je viditelny pouze pro robota (viz. tvurce Krata pc.poradna.net) ujistuji ze tato metoda funguje dost dobre.

Ano - to přejmenování políček na nějaké nesmysly, klidně i trvalé (ne náhodně generované) je naprosto geniální nápad - já mám zkušenost, že když byly políčka pojmenována:
email, www, autor, text, tak tam hned byl spam, ale jak jsem je přejmenoval třeba na
ewhbdh, dhhdrtf, gdsg, ysdfgfesa tak spam zmizel a zatím se neobjevil - podstatou této ochrany je, že žádný spamer není tak aktivní, aby psal bota výhradně pro každý web zvlášť, ale rovnou univerzálního. Zkrátka geniální...