seit geraumer Zeit versucht ein Spambot auf meiner Seite wahrscheinlich Viagra-Werbung zu plazieren. Laut meinen Logs bekomme in letzter Zeit zunehmend Besuch von folgenden Domains:

vigra.viacrarx.info
cials.viacrarx.info

Bis dato wird der Bot noch von meinem Captcha-System geblockt. Die Frage ist, wie Lange. Was kann ich effektiv gegen diese Zugriffe tun?

MfG F98.

Und verwendest Du für die Seite selbstgebaute Scripts, oder greifst Du auf ein gängiges CMS zurück?

Erwartest Du, daß sich jemand speziell an Deiner Seite zu schaffen macht, d.h. daß wirklich jemand auf der anderen Seite "Dich" knacken will, oder ist es einfach nur ein generischer Bot, der irgendeinen Datenbank der Reihe nach abfährt?

Daraus würde ich zunächst mal eine Risikobewertung ableiten.

Eine schöne Variante eines Captchas ist ja, wenn man eine Frage stellt, und man muß die Antwort eintippen, statt das einfach nur abzuschreiben. Da hat ein Spambot mit Texterkennung dann vielleicht "3+4" verstanden und schreibt "3+4" in das Editfeld, statt einer "7"...

Schau Dir mal die Anfragen genau an, dann kannst Du sagen, ob es sich um Referrer-Spam handelt, der Dich im Grunde ja nicht zu kümmern braucht, sofern Du die Referrer nicht öffentlich anzeigst.

Ich verwende als CMS Wordpress 2.8.4 mit Simple CAPTCHA und WP-Slimstat und pflege immer sofort die neuesten Bugfixes ein.

Das Simple CAPTCHA möchte als Eingabe fast unlesbare Zahlen-Codes.

Die o.g. Seiten vermiesen mir u.a. meine WP-Slimstat-Statistiken, indem sie durch die vielen Zugriffe prozentual sehr häufig auftauchen. Auch ändert sich ständig die Subdomain:

viaga.cialos.info
viafra.cialos.info

cials.levetria.info
viagera.levetria.info

veagra.cialiserx.info
vigira.cialiserx.info

viagara.cialise.info
cilias.cialise.info

cials.viacrarx.info
vigra.viacrarx.info

usw.

Sieht also eher nicht (nur) nach referer-Spam aus, sondern vordergründig nach einem System, was Blacklists + Captchas austricksen will. Ich würde da schon gerne etwas effektiver vor- und durchgreifen wollen, bevor das Kind in den Brunnen gefallen ist. Deswegen meine Frage hier.

Woraus Du schließt, dass das Versuche sind, Deine Captchas zu umgehen, weiß ich nicht, aus den Informationen, die Du hier gepostet hast, ist das definitiv nicht ersichtlich.

ansonsten guck dir mal deine referrer statistik an, um nmans vermutung zu überprüfen.

Meine eigenen Logs haben folgendes Muster:

TIME                REMOTE_ADDR    REMOTE_HOST HTTP_REFERER                              REQUEST_METHOD
11.11.2009 04:18:52 89.28.114.111              http://viagr.usvigra.info                 GET
11.11.2009 04:18:56 89.28.114.111              http://meineeigeneseite.de/xyz/           GET
11.11.2009 04:32:35 89.28.114.111              http://vaiagra.usvigra.info/site_map.html GET
11.11.2009 04:32:37 89.28.114.111              http://meineeigeneseite.de/xyz/           GET

Ich hatte noch ein zus. Plugin "Bad Behaviour" installiert. Dessen Logs zeigen dazu folgendes:

89.28.114.111
89-28-114-111.starnet.md

2009-11-11 03:32:39

Prohibited header 'Proxy-Connection' present 	GET /xyz/ HTTP/1.0
Accept: */*
User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; MRA 4.6 (build 01425))
Referer: http://meineeigeneseite.de/xyz/
Host: http://meineeigeneseite.de/
Proxy-Connection: Keep-Alive

89.28.114.111
89-28-114-111.starnet.md

2009-11-11 03:32:37

Prohibited header 'Proxy-Connection' present 	GET /xyz/?p=1884 HTTP/1.0
Accept: */*
User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; MRA 4.6 (build 01425))
Referer: http://vaiagra.usvigra.info/site_map.html
Host: http://meineeigeneseite.de/
Proxy-Connection: Keep-Alive

89.28.114.111
89-28-114-111.starnet.md

2009-11-11 03:18:58

Prohibited header 'Proxy-Connection' present 	GET /xyz/ HTTP/1.0
Accept: */*
User-Agent: Mozilla/4.0 (compatible; MSIE 7.0b; Windows NT 6.0 ; .NET CLR 2.0.50215; SL Commerce Client v1.0; Tablet PC 2.0
Referer: http://meineeigeneseite.de/xyz/
Host: http://meineeigeneseite.de/
Proxy-Connection: Keep-Alive

89.28.114.111
89-28-114-111.starnet.md

2009-11-11 03:18:55

Prohibited header 'Proxy-Connection' present 	GET /xyz/?p=1884 HTTP/1.0
Accept: */*
User-Agent: Mozilla/4.0 (compatible; MSIE 7.0b; Windows NT 6.0 ; .NET CLR 2.0.50215; SL Commerce Client v1.0; Tablet PC 2.0
Referer: http://viagr.usvigra.info
Host: http://meineeigeneseite.de/
Proxy-Connection: Keep-Alive

Ich hatte noch ein zus. Plugin "Bad Behaviour" installiert.

Fein, das hätte ich Dir als nächstes empfohlen.

Ansonsten gibts auch ein paar IP-Blacklists, die Du verwenden könntest. Habe leider gerade keine Bookmarks zur Hand.

hustbaer schrieb:

OK, die IP scheint bekannt dafür zu sein Spam zu posten - kannst ja einfach mal nach "89.28.114.111" suchen (Google)

Cool. Und Referrer-Spam verteilt er noch gleich dazu (siehe oben), die Spambots werden mittlerweile richtig schön multifunktional.

Wenn ich das richtig verstehe ist das also so eine richtige Spam-Ratte. Wie kann ich am effektivsten dem Müll von "89.28.114.111" standhalten?

Wenn es ein Rootserver ist, ganz brutal mit einer iptables-Regel, sowas ungefähr:
iptables -A INPUT -s 89.28.114.111 -j DROP (Oder REJECT, je nach persönlicher Vorliebe.)

Ansonsten gibts doch bestimmt auch IP-Blacklists für Wordpress, oder?

Man kann Bad Behaviour an eine Blacklist (BL-Key) anbinden oder in Worpress direkt die IP in die Kommentar-Blacklist unter "Einstellungen › Diskussion" eintragen. Letzteres unterbindet natürlich nicht generell die Seitenaufrufe von 89.28.114.111

Die Kommentar-Geschichte reicht Dir nicht aus, weil das immer noch Deine Logs zumüllt, richtig?

Aber spricht irgendwas gegen die Blacklist von Bad Behaviour?

2. Bin mir nicht sicher, wie weit "vorne" Bad Behaviour potentielle Kandidaten abfängt. Rootserver habe ich nicht, deswegen muss es etwas sein, was wie ein Eintrag in der .htaccess wirkt, also noch bevor die index.php zum Zucken kommt.

Hm, wenn Du was willst, was sich wie ein Eintrag wie in der .htaccess verhält, warum machst Du dann keinen Eintrag in der .htaccess?

http://httpd.apache.org/docs/2.0/mod/mod_access.html#deny

Das gilt doch aber nur für ein Verzeichnis, wo die .htaccess drin liegt?

Und für alle Unterverzeichnisse.

Danke für die Tipps.