compufreak » PHP-Scripte

Spamschutzmechanismen für die eigene Homepage

compufreak — Tue, 06 Sep 2011 19:54:16 +0000

Titelbild: Die SPAM-Flut

Vorwort

Im Netz findet man unglaubliche Zahlen sobald es um das Thema Spam-Aufkommen geht. Einige sprechen da von ca. 80 Billionen Spam-Emails – jährlich. Tendenz: Steigend. Und diese Zahlen beziehen sich lediglich auf Email-Spam. Das Spam-Aufkommen auf der eigenen Website ist ebenfalls eine Plage für all jene, die an sich selbst den Anspruch stellen ihren Online-Auftritt Spam-frei zu halten.

In diesem Artikel erfahren Sie:

Wie eine Maschine einen Menschen von einem böswilligen Artgenossen unterscheiden lernt.
Welche einfachen Tricks große Teile des täglichen Spams abfangen.
Mit welchen Methoden sich die eigene Email-Adresse im Web vor Crawlern schützen lässt.
Warum es gar nicht so schwer ist ein Captcha zu basteln.
Welche Instant-Lösungen bereits zur Verfügung stehen.
Mit welchen Erweiterungen man Content-Management-Systeme erfolgreich gegen Spam verteidigt.

Was Sie vorher besitzen sollten:

Fortgeschrittene Kenntnisse in PHP (Session, Grafiken „on-the-fly“, etc.).
Gegebenenfalls grundlegende Kenntnisse bezüglich des jeweiligen CMS.

Einleitung

Website-Spam: Er ist nicht ungefährlich, denn er enthält oft Links zu böswilligen „Angeboten“. Auch wirft er kein gutes Licht auf die eigene Website. Ja oft ist er sogar ein Merkmal ungepflegter oder verwaister Projekte. Schön anzusehen ist er auch nicht. Leider kann man ihn nicht einfach irgendwo abstellen: Er muss bekämpft werden. Da man als gewöhnlicher Web-Entwickler weder Zeit noch Lust hat den Ursprung dieses Übels zu bekämpfen, muss man notgedrungen Spam-Schutzmechanismen implementieren um diesem Problem habhaft zu werden.
Machen wir uns nichts vor: Wir können der Spam-Flut weder entkommen noch eine Sandburg bauen die stark genug wäre ihr für immer stand zu halten. Jedoch gibt es Mittel und Wege Spam zu „behindern“.
Da die wenigsten diese eigentlich stupide Aufgabe einem Menschen auftragen würden (welcher zudem unglücklicherweise auf Bezahlung besteht), muss der pfiffige Web-Entwickler diesen Vorgang automatisieren. Folglich ist es ein Kampf der Maschinen untereinander: Ein Turing-Test¹. Doch wie unterscheidet eine Maschine einen Menschen von einem Artgenossen?

Allgemeine Vorgehensweise

Im Folgenden werden einige simple Methoden beschrieben, mittels PHP zu bestimmen, ob es sich bei einer Nachricht (z.B. in einem Gästebuch) um Spam handelt oder nicht. Normalerweise sollten mehrere dieser Methoden nebeneinander eingesetzt werden. Idealerweise baut man diese Mechanismen so, dass für einen Aspekt, der auf Spam hindeutet ein oder ggf. auch mehrere Punkte vergeben werden. Nachdem alle Funktionen die Nachricht analysiert haben, wird diese je nach Punktzahl entweder als Spam eingeordnet oder nicht. Das hat den Vorteil, dass man die „Strenge“, nach der Spam identifiziert wird leicht justieren kann. Um ganz sicher zu gehen, dass man niemanden zu unrecht als Spam abtut, kann man vermeintliche Spam-Nachrichten auch in der Datenbank belassen und nur vorerst sperren. Später geht man diese Nachrichten dann von Hand durch und gibt diese ggf. frei (siehe Abb. 2).

1. Schutz durch eine Blacklist

Eine naheliegende Lösung ist die sog. Blacklist, also die „schwarze Liste“. Auf ihr werden Schimpfwörter oder gar ganze Website-Adressen gepflegt. Enthält ein Eintrag (zum Beispiel in ein Gästebuch) eines oder mehrere dieser Wörter, kann davon ausgegangen werden, dass es sich dabei um Spam handelt. Oftmals wird von einer Blacklist mit der Begründung sie sei zu aufwändig und nicht ausreichend abgesehen. Dabei kann man bereits mit einer Handvoll Begriffen gut 60% allen Spams aussortieren. Man braucht sich dazu lediglich ein paar Spam-Einträge anzusehen. In den meisten Fällen geht es um Viagra oder andere medizinische Produkte. An zweiter Stelle folgen dann häufig „Werbe-Anzeigen“ für Websites mit pornographischem Inhalt. Bringt man nun nur ein paar gängige Begriffe aus diesen Bereichen der Blacklist bei, schiebt man damit einem Großteil des Spams einen Riegel vor. Ebenfalls nützlich sind Begriffe wie „kaufen“, „günstig“ oder „free“. Lediglich eine Sache sollte man dann noch beachten: Spam ist in den meisten Fällen englisch. Eine mehrsprachige Blacklist ist also ratsam.

Glücklicherweise ist die Umsetzung einer solchen Blacklist mittels PHP nicht sonderlich schwer:
Als erstes muss man natürlich ein Formular in HTML erstellt haben. Die Daten daraus müssen von einem entsprechenden PHP-Script abgefangen werden. Dann werden die einzelnen Begriffe der Blacklist zur einfacheren Handhabung in einen Array abgespeichert. Dazu gibt es zwei Möglichkeiten: Entweder werden die Begriffe und der Array direkt im Quellcode abgelegt, das kann allerdings bei einer langen Blacklist umständlich werden. Oder die Begriffe werden in einer anderen Datei (zum Beispiel einer TXT-Datei) abgelegt. Wobei die Begriffe jeweils durch einen Zeilenumbruch getrennt sein müssten. Handlicher ist letztere Methode. Ein Beispiel für eine sehr kurze Blacklist:

günstig
cheap
free
viagra

Durch folgenden Befehl wird die Datei (in diesem Fall „blacklist.txt“) aufgerufen und der Inhalt in einen Array ($blacklist_array) gespeichert:

1	$blacklist_array = file( 'blacklist.txt' );

Um herauszufinden, wie oft eine Zeichenkette in einer anderen Zeichenkette vorkommt, benötigt man den Befehl substr_count(). Dieser wird für jedes Element des Arrays, sprich für jedes „verbannte“ Wort neu ausgeführt. Jedes Vorkommen eines solchen Wortes wird ein Zähler um eins erhöht.

Sind diese beiden Grundlagen bekannt, wird der Rest nicht schwer:

Listing 1.1. Simple Blacklist-Funktion

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24

// Inhalt der Nachricht abrufen
$nachricht = $_POST['nachricht'];

// blacklist.txt öffnen und in Array $blacklist_array speichern (Eine Zeile = Ein
// Element)
$blacklist_array = file( 'blacklist.txt' );

// Zähler für die gefundenen Wörter aus der Blacklist
$anzahl = 0;

// Jeweils ein Wort der Blacklist nehmen, in $blackword speichern und mitzählen,
// wie oft das Wort in der Nachricht auftaucht
foreach ( $blacklist_array as $blackword ) {
$anzahl += substr_count( strtolower( $nachricht ), strtolower( trim( $blackword ) ) );
}

// Bestimmen, ob die Anzahl der "Spam-Wörter" niedrig genug ist
if( $anzahl < 2 ) {
echo 'Nachricht wurde nicht als Spam eingestuft!';
} else {
echo 'Nachricht wurde als Spam eingestuft!';
}
?>

Natürlich lässt sich dieses Script noch verbessern. So ist es momentan noch machtlos gegen Dinge wie „Leet-Speak²“ (Buchstaben durch ähnlich aussehende Zahlen ersetzen) oder sonstige Abstraktionen.

2. Schnell-Tippen: Zeit ist Geld?

Eine andere Möglichkeit Spam zu erkennen besteht darin die Schreibgeschwindigkeit zu ermitteln. Denn welcher Spam-Bot nutzt denn nicht „Copy-&-Paste“? Ein Spam-Eintrag benötigt meist nur sehr kurze Zeit. Misst man nun die Zeit seit dem Laden der Formular-Seite bis zum Empfang der Formular-Daten, kann man daraus und aus der Anzahl aller Zeichen im Formular die Tastenanschläge errechnen. Das Ergebnis ist zwar leicht verfälscht, wenn ein echter Benutzer die Seite besucht, da dieser nicht sofort anfängt zu tippen, doch das setzt seine errechneten Tastaturanschläge ja nur herunter.

Die Zeit berechnen wir mit einem Timestamp (also sekundengenau). Es liegt zwar nahe, diesen Timestamp zusammen mit den anderen Formular-Daten in einem versteckten Feld zu verschicken, dies ist aber zu unsicher, da der Spam-Bot diese Werte manipulieren kann. Aus diesem Grund hinterlegen wir den Timestamp in einer Session. Bei der Auswertung rufen wir ihn dann wieder ab, errechnen die Differenz, ermitteln die Anzahl aller Zeichen im Formular und errechnen daraus die Tastenanschläge. Ein verdächtiger Wert liegt bei ungefähr 8 Anschläge pro Sekunde aufwärts.

Auf der Seite des Formulars:

Listing 2.1. Speichern des Timestamps in die Session-Variable

1
2
3
4
5
6

// Session-Start
session_start();
// Speichern des Timestamps in die Session-Variable
$_SESSION['spam_check_start'] = time();
?>

Bei der Auswertung:

Listing 2.2. Auswertung der Daten und Errechnen des Tastenanschlags

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35

// Session-Start
session_start();
?>
[… HTML-Grundgerüst, etc. ...]

// Name abrufen
$name = $_POST['name'];

// Inhalt der Nachricht abrufen
$nachricht = $_POST['nachricht'];

// Timestamp abrufen
$spam_check_start = $_SESSION['spam_check_start'];

// Aktuellen Timestamp ermitteln
$spam_check_ende = time();

// Differenz ermitteln
$spam_check_dauer = $spam_check_ende - $spam_check_start;

// Anzahl aller Buchstaben errrechnen
$anzahl_aller_buchstaben = strlen( $name.$nachricht );

// Anschlage pro Sekunde errrechnen
$anschlaege_pro_sekunde = ( $anzahl_aller_buchstaben / $spam_check_dauer );

if ( $anschlaege_pro_sekunde < 9 ) {
// ggf. Meldung ausgeben
echo 'Nachricht wurde nicht als Spam eingestuft!';
} else {
// Fehlermeldung ausgeben, ggf. Punkt-Zähler entsprechend verändern
echo 'Nachricht wurde als Spam eingestuft!';
}
?>

3. Leere Eingabe-Felder

Da Spam-Bots oft die Angewohnheit haben alle Felder auszufüllen, kann es schnell passieren, dass auch unsichtbare Formular-Elemente mit Inhalten gefüllt werden. Dies tun normale Besucher nicht: Ein weiteres Unterscheidungsmerkmal.
Dazu muss im Formular lediglich ein unsichtbares, leeres Element hinzugefügt werden. Inzwischen haben Spam-Bots meistens schon gelernt, dass „versteckte Eingabefelder“ () besser ignoriert werden sollten. Deshalb ist es ratsamer ein ganz normales Eingabefeld () anzulegen, welches auch keinen auffälligen Namen trägt. Dieses wird dann einfach mit der CSS-Eigenschaft display unsichtbar gemacht (). Ist das Feld bei der Auswertung mit Inhalt gefüllt, steigt erneut die Spam-Wahrscheinlichkeit.

4. Kannst du rechnen?

Eine weitere beliebte Möglichkeit Spam abzufangen besteht darin, dem Besucher eine einfache Rechenaufgabe zu stellen. Das Ergebnis muss (korrekt) in ein Formularfeld eingetragen werden. Es wird bei der Auswertung überprüft. Da viele Spam-Bots immer noch nicht „rechnen“ können, ist es ein geeignetes Kriterium. Leider ist es jedoch für den Besucher mit Mehraufwand verbunden. Die Entscheidung, ob dies zumutbar ist, liegt beim Entwickler.

Auf der Formular-Seite müssen zuerst die beiden Zufalls-Zahlen und die Rechenart (Addition oder Subtraktion) ermittelt werden. Das Ergebnis wird in die Session-Variable gespeichert, die Rechnung im Formular ausgegeben.

Listing 4.1. Vorbereiten einer Rechenaufgabe

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23

// Session-Start
session_start();

// Ermitteln der ersten Zufallszahl
$zahl1 = rand ( 0, 20 );

// Ermitteln der zweiten Zufallszahl
$zahl2 = rand( 0, 20 );

// Bestimmen einer Rechenart (+ o. -)
// und dem entsprechenden Ergebnis
if ( $zahl1 < $zahl2 ) {
$rechenart = ' + ';
$ergebnis = $zahl1 + $zahl2;
} else {
$rechenart = ' - ';
$ergebnis = $zahl1 - $zahl2;
}

// Speichern des Timestamps in die Session-Variable
$_SESSION['spam_check_rechnung'] = $ergebnis;
?>

Listing 4.2. Ausgeben der Rechenaufgabe im Formular

1 2	<label>Bitte ausrechnen: </label><br /> <input type="text" name="spam_check_rechnung_besucher" /><br />

Die Auswertung ist nun ziemlich simpel. Auch hier könnten Spam-Punkte vergeben werden:

Listing 4.3. Auswertung der Rechnung

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21

// Session-Start
session_start();
?>
[... HTML-Grundgerüst, etc. ...]

// Korrektes Ergebnis abrufen
$spam_check_rechnung = $_SESSION['spam_check_rechnung'];

// Erhaltenes Ergebnis abrufen
$spam_check_rechnung_besucher = $_POST['spam_check_rechnung_besucher'];

// Auswertung
if ( $spam_check_rechnung == $spam_check_rechnung_besucher ) {
// ggf. Meldung ausgeben
echo 'Nachricht wurde nicht als Spam eingestuft!';
} else {
// Fehlermeldung ausgeben, ggf. Punkt-Zähler entsprechend verändern
echo 'Nachricht wurde als Spam eingestuft!';
}
?>

Diese Methode funktioniert leider nicht mehr bei alle Spam-Bots, dennoch ist sie häufig noch effektiv, denn die Schwierigkeit für die Maschine besteht dabei nicht darin die Rechnung zu lösen, sondern zu begreifen, dass sie eine Rechnung lösen muss.

5. Wie heißt Max mit Vornamen?

Ähnlich der Rechenmethode (s.o.) funktioniert auch folgende (verbesserte) Methode sehr gut: Erneut muss der Besucher die richtige Eingabe machen um sich als Nicht-Spammer zu identifizieren. Nur handelt es sich nicht um eine Rechenaufgabe, sondern um eine Frage. Die Fragen sollten folgende Kriterien erfüllen:

Sie sollten…

… zahlreich sein.
… sich selbst beantworten.
… in einem Wort beantwortet werden können.
… nur eine mögliche Antwort zulassen.

Beispiele für solche Fragen:

Wie heißt Max mit Vornamen?
Welche Farbe hat ein rotes Auto?
Der Erfinder des Zeppelin erfand den Z…?
Wie viele Seiten hat ein 200-seitiges Buch?
Eine CD ist rund. Was ist eine DVD?
Weihnachten kommt der W…?
etc.

Die Schwierigkeit für die Maschine besteht hier darin, dass sie semantisch erfassen muss. Das heißt: Sie muss erst einmal die Frage verstehen. Das ist aber gar nicht so einfach.

Wie funktioniert dies nun im Detail?
Zuerst brauchen wir eine Liste mit Fragen und Antworten. Dazu verwenden wir erneut einen Array. Die Daten werden diesmal nicht in eine TXT-Datei gelegt, sondern direkt in den Array. Diesen kann man ja bei Bedarf in eine andere PHP-Datei auslagern. Auf der Formular-Seite ermitteln wir dann per Zufall eine Frage und lassen sie ausgeben. Die Antwort speichern wir in die Session-Variable. Die Frage samt Eingabefeld wird im Formular ausgegeben:

Listing 5.1. Generierung und Ausgabe einer Frage.

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20

// Session-Start
session_start();

// Erstellen des Arrays ( => , )

$fragen_array=array(
0 => array('Wie heißt Max mit Vornamen?', 'Max'),
1 => array('Welche Farbe hat ein rotes Auto?', 'rot'),
2 => array('Wieviele Ecken hat ein Dreieck?', 'drei'),
3 => array('Wie viele Seiten hat ein 200-seitiges Buch', '200'),
4 => array('Fridas Mofa ist gelb. Welche Farbe hat es?', 'gelb'),
);

// Ermitteln der Frage
$frage_nummer = rand( 0, count( $fragen_array ) - 1 );

// Speichern des Timestamps in die Session-Variable
$_SESSION['spam_check_frage'] = $fragen_array[$frage_nummer][1];
?>

[... HTML-Grundgerüst, etc. ...]

1 2	<label>Beantworte: [$frage_nummer][0]; ?></label><br /> <input type="text" name="spam_check_frage_besucher" /><br />

Bei der Auswertung des Formulars wird es auf Spam überprüft, indem einfach die Antwort des Besuchers mit der richtigen Antwort aus der Session-Variable verglichen wird. Vor dem Vergleich jedoch werden beide Antworten mit der Funktion strtolower() in Kleinbuchstaben umgewandelt, damit Abweichungen in Groß- und Kleinschreibung irrelevant werden:

Listing 5.2. Auswertung der Antwort des Besuchers.

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21

// Session-Start
session_start();
?>
[... HTML-Grundgerüst, etc. ...]

// Korrektes Ergebnis abrufen
$spam_check_frage = $_SESSION['spam_check_frage'];

// Erhaltenes Ergebnis abrufen
$spam_check_frage_besucher = $_POST['spam_check_frage_besucher'];

// Auswertung
if ( strtolower( $spam_check_frage ) == strtolower( $spam_check_frage_besucher ) ) {
// ggf. Meldung ausgeben
echo 'Nachricht wurde nicht als Spam eingestuft!';
} else {
// Fehlermeldung ausgeben, ggf. Punkt-Zähler entsprechend verändern
echo 'Nachricht wurde als Spam eingestuft!';
}
?>

Natürlich lässt sich auch dieses Beispiel noch stark ausbauen. So ist ein größerer Fragen-Katalog ebenso von Vorteil, wie mehrere Antwortmöglichkeiten (um verschiedenen Schreibweisen, etc. vorzubeugen).

6. Wo hast du eigentlich deine Augen?

Eine Abwandlung der semantischen Frage (s.o.) ist sogar noch effektiver und sicherer als selbige: Anstatt eine Frage zu stellen, muss der Inhalt eines Bilds mit nur einem Wort beschrieben werden. Auf dem Bild sollten einfache Dinge mit kurzen Bezeichnungen abgebildet sein. Außerdem sollte nur genau ein Gegenstand zu sehen sein, damit keine Verwirrung aufkommt. So könnte der Besucher zum Beispiel gebeten werden eine Birne, einen Apfel, einen Hund, ein Haus oder Millionen andere Dinge zu identifizieren.
Die technische Umsetzung funktioniert vom Prinzip her genauso, wie die der semantischen Frage (s.o.). Nur wird hier keine Frage ausgegeben, sondern ein kleiner HTML-Code um das entsprechende Bild einzubinden.

7. Doppelt hält besser?

Da Spam-Bots oft die Angewohnheit haben Felder, von denen sie nicht wissen, was das Script an Inhalten erwartet, einfach mit irgendwelchen Links zu füllen, kommt es auch oft vor, dass solche Felder mit den gleichen Inhalten gefüllt werden. Es lohnt sich also, alle Eingabefelder auf doppelten Inhalt zu prüfen. Wurden mehrere Eingabefelder identisch ausgefüllt, handelt es sich wohl um einen Spam-Bot. Auch hierfür könnten bei Bedarf wieder Spam-Punkte vergeben werden.

8. Captcha im Eigenbau

Leider werden die Spam-Bots immer besser. Um dieser Entwicklung entgegen zu treten, muss man sich schon tolle Dinge einfallen lassen. Die oben beschriebenen Methoden sollten in Kombination in den meisten Fällen hinreichend sein. Um die Sicherheit noch weiter zu steigern, bieten sich sog. Captchas³ an. Das sind kleine Grafiken, welche eine Zeichenkombination abbilden, welche der Besucher abtippen muss. Das ist im Prinzip auch eine gute Idee. Leider hat sie bei den meisten Umsetzungen einige Nachteile:

Da Spam-Bots die Fähigkeit entwickeln die Codes solcher Grafiken auszulesen, werden dies immer abstrakter und unlesbarer.
Damit der Code nicht mit einem Wörterbuch abgeglichen werden kann, werden nur noch zufällig generierte Buchstaben- und Zahlenkombinationen verwendet.
Daher empfinden die Besucher empfinden sie schnell als lästig.

Diese Nachteile kann man aber auch recht einfach beseitigen oder zumindest abschwächen:

So sollte ein Bild nicht verunstaltet werden, nur damit man die Schrift nicht mehr lesen kann. Dann sollte man lieber eine ausgefallenere Schriftart nehmen. Bunte Sterne, Hintergründe und Linien sind ebenfalls hinderlich. Sie erhöhen zwar die Sicherheit, schrecken dafür aber Besucher ab, wenn sie nicht zum Design passen oder zu viel Zeit beanspruchen.
Zufällig generierte Codes müssen nicht wie Kauderwelsch klingen: Zahlen kann man eigentlich weglassen, denn ob 26 oder 36 Zeichen zur Auswahl stehen macht auch keinen besonders großen Unterschied mehr. Werden nur Buchstaben verwendet, kann man schön-klingende Phantasie-Wörter generieren indem man Konsonanten und Vokale abwechselt. Das vermindert die Sicherheit zwar ein wenig, aber auch das nur unter der Voraussetzung, dass der Spam-Bot auf so etwas programmiert wurde.
Wie oben bereits angesprochen können auch Bilder von Gegenständen, die es zu benennen gilt, als Captchas verwendet werden, denn solch eine Aufgabe setzt eine hohe Rechenleistung des Spam-Bots voraus. Vergessen wir nicht, dass das menschliche Gehirn ein Meister das abstrakten Denkens ist.
Auch könnte man die langweiligen Codes durch die oben beschriebenen Fragen ersetzen. Dann steht der Spam-Bot nämlich nicht nur vor dem Problem die Frage „Wie heißt Max mit Vornamen?“ zu beantworten, sondern diese auch erst mal zu lesen.

Nun wollen wir ein ganz simples Captcha basteln und es mit unseren Fragen (s.o.) kombinieren. Dazu verwenden wir die Bordmittel PHPs und ein angepasstes Formular. Die Grafiken werden „on-the-fly⁴“ generiert. Dazu benötigen wir ein zusätzliches PHP-Script, welches als Grafik (mit Image-Tag) in das HTML-Formular eingebunden wird und die richtige Lösung in die Session-Variable schreibt:

Listing 8.1. Generierung eines Captchas

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48

// Session-Start
session_start();

// Senden des Headers
header( "Content-type: image/png" );

// Erstellen des Arrays ( => , )
$fragen_array = array(
0 => array('Wie heißt Max mit Vornamen?', 'Max'),
1 => array('Welche Farbe hat ein rotes Auto?', 'rot'),
2 => array('Wieviele Ecken hat ein Dreieck?', 'drei'),
3 => array('Wie viele Seiten hat ein 200-seitiges Buch', '200'),
4 => array('Fridas Mofa ist gelb. Welche Farbe hat es?', 'gelb'),
);

// Ermitteln der Frage
$frage_nummer = rand( 0, count( $fragen_array ) - 1 );

// Abspeichern der Frage
$frage = $fragen_array[$frage_nummer][0];

// Speichern der Antwort in die Session-Variable
$_SESSION['spam_check_frage'] = $fragen_array[$frage_nummer][1];

// Generieren der Grafik (400x30)
$grafik = imagecreate( 400, 30 );

// Hintergrund der Grafik weiß machen
imagecolorallocate( $grafik, 255, 255, 255 );

// Text-Farbe generieren (Schwarz)
$text_farbe = imagecolorallocate( $grafik, 0, 0, 0 );

// Text ausgeben. Parameter:
// Variable der Grafik
// Schriftgröße
// Abstand zum linken Rand
// Abstand zum oberen Rand (Ausrichtung wird so berechnet, dass die Schrift
// mittig steht)
// Text
// Farbe des Schriftzugs
ImageString ($grafik, 4, 20, ceil( 15 - ( imagefontheight( 4 ) / 2 ) ), $frage,
$text_farbe);

// Grafik ausgeben (im PNG-Format)
imagepng( $grafik );
?>

Das Formular ist im Prinzip das gleiche wie in Listing 5.1. Nur wird die Frage nicht dort, sondern in der Datei captcha.png.php generiert. Diese wiederum wird eingebunden:

1
2
3
4

Die Auswertung bleibt unverändert (siehe Listing 4.2).

Mithilfe solcher Captchas ist man nun einen ganzen Schritt weiter. Natürlich lässt sich diese Methode aber noch stark ausbauen.

Instant-Lösungen

Im Bereich Spam-Abwehr gibt es viele Angebote. Besonders wenn es um Captchas geht. Die interessantesten Lösungen sind folgende:

1. Die wohl bekannteste Lösung lautet reCaptcha (Website: www.google.com/recaptcha). Es handelt sich dabei um ein System, welches von Google übernommen und fortgeführt wurde. Google scannt alte Bücher und Zeitschriften ein. Die einzelnen Wörter landen in einer riesigen Datenbank. Wird ein reCaptcha aufgerufen, bekommt der Besucher zwei Wörter zu sehen und muss sie abtippen. Das Besondere: Die Antworten werden gespeichert. Die einzelnen Wörter werden mehrmals von verschiedenen Besuchern abgetippt. Die Antwort, die am häufigsten gegeben wird, akzeptiert Google dann als „richtig“. Auf diese Weise werden wahnsinnig viele Captchas generiert und alte Zeitschriften digitalisiert. Diese Methode gilt als sehr effektiv und sicher. Allerdings ist die Integration in die eigene Website nicht unbedingt für „blutige Anfänger“ geeignet. Erfahrenere Programmierer sollten damit aber keine Probleme haben. Außerdem besitzt das reCaptcha ein recht auffälliges und platz-einnehmendes Aussehen. Das kann man zwar anpassen, aber das wiederum ist mit nicht wenig Arbeit verbunden. Alles in Allem eine der besseren Lösungen.
2. Eine weitere sehr schöne Captcha-Lösung ist SecureImage von www.phpcaptcha.org. Die Grafiken sind simpler und die Integration in die eigene Website ein wenig einfacher als bei anderen „Instant“-Lösungen.
3. Einen sehr interessanten Ausblick bietet www.animierte-captcha.de. Vor den Captchas „tanzen“ Symbole und Grafiken herum, sodass der Schriftzug nie vollständig zu sehen ist: Eine zusätzliche Herausforderung für einen Spam-Bot.

Diese „Instant“-Lösungen sind meistens schneller eingebaut als die eigenen Methoden. Außerdem sind sie in der Regeln doch deutlich sicherer und durchdachter. Dafür lassen sie sich nicht so leicht anpassen oder in das Design eingliedern. Auch handelt es sich (wie bei den Beispiele auch) fast immer um Captchas. Betrachtet man die oben beschriebenen Methoden, muss man sich allerdings fragen, ob man seine Besucher wirklich mit so etwas belästigen muss.

Erweiterungen für Content-Management-Systeme

Besonders komfortabel lebt man, wenn man ein CMS⁵ für seine Website verwendet, denn für diese gibt es eigentlich immer Erweiterungen, Plugins oder Addons. Mit diesen lassen sich die Spammer schon deutlich einfacher ausschalten.

Eine kurze Übersicht hier:

WordPress:

Akismet (Standard)
Block Spam By Math Reloaded (Schützt das Backend)
Peter’s Custom Anti-Spam (Sehr umfangreich)

Joomla

EasyCalcCheck PLUS
Core Design Captcha plugin
Akismet
XIJC

Contao (ehemals TypoLight):

honeypotForm (sehr schlicht)

Typo3:

TIMTAB Bad Behavior
SFP Anti SPAM
Simple Captcha

Schutz einer Email-Adresse vor Crawlern

Da in dem Impressum jeder Website eine gültige Email-Adresse stehe muss, ist dies ein beliebter Angriffspunkt für Email-Crawler⁶. Diese lesen die Adresse aus und speichern sie in ihre Datenbank. Wie von Zauberhand landet dann Spam im Posteingang. Um dies zu verhindern gibt es wahnsinnig viele Methoden. Einige besser, andere schlechter:

Kodierung der einzelnen Zeichen: Jedes Zeichen wird in den entsprechenden HTML-Sonderzeichencode umgewandelt. Das ist die beliebteste Lösung. Leider auch die mit am wenigsten effektive, denn die Crawler sind schon lange in der Lage diesen Trick zu durchschauen.
Einbinden als Grafik: Effektiver, jedoch leider auch nicht besonders ansehnlich und total „Copy-&-Paste“-unfreundlich. Die Adresse wird als Grafik gespeichert und eingebunden. Nicht optimal.
Maskieren der Adresse: Das @ wird durch Zeichenfolgen wie „ät“, „at“, „[at]“, etc. ersetzt. Doch auch das können die Crawler mittlerweile ganz gut durchschauen.
Aus zwei mach’ eins: Dabei handelt es sich um einen kleinen HTML-Trick. Es werden zwei Email-Adressen hintereinander gesetzt. Jede für sich ist nicht existent (bzw. totaler Quatsch). Streicht man jedoch den letzten Teil der ersten Adresse und den ersten Teil der letzten Adresse, entsteht aus dem Rest eine dritte: Die richtige. Alles was man tun muss, ist also mittels CSS die Teile dazwischen auszublenden. Beispiel:

1
2
3
4

heinz

@nichtvorhanden.de gibtesnicht
@mueller.info

In diesem Beispiel sind die Adressen heinz@nichtvorhanden.de und gibtesnicht@mueller.info falsch. Lediglich die Kombination von beiden ist richtig: heinz@mueller.info.

Anregungen

Der Kreativität sind fast keine Grenzen gesetzt, geht es um die Spam-Bekämpfung. Lediglich die technischen Mittel binden den Programmierer an einen Rahmen. Dennoch sind weder alle Möglichkeiten Mensch und Maschine zu unterscheiden hier erklärt worden, noch sind sie ausgeschöpft. Alle Mechanismen lassen sich verbessern. Alle sind absolut ungesichert gegen Attacken (XSS und Co.). Alle Methoden einzubauen ist momentan auch noch viel Arbeit. Eine Klasse dafür zu schreiben wäre also von Vorteil und würde auf längere Sicht viel Aufwand ersparen. Kurzum: Auf geht’s!

Nachwort

Den Spam werden wir wohl nie ganz besiegen, doch mit geschickten Überlegungen lässt sich viel erreichen. Ich hoffe, ich konnte mit diesem Artikel einen Einstieg in das Thema bieten und zum Weitermachen anregen. Denn ausgereift sind die Scripte noch lange nicht.

Im Internet
http://www.google.com/recaptcha/ – reCaptcha-Website
http://www.phpcaptcha.org/ – Website des SecureImage-Projekts
http://www.animierte-captcha.de/ – Website der animierten Captchas
http://www.drweb.de/magazin/sichere-formulare-teil-4-spam-bots-masregeln/ – Ein Artikel zum Thema vom Dr. Web-Magazin
http://de.wikipedia.org/wiki/CAPTCHA – Wikipedia-Artikel zum Thema Captcha
http://www.bizeps.or.at/news.php?nr=8627 – Sehr unterhaltsamer Beitrag zum Thema Captcha und Benutzerfreundlichkeit von Peter Purgathofer

Was ist eigentlich der Turing-Test?
Der Turing-Test wurde 1950 von Alan Turing entwickelt, um festzustellen, ob eine Maschine ein Denkvermögen haben kann, dass dem des Menschen ähnelt. Oft wird dieser Begriff auch mit dem Stichwort „Künstliche Intelligenz“ in einem Atemzug genannt. ↩
Was ist Leet-Speak?
Leet-Speak leitet sich ab von dem englischen Begriff „elite“ (Elite) und „speak“ (Sprache). Es bezeichnet das Ersetzen von Buchstaben durch ähnlich aussehende Zahlen oder auch Sonderzeichen. So wird auch oft nur von „1337“ gesprochen, was „leet“ in „Leet-Speak“ bedeutet. Die 1 steht dabei für das L, die 3 für das große E und die 7 für das T. Ursprünglich wurde diese Substitutions-„Chiffre“ verwendet um heikle Emails vor dem automatisierten Abhören zu schützen. Heute findet es oft im Gamer-Bereich Anwendung. ↩
Was sind eigentlich Captchas?
Der Begriff „Captcha“ kommt aus dem Englischen und ist ein Akronym für „Completely Automated Public Turing test to tell Computers and Humans Apart“ („Vollautomatischer öffentlicher Turing-Test zur Unterscheidung von Computern und Menschen“). Ein Captcha ist meist eine Grafik, die ein verzerrtes Wort oder einen Code abbildet, der vom Besucher abgetippt werden muss, um zu beweisen, dass er selbst kein Spam-Bot ist. ↩
Was bedeutet noch gleich „on-the-fly“?
Der Begriff „on-the-fly“ heißt im Bezug auf durch PHP generierte Grafiken, dass diese bei einem Aufruf durch einen Benutzer jedes mal neu erstellt werden müssen. Das heißt, sie können immer wieder anders aussehen. „On-the-fly“ bezeichnet also sozusagen den Moment zwischen Verlassen des Servers und der Ankunft beim Browser (auch wenn dies nicht ganz richtig ist). ↩
Wofür steht nochmal „CMS“?
Ein CMS ist ein Content-Management-System (Inhalt-Verwaltungs-System). Es wird auf dem Webserver installiert und verwaltet Inhalte, Design und Struktur der Website sehr komfortabel. Die großen verfügen über eine Benutzerverwaltung, hunderte Erweiterungen und viele zusätzliche Funktionen. Große Websites kommen um ein CMS kaum noch herum. ↩
Worin besteht eigentlich der Unterschied zwischen Spam-Bot und Email-Crawler?
Ein Spam-Bot durchsucht Websites nach Formularen, füllt sie aus und versucht so Backlinks für eine Website zu generieren oder Schadsoftware zu verteilen. Ein Email-Crawler such im Internet nach Email-Adressen und sammelt sie um später Spam zu verschicken. ↩

Timestamp-Datum-Konvertierer

compufreak — Sun, 16 Jan 2011 21:22:01 +0000

Den Timestamp des eigenen Geburtsdatums berechnen? Im Prinzip nicht schwierig, aber wie ging das nochmal mit den Zeitzonen?

Was ist ein Timestamp?

Der UNIX-Timestamp ist eine Möglichkeit Zeit in Form von Sekunden zu messen. Seit dem 1. Januar 1970 werden so die Sekunden gezählt. In jedem Computer. Diese Messmethode hat den unglaublichen Vorteil, dass sie aus nur einer Zahl besteht. Das macht es für den Computer und den Programmierer wesentlich einfach damit zu rechnen.

Wie lange kann man so zählen?

Dummerweise gibt es bei dieser Zählmethode ein Problem: Sie ist nicht unendlich. Es steht nur ein Integer mit 32-Bit zur Verfügung. Für 86400 Sekunden pro Tag ist das ein bisschen wenig. Irgendwann wird in diesen 32 Bit nicht mehr genügend Speicherplatz frei sein. Durch das mathematische Prinzip dahinter wird die Zählung am 19 Januar 2038 um genau 03:14:07 (UTC) wieder auf Null zurück springen. Bis dahin müssen die Programmierer also auf 64-Bit “Zeitmessung” umgestiegen sein. Dieses Problem nennt man übrigens auch den UNIX Millenium Bug.

Was kann dieses Script?

Dieses Script kann Timestamps aus einem Datum erzeugen und umgekehrt aus einem Timestamp ein Datum berechnen. Dabei wird die Zeitzone berücksichtigt. Deutschland befindet sich in der Zeitzone GMT+1 bzw. UTC+1. Nur in der Sommerzeit gehören wir zur Zeitzone GMT+2 bzw. UTC+2. Mit Zeitzonen zu rechnen ist nicht besonders einfach. Das heißt… im Kopf ist das kein Problem. Auf dem Computer schon eher. Ich habe mir viel Mühe gegeben, dieses Script fehlerfrei zu programmieren, aber wie das so ist habe ich vielleicht doch irgendwo einen eingebaut? Schließlich kann ich nicht jede Möglichkeit ausprobieren.

Ich hoffe sehr, dass dieses Tool wirklich richtig arbeitet. Natürlich habe ich es getestet und nachgerechnet, aber Fehler schleichen sich halt ein. Vor Allem aber hoffe ich, dass wenn es richtig arbeitet, es auch jemandem nützt. Es gibt denke ich nicht so viele Timestamp-Konverter, die sowohl auf deutsch sind, als auch mit Zeitzonen klarkommen.

Zeichen zählen trotz Umlaute

compufreak — Wed, 10 Nov 2010 19:05:41 +0000

Vor ein paar Tagen hatte ich folgendes Problem: Ich wollte die Länge eines Strings ermitteln. Also kurz nachgedacht und strlen() benutzt. Das schien auch erst zu funktionieren… nur Umlaute und Sonderzeichen waren so ‘ne Sache. Wenn der String überprüft wird, wurden seine Sonderzeichen bereits mittels htmlentities() konvertiert. Das hat zur Folge, dass strlen() die einzelnen Buchstaben der HTML-Codes zählt. So besteht ein Ü zum Beispiel aus 6 Zeichen anstatt einem. Das verfälscht das Ergebnis leider… komplett. Also: was tun? Natürlich habe ich ein bisschen gegooglet. Zuerst bin ich auf wenig sinnreiches gestoßen, doch dann fand ich eine Seite, auf der die Funktion mb_strlen() erwähnt wurde. Diese Funktion sollte den gleichen Zweck wie strlen() erfüllen. Allerdings erwartet diese als zweiten Parameter den Zeichensatz. Das ermöglichte es mir theoretisch Strings mit Umlauten doch noch richtig zu handhaben.
Nur leider… waren meine Sonderzeichen dadurch natürlich immer noch konvertiert. Damit kommt auch mb_string() nicht klar.
Folglich habe ich weiter gesucht und wurde wieder erwarten sogar im PHP-Manual fündig. Tatsächlich gibt es zwei Funktionen, welche die genauen Gegenstücke zu htmlspecialchars() und htmlentities() sind. Nun kann ich also erst meine Sonderzeichen wieder zurück konvertieren, dann die Länge mit mb_string() ermitteln und die Zeichenkette anschließend wieder konvertieren.
Diese Funktionen habe ich in einem Mini-Tutorial kurz erklärt. Und zwar genau hier.
Dummerweise bin ich so ein kleiner Perfektionist. Und diese Methode ist mir bei weitem nicht elegant genug. deshalb werde ich bestimmt mal versuchen eine eigene Funktion aufzustellen. Nicht unbedingt jetzt, aber irgendwann bestimmt

Das alles brachte mich aber noch zu einer anderen Erkenntnis:

Umlaute sind sch****!

Es wär doch viel praktischer, wenn man sich für alles, was Computer angeht auf genau einen Zeichensatz einigen könnte. Wenn man mal überlegt, wieviel Zeit, Nerven, Geld und Energie das sparen würde. Könnten die Länder nicht einfach auf ihre Landessprache verzichten ?
… Nun gut. Das ist bestimmt ne doofe Idee. Aber sie würde jede Menge Zeit, Geld, Nerven und Energie sparen. Oder?
Wobei das Problem vermutlich darin bestünd, dass das Problem selber nur die Programmierer stört. Die Politik würde das nicht kümmern – die haben ja auch genug Probleme. Aber selbst wenn sich sowas durchsetzen würde, würden sofort Leute kommen, die irgendwelche Tools erfinden, welche durch irgendwelche Tricks den ganzen Systemen wieder Sonderzeichen beibringen. Diese Tools wären unzuverlässig, zeitraubend, unnötig und eben dumm.

Aber allein schon diese verwirrten Gedanken beweisen doch, wie nervig Sonderzeichen sind, oder?

PHP-Script zur Passwort-Erstellung

compufreak — Sat, 08 May 2010 17:03:24 +0000

Hiho,
hier bin ich wieder … nicht wundern, wenn ich mich verschnupft anhöre, … … ich hab Schnupfen.

Wie auch immer, … ich habe in einem Buch über PHP mal ein Script gesehen, welches leicht zu merkende Passwörter generieren sollte. Vor Kurzem hatte in der Homepage-AG jemand ein ähnliches Problem, und ich habe angefangen daran ein wenig rumzubasteln (an der Idee, nicht an seinen Problemen ). Herausgekommen ist ein Script, welches Passwörter generiert – Oh Wunder!

Das Script erstellt beliebig lange Zeichenketten nach dem Zufallsprinzip.
Mögliche Zeichen:

Da solche Funktionen hauptsächlich im Bereich der Passwort-Erstellung Anwendung finden, lassen sich per Parameter auch leichter zu merkende Passwörter erstellen. Diese können nur Kleinbuchstaben enthalten, wovon jeder zweite ein Vokal ist.

Beispiel für ein (fast immer) ‘einfaches’ Passwort:

raeija

Beispiel für ein (meist) ‘schweres’ Passwort:
Update: Jetzt wird sogar ein schweres angezeigt XD

sPBPEG
Wie immer gebe ich auch den entsprechenden Code heraus, damit sich Andere darüber freuen können – seht ihr, ich bin sehr wohl sozial und so….

PHP-Code:

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15

Ich plane, dieses Script noch weiter zu verbessern, aber das heißt nicht, dass ich das auch tue … Es ist allerdings wahrscheinlich

Diesen Text und den Code gibt’s natürlich auch in der Tool-Sammlung

Also: Falls jemand noch eine coole Idee hat, was Passwörter noch einfach merkbar macht! Schreibt ein Buch darüber und schickt’s mir zu … die Langweiler unter Euch dürfen’s auch in die Kommentare schreiben. Aber nur, wenn sie einen Smilie daneben machen, das zeugt von wahrem Inletekt!

Bis dahin,
compufreak