Captcha "einbauen" ? (Perl/CGI)

[thread]18076[/thread]

Captcha "einbauen" ?

Tags: perl5 CGI Similar Threads

Readers: 25

Articles: hide open all | hide show old branches

+24 replies
BerndHennig

2013-01-23 08:34

User since
2013-01-23
2 articles
BenutzerIn

G'Day,

ich betreibe seit vielen Jahren einen kleinen Webserver, www.segelflug.de, ein Gateway für Segelflieger halt (d.h. ein kleiner spezieller Teil der Netzgemeinde).

Ein Hauptpunkt des Server sind die (kostenfreien) Kleinanzeigen, seit vielen Jahren laufen hier drüber sehr viele Verkäufe (Zeitungen wollten dafür früher viel Geld, mittlerweile läuft u.a. deshalb viel über die Kleinanzeigen auf dem Server):

http://www.segelflug.de/cgi-bin/classifieds/classi...

Die Software selbst habe ich mal vor Jahren gekauft - ich gebe es gerne zu, ich bin kein Programmierer, komme eher aus dem UNIX Admin Umfeld, d.h. shell-script, mal 'ne schnelle for I in x y z; do; .... Schleife bekomme ich GERADE noch hin, das Perl-Script der gekauften Software so abzuändern das es auf die Segelflug-Kleinanzeigen passt habe ich auch gerade noch so geschafft :-)

Jetzt gibt es böse Buben die die Kleinanzeigen mit blödsinningen Anzeigen fluten - wir ihr seht habe ich recht streng unterteilte Rubriken (Segelflieger sind Chaoten, wenn man da nicht ein bischen die Hand drüber hält endet alles im Chaos...)

Die Eingabemaske

http://www.segelflug.de/cgi-bin/classifieds/classi...

hat sehr viel Text (...den keiner anschaut, sigh), einige Pflichtfelder (ich möchte von Aufgebern den Vornamen, Namen und den Ort wissen).

Jetzt die Frage an die "Gemeinde"

- gibt es "fertigen" Captcha-Code" den ich einbauen könnte (quasi in die Routine der Abfrage der Pflichtfelder z.B. ?)
- sonstige Ideen wie man die "bösen Buben" abhalten kann ?

Wie gesagt, ich bin KEIN (Perl) Programmierer - aber ggf. gibt es ja fertige Routinen die ich verwenden kann....

DANKE für eure Hilfe
Last edited: 2013-01-23 10:14:55 +0100 (CET)
- Muffi
  
  2013-01-23 11:03
  
  User since
  2012-07-18
  1465 articles
  BenutzerIn
  
  Wenn E-Mail eh ein Pflichtfeld ist kannst nen Link schicken und nach dem Anklicken wird der Beitrag erst freigeschaltet.
  Ist allerdings vom Schwierigkeitslevel wohl ein bisschen über Beginner.
  1 + 1 = 10
- +5 replies
- GwenDragon
  
  2013-01-23 11:39
  User since
  2005-01-17
  14749 articles
  Admin1
  Mal kurz nachgedacht und als Text-Captcha ins unreine geschrieben. Kann ja als Anregung dienen.
  
  Code (perl): (dl )
  
  1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39
  
  my @captchas = ( #capID,Frage,Antwort "123456#Farbe des Himmels#blau", "567851#Summe aus Drei und Sieben#10", "918265#Fünf mal Zwei minus Drei#7", "218153#Ein Cirrus ist eine ...#Wolke" ); sub generate_captcha { my $zufallsindex = int rand scalar @captchas; my ($capid,$frage,$antwort) = split /#/,$captchas[$zufallsindex]; return ($capid,$frage,$antwort); } sub check_captcha { my ($id,$answer) = @_; # Leerzeichen entfernen $answer =~ s/^\s//g; $answer =~ s/\s$//g; return 0 if not length($answer); # ungültige leere Antwort return 0 if not ($id =~ /^\d+$/); # ungültiger ID, keine Ziffern my $found = grep /^${id}#.+#\Q${answer}\E$/,@captchas; return $found; } my $captcha_antwort = CGI::param('capans'); my $captcha_id = CGI::param('capid'); my $captcha_geloest = 0; if (!length($captcha_antwort) and !length($captcha_id)) { ($captcha_id, $captcha_frage, undef) = generate_captcha(); } else { $captcha_geloest = check_captcha($captcha_id,$captcha_antwort); }
  
  im Formular dann noch eintragen:
  
  Code: (dl )
  
  1 2
  
  Frage: $captcha_frage <input type="text" name="capans" value="$captcha_antwort"> <input type="hidden" name="capid" value="$captcha_id">
  
  PS: Ich weiß nicht, ob die Lizenzbedingungen von e-classified überhaupt Codeänderungen zulassen.
  
  //EDIT: Tippfehler, muss noch lernen captcha richtig zu schreiben ;)
  Zeile 35 geändert
  Last edited: 2013-01-23 11:58:11 +0100 (CET)
  die Drachin Gwen
  
  Meine Perl-Artikel · perldev – verschiedene Perl-Versionen unter Windows starten
  - kristian
    
    2013-01-24 18:37
    
    User since
    2005-04-14
    684 articles
    BenutzerIn
    
    2013-01-23T10:39:04 GwenDragon
    PS: Ich weiß nicht, ob die Lizenzbedingungen von e-classified überhaupt Codeänderungen zulassen.
    
    Zitat: Lizenz
    "You may modify the source code to customize the "look and feel" of the SOFTWARE PRODUCT for your personal usage on the licensed installation only."
    
    Das sollte IMHO klar gehen.
    
    PS: Ich habe mir die "free-version" gerade mal angetan.
    Mad Write (oder wie hieß der) lässt grüßen ;-)
  - +3 replies
  - Muffi
    
    2013-01-24 19:33
    
    User since
    2012-07-18
    1465 articles
    BenutzerIn
    
    Kein Schutz gegen nen Replay"angriff"
    1 + 1 = 10
    - +2 replies
    - GwenDragon
      
      2013-01-25 10:03
      
      User since
      2005-01-17
      14749 articles
      Admin1
      
      Ich habe nicht gesagt, dass mein Code-Schnippsel alle möglichen Fälle abdeckt. Kann ja mal passieren.
      
      Nicht reden, bitte zeigen wie es richtig geht. ;)
      die Drachin Gwen
      
      Meine Perl-Artikel · perldev – verschiedene Perl-Versionen unter Windows starten
      - Muffi
        
        2013-01-25 10:49
        
        User since
        2012-07-18
        1465 articles
        BenutzerIn
        
        Naja, er deckt relativ wenig Fälle ab. Es reicht, wenn ich ein einziges mal ein Captcha löse, ab dann kann ich wieder spammen wie ich lustig bin.
        
        Was man tun könnte ist eine feste Captchanummer zu bestimmen.
        (nur vom Prinzip her) sowas vielleicht.
        
        Code (perl): (dl )
        
        1 2
        
        my $max_id = sql_fetch("select max(id) from beitraege where email=?", $email); my $captcha_id = $max_id % scalar @capchas;
        
        [EDIT] Das rotiert immer noch recht vorhersehbar im Kreis, also nix um Fort Knox abzusichern, aber für den Haimgebrauch besser als nix.
        
        [EDIT] Ha, ich seh grad, das ist genauso kaputt, wenn die Mail nicht verifiziert wird.
        Last edited: 2013-01-25 11:05:40 +0100 (CET)
        1 + 1 = 10
- +17 replies
- kristian
  
  2013-01-24 12:54
  
  User since
  2005-04-14
  684 articles
  BenutzerIn
  
  Hallo,
  
  ich finde das Thema hat was, zumal wir ja in Deutschland bzw. der EU mit seltsamer Rechtsprechung kollidieren und nicht immer alles können, was wir könnten.
  Ein Captcha an sich ist mit Sicherheit ein Ansatz aber ich bin gerade eben über:
  www.
  ads-programming.
  com
  /index.php?md=browse&idemail=7992
  gestolpert. Ich verlinke das bewusst nicht richtig...
  Damit wird jedes Captcha sinnfrei.
  
  Zum Thema Captcha finde ich auf jeden Fall die von GwenDragon angedachte Version des Text-Captcha besser als die grafische.
  Die Progs zum Auslesen der grafischen sind mittlerweile so gut, dass die Captchas für Menschen schwierig werden.
  
  Die Idee den / die bösen User zu sperren dürfte sich für uns nach EU-Recht erledigt haben, IP-Adressen sind persönliche Daten, man muss ein Angebot, das frei ist, allen zur Verfügung stellen und darf nicht diskriminieren. Das gilt wohl auch für Störenfriede die entsorgt gehören.
  
  Am besten gefällt mir noch die eMail-OPT-IN-Lösung, die Muffi angedacht hat. Das ist solide und mir fällt kein Gesetz ein das dieses Vorgehen verbietet. (was nicht heißt, dass die D****** morgen eins erfinden)
  
  Was meint ihr?
  
  Gruß
  Kristian
  - +16 replies
  - guest Gast
    
    2013-01-24 14:23
    
    2013-01-24T11:54:16 kristian
    Die Idee den / die bösen User zu sperren dürfte sich für uns nach EU-Recht erledigt haben, IP-Adressen sind persönliche Daten, man muss ein Angebot, das frei ist, allen zur Verfügung stellen und darf nicht diskriminieren. Das gilt wohl auch für Störenfriede die entsorgt gehören.
    
    Das 'EU-Recht' schränkt allerdings das einem jeden Websitebetreiber zustehende 'Hausrecht' nicht ein.
    Von daher ist die Verwendung von Captchas, auch wenn diese nur bei bestimmten (u.U. vordefinierten) IPs zum Einsatz kommen, durchaus zulässig.
    Last edited: 2013-01-24 14:27:31 +0100 (CET)
    - +15 replies
    - kristian
      
      2013-01-24 15:11
      
      User since
      2005-04-14
      684 articles
      BenutzerIn
      
      Beim Thema "Hausrecht" bekomme ich schon kalte Füße :-(
      Früher gab es das mit Sicherheit und es war auch alles in bester Ordnung, jetzt aber übernimmt der Staat bzw. die EU die Legislative, Judikative und Executive. Ich fürchte da ist Konkurrenz und selbst Denken nicht mehr so gefragt.
      
      Immerhin war im Jahre 2008 ein ähnlicher Fall noch rechtskonform:
      OLG Hamm bejaht "virtuelles Hausrecht" auf Websites
      Hier war allerdings ein automatisiertes Sicherheitssystem im Einsatz.
      Mir scheint das klappt immer gut, man kann sich im Zweifelsfalle rausreden und die Software als "Schuldigen" präsentieren ;-)
      Vor - für Menschen - unüberschaubaren Datenmengen und Vorgängen haben die Gerichte immer noch Respekt und sind daher für den Einsatz von Kontrollsoftware "empfänglich".
      
      Wie der Richter heute entscheidet kann man allerdings nur noch orakeln.
      Hier geht es ja um einen oder mehrere "böse Buben".
      Ich glaube fast man sollte (wenn es nach denen ginge) wie in der echten Welt die Polizei belästigen und Strafanzeige gegen Unbekannt erstatten, allerdings scheint mir das selbst sehr lächerlich.
      
      modedit Editiert von GwenDragon: Link gefixt
      Last edited: 2013-01-24 16:39:26 +0100 (CET)
      - +2 replies
      - Linuxer
        
        2013-01-24 15:35
        
        User since
        2006-01-27
        3890 articles
        HausmeisterIn
        
        Hinweis: Beim Link auf den Heise-Artikel fehlt das L der Dateiendung; sollte ".html" sein und nicht ".htm"
        meine Beiträge: I.d.R. alle Angaben ohne Gewähr und auf Linux abgestimmt!
        Die Sprache heisst Perl, nicht PERL. - Bitte Crossposts als solche kenntlich machen!
        
        kristian
        
        2013-01-24 18:02
        
        User since
        2005-04-14
        684 articles
        BenutzerIn
        
        2013-01-24T14:35:43 Linuxer
        Hinweis: Beim Link auf den Heise-Artikel fehlt das L der Dateiendung; sollte ".html" sein und nicht ".htm"
        
        Uuups, soory.
        Danke an die Drachin fürs reparieren
      - +12 replies
      - guest Gast
        
        2013-01-24 16:11
        
        2013-01-24T14:11:55 kristian
        Immerhin war im Jahre 2008 ein ähnlicher Fall noch rechtskonform:
        OLG Hamm bejaht "virtuelles Hausrecht" auf Websites
        Hier war allerdings ein automatisiertes Sicherheitssystem im Einsatz.
        OLG-Uteile haben einen langen Atem - da muß schon ein Bundesgericht kommen um das Teil zu kippen.
        Captchas sind (im ersten Ansatz) automatisierte Sicherheitssysteme; das läßt sich dann noch verfeinern auch ohne das IPs gespeichert werden.
        Gegen die programminterne Verarbeitung von IPs kann und wird es keine Rechtsbeschränkungen geben wenn die jeweilige IP nicht gespeichert wird und damit für den Betreiber des Servers unsichtbar bleibt.
        Last edited: 2013-01-24 16:37:15 +0100 (CET)
        
        +9 replies
        
        guest Gast
        
        2013-01-24 17:37
        
        Habe hier eine sauber unterteilte FlatFile DB mit derzeit >200 Mio Bad-IPs (ja - auch die bewussten Chinesen sind dabei), frage daneben die 10 wichtigsten BlackLists ab, prüfe jeden Request auf bösartige Zeichenfolgen, prüfe ob eine IP zu einem Domainnahmen gehört , begrenze die Anzahl der Request pro IP und Zeiteinheit, und sende die Seite mit dem Captcha bei jeder Positivprüfung.
        Klapp seit Jahren hervorragend (sowohl unter Perl als auch unter PHP).
        Speicherung von IPs ist dabei nicht erforderlich und alles läuft in Echtzeit.
        Last edited: 2013-01-24 17:42:16 +0100 (CET)
        
        +2 replies
        
        kristian
        
        2013-01-24 18:03
        
        User since
        2005-04-14
        684 articles
        BenutzerIn
        
        Hmmm, du hast eine DB mit IP`s und sagst im gleichen Atemzug eine Speicherung von IP`s sei nicht nötig.
        Irgendwie passt das nicht so recht zusammen.
        
        guest Gast
        
        2013-01-24 18:35
        
        2013-01-24T17:03:49 kristian
        Hmmm, du hast eine DB mit IP`s und sagst im gleichen Atemzug eine Speicherung von IP`s sei nicht nötig.
        Irgendwie passt das nicht so recht zusammen.
        
        Nein - ich speichere keine IPs von Besuchern meiner Website - das ist der kleine feine Untershied.
        Last edited: 2013-01-24 18:36:24 +0100 (CET)
        
        +6 replies
        
        GwenDragon
        
        2013-01-24 18:22
        
        User since
        2005-01-17
        14749 articles
        Admin1
        
        Du sendest also die IP an fremde Server, du speicherst IPs zum Blockieren.
        Ob das dem deutschen Datenschutz so schmeckt!?
        die Drachin Gwen
        
        Meine Perl-Artikel · perldev – verschiedene Perl-Versionen unter Windows starten
        
        +5 replies
        
        guest Gast
        
        2013-01-24 18:39
        
        2013-01-24T17:22:00 GwenDragon
        Du sendest also die IP an fremde Server, du speicherst IPs zum Blockieren.
        Ob das dem deutschen Datenschutz so schmeckt!?
        
        Nein, ich frage BlackLists ab - die entsprechende IP wird dort nicht gespeichert.
        eMail-BLs funktionieren genauso - ist Dir das entgangen?
        Last edited: 2013-01-24 18:46:16 +0100 (CET)
        
        +4 replies
        
        GwenDragon
        
        2013-01-24 18:48
        
        User since
        2005-01-17
        14749 articles
        Admin1
        
        Blacklists kannst du nur abfragen, indem du eine IP an diese sendest udn auf die Antwort wartest.
        Ich bin sicher, du spiegelst garantiert nicht deren komplette DNS-Daten (kannst du auch nicht).
        
        Damit übermittelst du aber Daten, die von manchen Juristen als Zuordnungsfähig angehsehen werden.
        
        Oder holts du dir von denen etwa IP-Listen auf deinen Server und wertest lokal aus?
        Last edited: 2013-01-24 18:50:05 +0100 (CET)
        die Drachin Gwen
        
        Meine Perl-Artikel · perldev – verschiedene Perl-Versionen unter Windows starten
        
        +3 replies
        
        guest Gast
        
        2013-01-24 23:06
        
        2013-01-24T17:48:14 GwenDragon
        Damit übermittelst du aber Daten, die von manchen Juristen als Zuordnungsfähig angehsehen werden.
        
        Nein - ich vergleiche eine gegebene IP mit dem Inhalt einer Datenbank die auf einem anderen oder auf meinem Server liegt.
        Das ist rechtssicher!
        Last edited: 2013-01-24 23:25:02 +0100 (CET)
        
        +2 replies
        
        kristian
        
        2013-01-25 01:21
        
        User since
        2005-04-14
        684 articles
        BenutzerIn
        
        Wie kommst du auf die Idee?
        Daran ist mit Sicherheit nichts rechtsicher.
        Deine Art der Argumentation und Diskussion scheint mir etwas eigen, wenn ich es mal sparsam formuliere.
        Es kann doch nicht angehen, dass du Argumente mit gleichem Wortlaut negieren willst.
        Früher hätte ich einfach PLONK gesagt.
        
        EDIT;
        Lachhaft aber rein rechtlich darf ich heute nicht mal ein killfile haben...
        Last edited: 2013-01-25 01:25:09 +0100 (CET)
        
        guest Gast
        
        2013-01-25 21:25
        
        Ich hatte keinesfalls die Absicht, Deine vorgefasste Meinung durch läppische Tatsachen zu erschüttern :-))
        Last edited: 2013-01-25 22:29:41 +0100 (CET)
        
        +2 replies
        
        kristian
        
        2013-01-24 18:08
        
        User since
        2005-04-14
        684 articles
        BenutzerIn
        
        Captchas sind ja rechtlich auch gar nicht das Problem.
        Rechtlich relevant sind wohl eher die Aktionen die wir ip-basiert könn(t)en.
        Diese Aktionen wären IMHO auf jeden Fall sinnvoller und würden die normalen User nicht belästigen, da sind wir uns auch einig.
        Die Frage ist, kann man das noch wagen?
        
        guest Gast
        
        2013-01-24 18:41
        
        2013-01-24T17:08:20 kristian
        Captchas sind ja rechtlich auch gar nicht das Problem.
        Rechtlich relevant sind wohl eher die Aktionen die wir ip-basiert könn(t)en.
        Diese Aktionen wären IMHO auf jeden Fall sinnvoller und würden die normalen User nicht belästigen, da sind wir uns auch einig.
        Die Frage ist, kann man das noch wagen?
        
        Ja - auf jeden Fall (jedenfalls solange Du die jeweilige IP des jeweiligen Users nicht speicherst).
        Last edited: 2013-01-24 18:47:23 +0100 (CET)

View all threads created 2013-01-23 08:34.