スパムボットをサーバーに直接POSTするか、HTMLフォームに記入しますか？

Question

私が取り組んでいるウェブサイトの登録フォームにCaptcha（またはRecaptcha）の代わりを使用しています。

CaptchaがUXに悪影響を与えると私は信じています。私は隠しフィールドを使用してに探していたが、どうやら彼らはすべてでは有効ではないです（参考：http://radio.javaranch.com/davo/2008/10/15/1224063498569.html）

その記事の状態にコメント：私の仕事の一部としてCAPTCHAクラッカーを書き込み誰かとして

（いいえ、 迷惑メール用ではありません）、私は隠されたフィールドが決してトリップしないことを保証することができます 私をアップします。言及された別のポスターとして、私は のワイヤートラフィックをチェックし、 フォームのHTMLに何が起こっているかにはほとんど注意を払わない。

これは、私には、フォームをリクエストして記入するのではなく、サーバーに直接POSTリクエストを送信すると考えられました。

この場合、SESSIONに保存されているハッシュで事前設定された非表示の読み取り専用フィールドを作成するとどうなりますか？ユーザーがフォームを送信すると、値を比較できます。これはスパムロボットを遠ざける方法として機能するのでしょうか、何かを監督していますか？

フォームが決して要求されないならば、私はもちろん、セッションで保存されたハッシュも見つからないので、要求を無視することができます。

Answer 1

チャレンジをサーバー側セッション変数に関連付ける別のフィールドを追加するのは良い方法です。フォームを読み込んで解析し、記入して別のリクエスト（必要なクッキーに沿って送る）をしなければならない、スパムボットの側でかなりの労力が必要になります。

JavaScriptを追加して特定のチャレンジを変更し、特定の方法で変更することも考えられます。攻撃者は、自動化された方法でコードを複製する前に、コードが何をするかを調べる必要があります。変換は単純なrot13以上の複雑な操作xorです。 md5、sha1のようなものは確立されたアルゴリズムなので、それらは貧しい選択です。それは習慣でなければならない。

もちろん、攻撃者があなたのサイトのターゲット設定に縛られている場合、迷惑メールの流入を防ぐ方法はあまりありません。それは醜い真実です。たとえば、Seleniumを実行して、慎重に組み込まれたすべてのJavaScript保護を回避することができます。

Answer 2

私はそれがボットに依存していると思います。誰かがあなたのサイトをターゲットとした場合、これは非常に簡単に回避することができます。フォームと

1. リクエストページやフォームに必要事項を記入し、提出するセッション値
2. に充填します。

私はそれがほとんど保護されていないと言います。

悲しいことに、私はあまりにもボットの現在の状態とその仕組みに慣れていないので、これはこの実装を回避するのがどれほど簡単かという私のインプットです。

Answer 3

異なるスパムロボットは異なる方法を使用します。

しかし、ほとんどの柔軟なスパムボット：フォームと 1.要求ページ 2.それはいくつかの満たされた値であるフィールドと 3.送信POST要求が含まれているどのようなフィールド読み

よろしい、そのすべてを望めませんボットは、あなたの "フォームセッショントークン"入力を見つけ出して残すことができます。あなたは、すべてのボットがjavascriptを使用できることを確かめることはできません（保護するもう1つの方法 - 必須フィールドを追加するにはjを使用します）。しかし、ボットは大きく異なります。

Answer 4

残念ながら、あなたのサイトをターゲットにしているスパマーが残っている可能性があります。手動でログインと登録を実装した場合、あなたのフォームに特別に合わせることなく、サインアップできるロジックを持つスパムロボットは存在しそうにありません。

他の解決策は役に立ちますが、中には適度に決定されたスパマーも防止できません。たくさんのスパムロボットがブラウザプラグインとして動作しますので、スパムロボットがJavaScriptを評価できない、または最初にフォームを呼び出さないことを信頼することは、あなたを非常に長く支援することはまずありません。少なくとも、登録のためのCAPTCHA（おそらく、各投稿、またはあなたのサイトが何をしていても、アカウントが手動で承認されるまで）はおそらく必須となります。

あなたはユーザーエクスペリエンスに影響を与えたくないことは知っていますが、ですが、スパムのメッセージとアカウントはCAPTCHAよりもUXにとって害です。弾丸を噛んで、スパマーを遅くするためにできることはすべて行ってください。そうしないと、ユーザーは他の場所に見えます。

許可されたCAPTCHAは完全な解決策ではありません - 人間よりも正確に（場合によっては）解決できるソフトウェアがあります。豊富な朝食シリアルのようなものは、この完全な朝食の一部に過ぎません。そして、正しい思いを抱く者は誰も昼食を忘れることはありません。 ;）

新しいユーザーをモデレートすると非常に役立つことがわかります。