¿Por qué los bots de configuración de 'hackers' completan repetidamente formularios web?

Hay algo que no entiendo, una de mis aplicaciones web tiene un pequeño formulario que le permite ingresar su nombre y dirección de correo electrónico para "suscribirse" a una lista de usuarios de un sitio que mantengo. El sitio tiene muy poco tráfico y solo es útil para un número muy pequeño de personas que viven en una ciudad muy pequeña ... no sería de interés para nadie más.

Sin embargo, todos los días, a veces muchas veces al día, alguien (o un bot) ingresa nombres ficticios y probablemente direcciones de correo electrónico falsas en el formulario.

Este formulario ya no está activo en mi sitio, simplemente sigue existiendo como una página huérfana en mi directorio IIS (que me dice que alguien está buscando este tipo de formularios a través de Google, porque no hay una ruta a este formulario si Entras a través de la página predeterminada.

Esto no es una gran molestia para mí, puedo resolver el problema con captcha, pero lo que no entiendo es ¿con qué propósito alguien configuraría un bot para completar formularios repetidamente? Me imagino que debe haber una razón, pero por mi vida no sé por qué.

¿Qué me estoy perdiendo?

Estos son bots que intentan enviarte spam, o peor, intentan explotar tu formulario de contacto para enviar spam a otros.

Por ejemplo, hay varios exploits conocidos para el mail()comando PHP comúnmente utilizados por los formularios de contacto que pueden causar que la dirección TO que ingrese en su código se sobrescriba con datos POST, si no tiene cuidado de cómo maneja los datos que ingresan de tu forma

Algunas formas de prevenir esto:

1. Usa un captcha. Para un sitio con poco tráfico, incluso un captcha estático (una imagen que siempre tiene el mismo texto) funcionará muy bien.

2. Verifique el HTTP referrerpara asegurarse de que la POST proviene de su formulario de contacto. Sin embargo, muchos bots se burlarán de esto, por lo que no es terriblemente útil.

3. Use campos de formulario ocultos para intentar engañar a los bots. Por ejemplo, cree un campo llamado phone_numberen su formulario y escóndelo con CSS en su hoja de estilo (pantalla: ninguno). Un bot normalmente completará ese campo (generalmente completa todos los campos para evitar posibles errores de validación del campo requerido) pero un usuario no lo haría, ya que está oculto. Entonces, en POST verifica un valor en ese campo y SILENCIOSAMENTE no puede enviar el mensaje si hay un valor en él. Encuentro que este método solo es altamente efectivo.

Estos bots intentan ciegamente todas las formas que encuentran para enviar correo no deseado. Algunos de ellos pueden tener datos históricos de formularios e incluso si no están actualmente en la lista en los motores de búsqueda, estos bots pueden publicar datos en esa URL.

Digamos que un sitio web contiene un formulario HTML para enviar una recomendación a un amigo, por lo general, "Dile a un frito" o "Enviar tarjeta de felicitación", que no está protegida por una imagen CAPTCHA, por ejemplo. Un bot podría usar el formulario para enviar miles de correos electrónicos no deseados utilizando su servidor SMTP.

Si el bot proviene de la misma dirección IP, puede bloquear esa dirección en IIS o en su firewall.

Si de alguna manera pueden ingresar a su servidor e implantar software en él sin que se dé cuenta, ese es un robot adicional para ellos.

Estar registrado está un paso más cerca de poder hacerse cargo de un servidor, ya que puede ver un poco más de los archivos en el servidor.

Además, si el formulario no está protegido contra XSS y otras tácticas similares, la piratería es aún más fácil.

Usualmente intentan falsificar comandos HTML / PHP / ASP personalizados cuando presionan enviar, se usa como puerta trasera para troyanos, etc.

Comentario spam es una de las razones. Intentan agregar muchos enlaces en los comentarios del blog, por ejemplo, en un intento de elevar el rango de su página.

Algunos de ellos simplemente parecen completar cualquier formulario que ven con enlaces a sitios pornográficos con la esperanza de que en algún lugar, los enlaces en el formulario aparecerán en su sitio y serán recogidos por Google.

Tuve mucha suerte bloqueando bots con algunas reglas mod_Security personalizadas.