#1

gowest

Grünschnabel  (16 Punkte)  ·   männlich  ·   Schweiz  ·   Nachricht senden
 http://www.gowest-store.ch

Der neue Nutzer hat sich.......

Hallo Zusammen

Seit dem einbinden des Newsletter MailPro10, werden wir mit unzähligen Fake-Nutzeranmeldungen bombadiert. Siehe folgende Zeile.

"Der neue Nutzer tom@crobar.net.au hat sich angemeldet, wurde aber noch nicht freigeschaltet. Öffnen Sie die Funktion "Zugriffsschutz" in Pro Web und setzen Sie seinen Status auf "Aktiv", um ihm Zugriff zu gewähren."

Dadurch werden sehr viele unerwünschte Einträge im NL-Empfänger generiert. Ebenso sind die Mail-Adressen auch im Verzeichnis für den Zugriffschutz eingetragen. 

Vom Siquando Support haben wir nur eine halbherzige Antwort erhalten, welche nicht hilfreich ist.

Hat jemand von Euch hier im Forum bereits Erfahrungen mit diesem Problem gesammelt und weiss wie diese Fake-Anfragen gestoppt werden können.

 

 

Grüsse

Heinz

#2

MuggelClan

Forum-Sponsor  (1675 Punkte)  ·   männlich  ·   Deutschland  ·   Nachricht senden

Hallo Heinz,

mit Bordmittel hast du da so gut wie keine Chance.
Da müsste Siqunado weitere Schutzmaßnahmen hinzufügen, wie z.B. Honeypot-Felder, Zeitsperren, Rate Limiting und DDoS-Schutz, wobei ein allgemeines DOS-Schild gibt es bereits, das man allgemein für Seiten und Bilder über ProjectCentral aktivieren kann (Aber vorsicht nicht einfach aktivieren, sondern erst in der Hilfe lesen!). 

Ich habe mir ein eigenes Formular mit mehr als nur ein Honeypot-Feld erstellt. 
Ein Honeypot-Feld ist ein verstecktes Eingabefeld, das die Besucher nicht sehen, aber die Bots automatisiert trotzdem ausfüllen. Füllt ein Bot dieses Feld aus, wird die Nachricht mit einem kleine script (mit Befehl "die..." blockiert.
Seitdem habe ich keine weiteren Probleme mehr, aber es muss auch gesagt werden, es gibt Bots, die dazulernen und auch soche Maßnahmen umgehen können.

Pauschal kann hierzu diese Lösung hier nicht allen geteilt werden, denn ... , naja wohl, und es ist ein spezielles Formular, das dann auf das Projekt und Seite zugeschnitten ist.

Daher wie schon geschrieben, es müsste Siqunado weitere Schutzmaßnahmen hinzufügen und nicht nur Captcha.


Mit freundlichen Grüßen

Thomas

Web To Date seit 2004, Siquando Web 12R3, Pro Web 10, Web Client 

#3

gowest

Grünschnabel  (16 Punkte)  ·   männlich  ·   Schweiz  ·   Nachricht senden
 http://www.gowest-store.ch

Hallo Thomas

Ich danke Dir bestens für deinen Input. Ich werde dein Vorschlag versuchen Umzusetzen und mal schauen ob das was bringt.

Gruss

Heinz

#4

gowest

Grünschnabel  (16 Punkte)  ·   männlich  ·   Schweiz  ·   Nachricht senden
 http://www.gowest-store.ch

Hallo Thomas

Ich habe versucht deine Anweisung umzusetzen. Da ich jedoch lediglich Anwender bin, fehlt mir das nötige Wissen, diesen Code im Pro Shop10 einzubauen.

Ist es dir Möglich mir eine detaillierte Anweisung zukommen zu lassen, wie und wo dieser Code eingebaut werden muss.

Gruss
Heinz

#5

MuggelClan

Forum-Sponsor  (1675 Punkte)  ·   männlich  ·   Deutschland  ·   Nachricht senden

Hallo Heinz,

ich habe hier gar keine Anweisung und kein Code hinterlegt.

Aber hier mal ein Beispiel, wie ein Honeypot-Feld aussehen könnte:

HTML-Code:

<form action="verarbeitungssendeseite.php" method="POST">
  <!-- Echtes Feld -->
  <label for="name">Name:</label>
  <input type="text" id="name" name="name" required>

  <label for="message">Nachricht:</label>
  <textarea id="message" name="message" required></textarea>

  <!-- HONEYPOT-FELD (unsichtbar durch css) -->
  <div class="honeypot-field">
    <label for="login">Bitte dieses Feld leer lassen:</label>
    <input type="text" id="login" name="login" autocomplete="off" tabindex="-1">
  </div>

  <button type="submit">Absenden</button>
</form>


CSS:

<style>
.honeypot-field {
  display: none !important;
}
</style>


PHP-Code (verarbeitungssendeseite.php):

<?php
// 1. Prüft ob das Formular abgeschickt wurde
if ($_SERVER["REQUEST_METHOD"] === "POST") {

  // 2. Honeypot-Prüfung: Ist das unsichtbare Honeypot-Feld NICHT leer?
  if (!empty($_POST['login'])) {
    // Ein Bot hat das Feld ausgefüllt -> Sofort abbrechen
    die("Spam erkannt!");
  }

  // 3. Wenn das Feld leer ist -> Daten normal verarbeiten
  $name = $_POST['name'] ?? '';
  $message = $_POST['message'] ?? '';

  // Hier folgt der Code zum E-Mail-Versand
  echo "Vielen Dank! Erfolgreich gesendet.";
}
?>


Das ist jetzt ein Beispiel und nicht 1:1 anwendbar, die Codes müssen entsprechend dem Login von Siqunado angepasst und geändert werden, auch entsprechend der erstellten Seiten im Projekt.
Habe ja auch geschrieben, das ein Lösungs-Code hier kein Sinn macht, da es dem Projekt angepasst werden muss.
Diese Beispiel-Codes bringen dir jetzt so 1:1 gar nichts.

Daher auch wie schon geschrieben, das muss Siquando verbessern, wobei das nur eine mögliche Ergänzung zur Sicherheit ist oder wäre.


Mit freundlichen Grüßen

Thomas

Web To Date seit 2004, Siquando Web 12R3, Pro Web 10, Web Client 

#6

gowest

Grünschnabel  (16 Punkte)  ·   männlich  ·   Schweiz  ·   Nachricht senden
 http://www.gowest-store.ch

Hallo Thomas

Herzlichen Danke für deine Unterstützung. Ich habe auch bei Siquando diesbezüglich angeklopft. Die Antwort ist leider wie üblich sehr Entäuschend.

Aber danke Trotzdem

 

Gruss
Heinz

#7

MuggelClan

Forum-Sponsor  (1675 Punkte)  ·   männlich  ·   Deutschland  ·   Nachricht senden

Hallo Heinz,

ich kann dein Problem voll nachvollziehen (bin selbst damit betroffen mit ProWeb gewesen) und dass sich hier Siquando einfach zurücklehnt, das ist ja schon geschäftschädigend und unverschämt. Da kann ich nur mit dem Kopf schütteln.

Du hast zwei unterschiedliche Probleme, denn der NL hat nichts mit dem Login mit Zugriffsschutz zu tun. Mittleweile hast du bzgl. NL einen neuen Thread eröffnet. Bleiben wir hier erst mal beim Problem Login mit Zugriffsschutz.

Es gibt eine Datei mit Namen "createaccount" im folgenden Ordner über FTP-Programm:
/classes/plugins/ngpluginparagraph/ngpluginparagraphlogin/tpl/

Dort kannst du diese tpl-Datei mal kopieren bzw. sichern.
Diese Datei enthält das Formular um ein Besucherkonto für den Zugriffschutz zu erstellen.
Zwischen <form ...> und </form> kannst du folgenden Honeycode einfügen:

<div class="clearfix">
<input type="hidden" name="action" value="Registrieren">
</div>
  <div class="muggelclan-field">
    <label for="kngmuggelclan" style="display:none;">Name:</label>
    <input type="text" id="kngmuggelclan" name="kngmuggelclan" style="display:none;" autocomplete="off" tabindex="-1">
  </div>
<div class="clearfix"></div> 

Diesen Code z.B. unter den folgende Zeilen einfügen:
{if $createerror!==''}
<div class="ngloginerror">
{$createerror}
</div>
{/if}

Dann erstellst du ein Absatztyp "PHP-Clip" direkt oberhalb des Absatztyp "Login" und fügst folgenden PHP-Code hinzu:

<?php
if (isset($_POST['action']) && $_POST['action'] === 'Registrieren') {
  if (!empty($_POST['kngmuggelclan'])) { http_response_code(200);
    die("Erfolgreich!");
  }
}
?>

(für Erfolgreich kannst du hier einen beliebigen Text schreiben und den Spamer was vorgauckeln, so wie auch der Status 200 im Code.)

Wichtig: Der PHP-Clip-Code muss unbedingt vor dem Absatztyp "Login" sein!

Versuche das mal und berichte, ob das nach einiger Zeit funktioniert (beachte das löst nicht das Problem NL, das muss separat angegangen werden.)
Viel Erfolg!

Ich behalte mir aus Sicherheitsgründen vor, dass ich diese Codes hier nach einiger Zeit wieder entferne.
Wer sich auskennt sollte die Codes entsprechend abändern und/oder verbessern. Das sollte aber als Erstmaßnahme helfen (Wenn ich jetzt hier auf die Schnelle keinen Fehler geschrieben habe).

 


Mit freundlichen Grüßen

Thomas

Web To Date seit 2004, Siquando Web 12R3, Pro Web 10, Web Client 

#8

gowest

Grünschnabel  (16 Punkte)  ·   männlich  ·   Schweiz  ·   Nachricht senden
 http://www.gowest-store.ch

Hallo Thomas

Ich habe vor ca. 2-3 Tagen den Code von Dir in mein Formular eingebaut. Seither bekomme ich keine Nutzeranfragen mehr, welche von diesen Bots kommen.

Ich danke Die bestens für deine Unterstützung und Hilfe.

Beste Grüsse
Heinz

#9

alter

Forum-Sponsor  (1494 Punkte)  ·   männlich  ·   Schweiz  ·   Nachricht senden
 https://www.petrollampen-shop.ch

SIQUANDO proMail – vom grossen WOW-Effekt zur schnellen Ernüchterung

Nun ja, es scheint sich leider einmal mehr ein Muster zu wiederholen, das man als SIQUANDO-Kunde durchaus kennen dürfte: Zuerst der grosse WOW-Effekt bei der Präsentation einer neuen Funktion – und kaum ist diese gekauft und in Betrieb genommen, folgt die Ernüchterung.

So zumindest mein persönlicher Eindruck, aktuell am Beispiel von proMail für proWeb/Shop 10.

Was zunächst nach einer praktischen und professionellen Erweiterung aussieht, entwickelt sich offenbar recht schnell zu einer unfreiwilligen Einladung an die internationale SPAM-Gemeinschaft. Kaum in Betrieb, schon darf man sich über unerwünschte Nachrichten freuen. Immerhin scheint die Funktion also bestens erreichbar zu sein. 😉

Besonders bemerkenswert finde ich allerdings den anschliessenden Umgang mit dem Problem. Statt offen einzuräumen, dass die vorhandenen Schutzmechanismen möglicherweise nicht ausreichen und die Entwicklungsabteilung hier nochmals nachbessern sollte, erhält der Kunde vom Support – sofern er überhaupt noch eine Antwort bekommt – eine Rückmeldung, die ich persönlich als wenig überzeugend empfinde.

Wobei ich inzwischen schon fast so weit bin, dass ich mich über eine Antwort freuen würde – ganz unabhängig davon, ob sie das Problem tatsächlich löst. 😉

Dabei wäre Ehrlichkeit doch eigentlich die einfachste und kundenfreundlichste Lösung:

«Wir kennen die Problematik. Eine zufriedenstellende integrierte Lösung können wir derzeit nicht anbieten. Hier besteht aus unserer Sicht noch Entwicklungsbedarf.»

Das wäre zumindest eine Aussage, mit der man als zahlender Kunde etwas anfangen könnte.

Stattdessen bleibt nach meinem bisherigen Kenntnisstand offenbar nur die Möglichkeit, selbst Hand anzulegen und eigenen Code einzubauen, beispielsweise für einen sogenannten Honeypot, wie ihn Thomas beschrieben hat. Ein solcher Ansatz kann automatisierten SPAM deutlich reduzieren, auch wenn er natürlich keinen hundertprozentigen Schutz garantiert.

Man kauft also eine fertige Funktion und darf sich anschliessend gleich noch als Hobbyprogrammierer betätigen. Ein durchaus interessantes Verständnis von Kundenservice und Produktpflege. 😉

Vielleicht sollte SIQUANDO künftig bei der Produktbeschreibung gleich ergänzen:

«WOW-Effekt inklusive – nachhaltige Freude und SPAM-Schutz gegebenenfalls in Eigenregie.»

Natürlich kann keine Software einen vollständigen Schutz vor SPAM garantieren. Das erwartet vermutlich auch niemand. Was man als Kunde aber durchaus erwarten darf, ist eine nachvollziehbare technische Lösung oder zumindest eine offene Kommunikation darüber, wo die Grenzen einer verkauften Funktion liegen.

Und vielleicht wäre es auch nicht ganz verkehrt, wenn die Entwicklungsabteilung gelegentlich einen Blick darauf werfen würde, was nach dem erfolgreichen Verkauf einer Funktion im praktischen Alltag tatsächlich passiert. Denn mit dem Kauf ist die Geschichte für den Kunden bekanntlich noch lange nicht zu Ende.

Schliesslich bezahlt man für eine funktionierende Softwarelösung und nicht für die Gelegenheit, deren Schwachstellen anschliessend in Eigenregie auszubessern.

Denn letztlich ist nicht entscheidend, wie eindrucksvoll eine Funktion bei der Vorstellung wirkt, sondern wie zuverlässig sie sich anschliessend im Alltag bewährt.

Und genau da trennt sich bekanntlich die schöne Produktpräsentation von der tatsächlichen Kundenzufriedenheit.

Mich würde interessieren, ob andere Anwender mit proMail ähnliche Erfahrungen gemacht haben und wie sie das SPAM-Problem gelöst haben.

Vielleicht gibt es ja sogar eine offizielle Lösung von SIQUANDO, die uns bisher entgangen ist. Über eine entsprechende Rückmeldung – idealerweise noch vor dem nächsten grossen WOW-Effekt – würde ich mich jedenfalls freuen. 😉


viele Grüsse René

558 Aufrufe | 9 Beiträge