Nutzeranmeldungen

Hallo Zusammen

Seit dem einbinden des Newsletter MailPro10, werden wir mit unzähligen Fake-Nutzeranmeldungen bombadiert. Siehe folgende Zeile.

"Der neue Nutzer tom@crobar.net.au hat sich angemeldet, wurde aber noch nicht freigeschaltet. Öffnen Sie die Funktion "Zugriffsschutz" in Pro Web und setzen Sie seinen Status auf "Aktiv", um ihm Zugriff zu gewähren."

Dadurch werden sehr viele unerwünschte Einträge im NL-Empfänger generiert. Ebenso sind die Mail-Adressen auch im Verzeichnis für den Zugriffschutz eingetragen. 

Vom Siquando Support haben wir nur eine halbherzige Antwort erhalten, welche nicht hilfreich ist.

Hat jemand von Euch hier im Forum bereits Erfahrungen mit diesem Problem gesammelt und weiss wie diese Fake-Anfragen gestoppt werden können.

Grüsse

Heinz

Hallo Heinz,

mit Bordmittel hast du da so gut wie keine Chance.
Da müsste Siqunado weitere Schutzmaßnahmen hinzufügen, wie z.B. Honeypot-Felder, Zeitsperren, Rate Limiting und DDoS-Schutz, wobei ein allgemeines DOS-Schild gibt es bereits, das man allgemein für Seiten und Bilder über ProjectCentral aktivieren kann (Aber vorsicht nicht einfach aktivieren, sondern erst in der Hilfe lesen!). 

Ich habe mir ein eigenes Formular mit mehr als nur ein Honeypot-Feld erstellt. 
Ein Honeypot-Feld ist ein verstecktes Eingabefeld, das die Besucher nicht sehen, aber die Bots automatisiert trotzdem ausfüllen. Füllt ein Bot dieses Feld aus, wird die Nachricht mit einem kleine script (mit Befehl "die..." blockiert.
Seitdem habe ich keine weiteren Probleme mehr, aber es muss auch gesagt werden, es gibt Bots, die dazulernen und auch soche Maßnahmen umgehen können.

Pauschal kann hierzu diese Lösung hier nicht allen geteilt werden, denn ... , naja wohl, und es ist ein spezielles Formular, das dann auf das Projekt und Seite zugeschnitten ist.

Daher wie schon geschrieben, es müsste Siqunado weitere Schutzmaßnahmen hinzufügen und nicht nur Captcha.

Hallo Thomas

Ich danke Dir bestens für deinen Input. Ich werde dein Vorschlag versuchen Umzusetzen und mal schauen ob das was bringt.

Gruss

Heinz

Hallo Thomas

Ich habe versucht deine Anweisung umzusetzen. Da ich jedoch lediglich Anwender bin, fehlt mir das nötige Wissen, diesen Code im Pro Shop10 einzubauen.

Ist es dir Möglich mir eine detaillierte Anweisung zukommen zu lassen, wie und wo dieser Code eingebaut werden muss.

Gruss
Heinz

Hallo Heinz,

ich habe hier gar keine Anweisung und kein Code hinterlegt.

Aber hier mal ein Beispiel, wie ein Honeypot-Feld aussehen könnte:

HTML-Code:

<form action="verarbeitungssendeseite.php" method="POST">
  <!-- Echtes Feld -->
  <label for="name">Name:</label>
  <input type="text" id="name" name="name" required>

  <label for="message">Nachricht:</label>
  <textarea id="message" name="message" required></textarea>

  <!-- HONEYPOT-FELD (unsichtbar durch css) -->
  <div class="honeypot-field">
    <label for="login">Bitte dieses Feld leer lassen:</label>
    <input type="text" id="login" name="login" autocomplete="off" tabindex="-1">
  </div>

  <button type="submit">Absenden</button>
</form>

CSS:

<style>
.honeypot-field {
  display: none !important;
}
</style>

PHP-Code (verarbeitungssendeseite.php):

<?php
// 1. Prüft ob das Formular abgeschickt wurde
if ($_SERVER["REQUEST_METHOD"] === "POST") {

  // 2. Honeypot-Prüfung: Ist das unsichtbare Honeypot-Feld NICHT leer?
  if (!empty($_POST['login'])) {
    // Ein Bot hat das Feld ausgefüllt -> Sofort abbrechen
    die("Spam erkannt!");
  }

  // 3. Wenn das Feld leer ist -> Daten normal verarbeiten
  $name = $_POST['name'] ?? '';
  $message = $_POST['message'] ?? '';

  // Hier folgt der Code zum E-Mail-Versand
  echo "Vielen Dank! Erfolgreich gesendet.";
}
?>

Das ist jetzt ein Beispiel und nicht 1:1 anwendbar, die Codes müssen entsprechend dem Login von Siqunado angepasst und geändert werden, auch entsprechend der erstellten Seiten im Projekt.
Habe ja auch geschrieben, das ein Lösungs-Code hier kein Sinn macht, da es dem Projekt angepasst werden muss.
Diese Beispiel-Codes bringen dir jetzt so 1:1 gar nichts.

Daher auch wie schon geschrieben, das muss Siquando verbessern, wobei das nur eine mögliche Ergänzung zur Sicherheit ist oder wäre.

Hallo Thomas

Herzlichen Danke für deine Unterstützung. Ich habe auch bei Siquando diesbezüglich angeklopft. Die Antwort ist leider wie üblich sehr Entäuschend.

Aber danke Trotzdem

Gruss
Heinz

Hallo Heinz,

ich kann dein Problem voll nachvollziehen (bin selbst damit betroffen mit ProWeb gewesen) und dass sich hier Siquando einfach zurücklehnt, das ist ja schon geschäftschädigend und unverschämt. Da kann ich nur mit dem Kopf schütteln.

Du hast zwei unterschiedliche Probleme, denn der NL hat nichts mit dem Login mit Zugriffsschutz zu tun. Mittleweile hast du bzgl. NL einen neuen Thread eröffnet. Bleiben wir hier erst mal beim Problem Login mit Zugriffsschutz.

Es gibt eine Datei mit Namen "createaccount" im folgenden Ordner über FTP-Programm:
/classes/plugins/ngpluginparagraph/ngpluginparagraphlogin/tpl/

Dort kannst du diese tpl-Datei mal kopieren bzw. sichern.
Diese Datei enthält das Formular um ein Besucherkonto für den Zugriffschutz zu erstellen.
Zwischen <form ...> und </form> kannst du folgenden Honeycode einfügen:

<div class="clearfix">
<input type="hidden" name="action" value="Registrieren">
</div>
  <div class="muggelclan-field">
    <label for="kngmuggelclan" style="display:none;">Name:</label>
    <input type="text" id="kngmuggelclan" name="kngmuggelclan" style="display:none;" autocomplete="off" tabindex="-1">
  </div>
<div class="clearfix"></div> 

Diesen Code z.B. unter den folgende Zeilen einfügen:
{if $createerror!==''}
<div class="ngloginerror">
{$createerror}
</div>
{/if}

Dann erstellst du ein Absatztyp "PHP-Clip" direkt oberhalb des Absatztyp "Login" und fügst folgenden PHP-Code hinzu:

<?php
if (isset($_POST['action']) && $_POST['action'] === 'Registrieren') {
  if (!empty($_POST['kngmuggelclan'])) { http_response_code(200);
    die("Erfolgreich!");
  }
}
?>

(für Erfolgreich kannst du hier einen beliebigen Text schreiben und den Spamer was vorgauckeln, so wie auch der Status 200 im Code.)

Wichtig: Der PHP-Clip-Code muss unbedingt vor dem Absatztyp "Login" sein!

Versuche das mal und berichte, ob das nach einiger Zeit funktioniert (beachte das löst nicht das Problem NL, das muss separat angegangen werden.)
Viel Erfolg!

Ich behalte mir aus Sicherheitsgründen vor, dass ich diese Codes hier nach einiger Zeit wieder entferne.
Wer sich auskennt sollte die Codes entsprechend abändern und/oder verbessern. Das sollte aber als Erstmaßnahme helfen (Wenn ich jetzt hier auf die Schnelle keinen Fehler geschrieben habe).