Datum: 13.05.2008, 20:33 - Autor: Manko10

Da ich im Web immer wieder das Bedürfnis nach konventionellen CAPTCHAs vernehme, um Spam zu vermeiden, habe ich mich entschlossen, dieses Tutorial noch zu erweitern. Immerhin ist das sog. Honey-Feld noch längst nicht alles.
Was also sollte man noch unternehmen, damit grafische CAPTCHAs wirklich der Vergangenheit angehören?
Um diese Frage zu beantworten betreiben wir ein wenig Bot-Psychologie.
Was will ein Bot erreichen und wie erreicht er das?

Ein Bot will zunächst einmal Formulare vollspammen, das ist vollkommen klar. Aber es geht noch genauer.
Zum Beispiel wollen Bots die Seitenbesucher dazu bringen, auf von ihnen gepostete Links zu klicken, die meist zu irgendwelchen Phishing-Seiten führen.
Damit haben wir auch gleich den Punkt 1:

Punkt 1: Bots posten Links

Links kann man schon von vornherin herausfiltern. Enthält ein Beitrag Links, so wird er nicht angenommen. Doch was ist, wenn User durchaus Links posten dürfen? Dann zählt man eben die Links in dem Post. Mehr als vier Links in einem Beitrag von 400 Zeichen ist wohl weniger von einem User als viel mehr von einem Bot.
Vergleicht man also die Länge des Beitrags mit der Anzahl der Links, so kann man Bots ziemlich sicher herausfiltern.

Gehen wir weiter. Was wissen Bots über deine Anwendung? Handelt es sich um eine bekannte Software oder ist es eine selbstprogrammierte Anwendung?
Im letzten Falle hast du eine weitere Methode, mit der du Bots filtern kannst.

Punkt 2: Bots sind dumm

Bots wissen in der Regel relativ wenig über deine Seite und wissen deshalb auch nicht, wie sie die Links am besten auszeichnen. Deshalb versuchen sie es meist gleich auf mehrere Arten.
Zum Beispiel so:

Code:
1: 2: 3: http://example.com <a href="http://example.com">http://example.com</a> [url=http://example.com]http://example.com[/url]

Ist das nicht etwas verdächtig? Sieht das nicht nach Spam aus?
Fazit: findest du mehrere gleiche oder ähnliche Links, die auf verschiedene Arten versucht wurden, auszuzeichnen, so kannst du mit ziemlicher Sicherheit auf Bots schließen.

Aber ganz so dumm sind Bots nun auch nicht. Immerhin wollen sie nicht, dass sie sofort erkannt werden.

Punkt 3: Bots wollen unerkannt bleiben

Oft versuchen Bots auch, solche Filterungen zu umgehen und verschleiern ihre Postings.
So könnten sie z.B. viele Leerzeichen einfügen.

Code:
1: < a href="http://example.com"> http://example.com < / a >

Mal ehrlich: welcher User würde so einen doch recht unübersichtlichen Code posten?
Aber es geht auch ein wenig raffinierter. Man kann den ganzen Mist auch hexadezimal kodieren.
Obiger URL sähe dann so aus:

Code:
1: http://example.com

Im Browser würde das wieder als http://example.com erscheinen.
Es hilft also nicht, nur nach dem String "http://" Ausschau zu halten, sondern auch nach übermäßig vielen Hexadezimal-Kodierungen. Kein User würde sich die Mühe machen, seine Links zu kodieren.

Gehen wir zum nächsten Punkt.
Was machen Bots noch? Na klar, sie bieten gewisse Produkte für Manneskraft und Verlängerungen bestimmter Körperteile in Form kleiner Pillen an.
Oder etwas neutraler: kostenlose Softwaredownloads.

Punkt 4: Bots preisen gewisse Produkte an

Dies ist der einfachste und zumeist auch wirkungsvollste Teil. Ein Spam-Wortfilter ist eigentlich unerlässlich. Von pharmazeutischen Produkten in verschiedensten Schreibweisen bis hin zu free software downloads ist im Grunde alles dabei. Sei hier kreativ.
Am besten du blätterst auch deine Spam-Mails durch (aber bitte nur bei deaktiviertem HTML ) und schaust nach, was dir da so angeboten wird.
Die häufigsten Ausdrücke steckst du dann in einen Spam-Wortfilter. Der Erfolg ist verblüffend.

Aber es gibt noch mehr. Eine Eigenschaft, die Bots haben und die User nicht haben, ist die, dass sie Computerprogramme sind und somit in der Regel schneller beim Tippen, als Menschen.
Also der nächste Punkt:

Punkt 5: Bots haben es eilig

Ein Mensch benötigt je nach Größe des Formulars eine bestimmte Zeit. Gönne ihm die und schreibe auch Bots vor, dass sie sich daran halten müssen. Es wird bestimmt kein User auf die Idee kommen, in 10-20 Sekunden seinen Post mehrmals abzusenden. Bei Kommentarfunktionen kann es sogar noch mehr Zeit sein.
Ebenfalls empfehlenswert ist die Prüfung auf doppelte Posts. Wird (unabhängig vom Zeitraum) ein bereits bestehender Post erneut gesendet, so ist dies entweder ein Fehler des Users (wollte er bestimmt nicht) oder du hast wieder ein Maschinchen mehr auf deiner Seite.

Zum Schluss gibt es noch einen sehr wichtigen Punkt, den du mit in deine Spamabwehr aufnehmen solltest.
Bots wissen zumeist nicht, wofür dieses und jenes Feld dient und füllen es nach Gutdünken aus (evtl. abhängig vom Namen des Feldes).
Somit haben wir die für dieses Tutorial letzte Spam-Abwehrmethode entdeckt, die übrigens - wie der Spam-Wort-Filter - eine der wirksamsten ist.

Punkt 6: Bots wissen nicht, was sie tun

Ein User ist intelligent, ein Bot nicht. Ein User weiß in der Regel, was man von ihm erwartet, ein Bot nur beschränkt. Wenn ein Feld so auffällig benannt wurde, wie email_address oder first_name, dann wird er es mit Sicherheit sinnvoll ausfüllen.
Aber wie ist es mit einer kryptischen Bezeichnung? Hier weiß der Bot nicht mehr, was er einfügen soll (oder ob er überhaupt etwas einfügen soll).
und genau hier kannst du ansetzen. Prüfe jedes Feld auf sinnvolle Werte. Kein Mensch hat Sonderzeichen und Zahlen geschweige denn Links in seinem Vor- oder Zunamen. Auch ein 250-jähriger User ist wohl eher selten auf deiner Seite unterwegs. Wie sieht es aus mit dem Wohnort? Kennst du jemanden, dessen Ortsname ein @ beinhaltet?
Die Inhalte sind letztendlich immer das, was einen Bot verrät.

An dieser Stelle höre ich auf. Dir fällt sicherlich noch mehr ein, wie man Bots austricksen kann (aber dabei immer schön barrierefrei bleiben! ).
Dieser Artikel (und auch der sehr empfehlenswerte Artikel von Ingo Turski zum selben Thema) sind natürlich nicht zum direkten Übernehmen gedacht, sondern zum Anregen, selbst zu denken. Es gibt noch viel mehr Möglichkeiten, Bots auszusperren und je vielfältiger die Ansätze, desto schwerer haben es die Bots. Und das ganz ohne CAPTCHAs.

In dem Sinne: auf ein CAPTCHA- und barrierearmes Web!

Kommentar schreiben:

Ihre Blog-Website wird nicht gefordert. Bitte füllen Sie das Feld nicht aus:

Titel (optional):

Name (optional):

Kommentar: