¿Cómo encuentran la página de 'registro de nuevos usuarios'? (Estoy especialmente sorprendido porque algunos foros no tienen una URL dedicada para esto, por ejemplo, www.forum.com/register.html, sino que utilizan cadenas de consulta o incluso otros métodos invisibles para la barra de URL)
Encuentran nuevos sitios por:
- Rastreando y buscando firmas de software conocido. Por lo general, este es un fragmento de texto como un copyright o una metaetiqueta, pero podría ser cualquier identificador consistente. Esto generalmente se aplica al software de blogs y foros.
- Inclusión manual. Los seres humanos, cuya mano de obra es barata en muchas partes del mundo, buscan software o formularios conocidos que sean fácilmente explotables y los agregan a una base de datos. Esto generalmente se aplica al registro personalizado y a los formularios de contacto.
- Ellos compran listas. Al igual que las direcciones de correo electrónico son vendidas por spammers, también se venden listas de sitios de destino conocidos vulnerables o preferidos.
¿Cómo saben qué ingresar en cada campo de 'registro de nuevo usuario'?
Saben qué ingresar en cada campo utilizando los nombres de los campos como guía. El 99,99% de las veces el campo de dirección de correo electrónico se denomina "correo electrónico" o algo que contenga la palabra "correo electrónico". No es necesario ser un científico espacial para saber que ese campo probablemente sea para una dirección de correo electrónico. Para cosas como nombres, ID de inicio de sesión, direcciones, etc., funciona según el mismo principio.
¿Cómo determinan qué es una página en la que pueden enviar spam / ingresar datos y qué no?
No les importa Las herramientas automatizadas pueden probar tantas formas en un período de tiempo tan corto prácticamente sin costo, por lo que probar todas las formas posibles es obvio. Cuando se trata de trabajo humano, pueden ser "guionistas" y probar lo obvio para ver si obtienen algún tipo de respuesta que indique que el formulario es potencialmente vulnerable. Básicamente, cualquier formulario es un objetivo potencial para ellos, como lo es cualquier página que acepte la entrada del usuario.
¿Cómo funcionan los foros de spam?
¿Incluso 'ven' esta página? Si no, entonces supongo que se están comunicando con el servidor directamente, ¿cómo es esto posible? ¿Cómo lo hicieron?
¿De dónde vienen los spambots? ¿Se está riendo alguien sentado detrás de la computadora mientras observa a su bot destruir sitio tras sitio? ¿O se están riendo, ya que simplemente lo 'lanzan' en Internet de alguna manera? ¿Los spambots son "ejecutados" por una computadora infectada en alguna parte? ¿Se replican ellos mismos?
Todo está automatizado. Las herramientas como xrumer se crean y venden, y contienen la capacidad de explotar software con vulnerabilidades conocidas. Cualquiera puede comprarlo y después de configurarlo, más o menos dispara y olvida. Accede a todos los foros de su lista y trata de enviarlo lo mejor que puede. Solo por la fuerza bruta es exitoso y vale la pena para los spammers. Por eso nunca se detienen. Apenas tienen que levantar un dedo para que funcione.
¿Pueden los spambots del foro romper CAPTCHA? ¿Pueden resolver preguntas lógicas (¿cómo?) Preguntas de matemáticas?
Si, pero no siempre. Depende de qué tan bien se implemente. Pero muchos captchas, incluidos los ofrecidos por las grandes empresas, han sido golpeados y son efectivamente inútiles. Es por eso que se requieren múltiples formas de protección para detenerlos. Incluso entonces, los humanos generalmente pueden vencer a cualquier sistema.
¿Qué técnicas siguen siendo válidas para prevenirlas?
De una respuesta anterior : podría hacer varias cosas (y debería estar haciendo más de una) incluyendo:
1) Poner un campo falso que solo los bots verán. Luego, si ese campo se envía con el resto del formulario, puede ignorarlo (y prohibirlo si lo desea). También puedes atrapar a los robots malos que siguen un enlace oculto .
2) Use un CAPATCHA como reCAPTCHA
3) Use un campo que requiera que el usuario responda una pregunta como qué es 5 + 3. Cualquier ser humano puede responderla, pero un bot no sabrá qué hacer, ya que se rellena automáticamente en función de los nombres de campo. Por lo tanto, ese campo será incorrecto o faltante, en cuyo caso el envío será rechazado.
4) Use un token y póngalo en una sesión y también agréguelo al formulario. Si el token no se envía con el formulario o no coincide, entonces está automatizado y puede ignorarse.
5) Busque envíos repetidos desde la misma dirección IP. Si su formulario no recibe demasiadas solicitudes, pero de repente es probable que esté siendo golpeado por un bot y debería considerar bloquear temporalmente la dirección IP.
6) Usa Akismet . Es excelente para identificar el spam.
Los programadores talentosos (aunque malvados) los escriben: probablemente haya tantos tipos diferentes de spambots como personas que los escriben, pero, desafortunadamente, solo unos pocos autores de spambot comparten y venden su trabajo para arruinar la vida de los administradores ...
Una aplicación popular de spam en el foro se llama "xrumer".
Si bien me doy cuenta de que esto no responde a todas sus preguntas, creo que vale la pena mencionar que cualquier cosa que un bot no pueda hacer bien (como resolver preguntas complejas de lógica no estática) puede hacerla un trabajador mal pagado en el extranjero. El spam es un negocio muy parecido a cualquier otro y no faltan mano de obra barata para enviar mensajes de spam.
fuente
Hice complemento Anti-Spam para WordPress , que bloquea el spam bastante bueno sin Captcha o cualquier otra cosa.
Cómo funciona: se agregan dos campos adicionales al formulario de comentarios. Primero está la pregunta sobre el año actual. El segundo debe estar vacío. Si el usuario visita el sitio, entonces el primer campo se responde automáticamente con javascript, el segundo campo se deja en blanco y ambos campos están ocultos e invisibles para el usuario. Si el spammer intenta enviar un formulario de comentarios, se equivocará con la respuesta en el primer campo o intenta enviar un campo vacío y el comentario de spam será rechazado. El usuario no tiene que ingresar a Captcha ni nada más para demostrar que no es un bot, todo está hecho por javascript.
Puede descargar el complemento y usar el código para resolver problemas con el spam en su sitio.
fuente
Al tratar de derrotarlos, una cosa que debo tener en cuenta es que su propósito es generalmente publicar enlaces a tantos sitios web como sea posible para el beneficio de SEO de sombrero negro.
Se preocupan por la cantidad de sitios a los que obtienen acceso, y no específicamente por su sitio. Alguien que solo quiera enviar spam solo a su sitio podría simplemente registrarse sin usar un robot.
Como tal, estoy bastante seguro de que una prueba a medida bien escrita (por ejemplo, preguntas a las que los miembros de su foro sabrán la respuesta) casi siempre será más efectiva contra los robots que cualquier prueba preescrita que los robots probablemente sean sabios a.
Por ejemplo, si un robot descifró Recaptcha, tendría acceso a millones de formularios para enviar spam. Si rompió una prueba a medida, entonces solo tendría acceso a un sitio web, por lo que ningún bot de spam automatizado se molestará en hacerlo.
https://www.projecthoneypot.org puede proporcionar algunos buenos datos para usar (por ejemplo, palabras clave y ips para bloquear)
fuente