Spam guestbookowy

Internet jest dzisiaj zaczepiście popularny, każdy dzieciak chce mieć teraz własną stronę (albo dostał takie zadanie domowe). A do strony najlepiej mieć guestbooka, aby ziomale mogli się wpisywać. Guestbooka najlepiej ściągnąć z sieci, jest kilka gotowców, tu kliknąć, tam kliknąć i już gotowe.

Niestety, spamerzy dostrzegli w tym swoją szansę i zaczeli wykorzystywać guestbooki do nabijania sobie rankingu strony. Jak szukacie czegoś w googlach, to rezultat wyszukiwania najpierw jest dobierany na podstawie dopasowania tego, co chcecie wyszukać z tym, co jest prezentowane na stronie. A następnie wynik jest sortowany według rankingu strony (ang. page rank). Ta strona, która ma najwyższy ranking jest na pierwszym miejscu. Ranking jest tym wyższy im więcej linków prowadzi do tej strony. Są jeszcze inne kryteria, ale o nich nie będę tu pisał.

Guestbooki przeważnie umożliwiają użytkownikom na wpisywanie adresów swoich stron www. I właśnie to wykorzystują spamerzy.

Jak się przed tym bronić?

Spamerzy wykorzystują wyszukiwarki aby znaleźć podatne guestbooki. Dlatego też należy robotom zabronić indeksowania naszego guestbooka. Można to zrobić na 2 sposoby:

1) umieścić robots.txt w katalogu głównym serwisu o zawartości

User-agent: *
Disallow: /guestbook

2) w sekcji HEAD dokumentu HTML umieścić specjalne meta tagi:

<META NAME="ROBOTS" CONTENT="NOINDEX,NOFOLLOW">

Jeżeli nasz guestbook już padł ofiarą spamerów to należy zmienić nazwę katalogu oraz nazwy skryptów odpowiedzialnych za dodawanie nowych pozycji i zabronić robotom indeksowania tych katalogów / plików.

Fajnie by było jakby wysłać do abuse@ ISP danego spamera informację, że taki a taki drań spamuje załączając kopię tych wpisów.

Jeżeli piszemy własnego guestbooka to należy pamiętać o kilku rzeczach:

1) zabronić umieszczania kodu HTML w treści wiadomości, w PHP służy do tego funkcja strip_tags()

2) wszelkie linki dodawać z parametrem rel="nofollow"

3) wymusić moderację - wiadomość zanim się pojawi musi zostać obejrzana i zaaprobowana przez właściciela guestbooka.

4) ewentualnie dodać test Turinga - "wpisz tekst z obrazka" lub "rozwiąż problem" np. (1+5=?) - tak aby tylko człowiek mógł ten test przejść.

5) Należy zapisywać numer IP (łącznie z tym, co poda serwer proxy) - łatwiej wtedy dotrzeć do spamera.

6) zrobić listę adresów IP oraz listę domen z gatunku "tych panów tu nie przyjmujemy"

7) pomimo tego, że niektórzy wyłączają sobie w przeglądarkach wysyłanie tzw. referera oraz, że tą zmienną można łatwo sfałszować - należy go sprawdzać - zapobiega to jednej z form ataku kiedy to niewinny user przebywając na spamerskiej stronie spamuje guestbooki osób trzecich. Tym typem ataku posługuje się Dmitriy Soldatenko lub Sid Wongvorakul (trudno powiedzieć co jest jego prawdziwym nazwiskiem)

Apropos tego spamera - google wskazuje około 18 tysięcy zaspamowanych przez niego guestbooków.

Komentarze: