SPAM umgeht Pflichtfelder

Hallo,
ich hatte heute das erste Mal mit SPAM zu tun - alles von der IP-Adresse 193.32.248.250.
Das Thema vi-solutions.de/de/forum/19-joomla-exten...sehr-viel-spam#11053 kenne ich und habe das verstanden.

Was mich aber wundert, ist die Tatsache, dass ein Datensatz gespeichert werden konnte, ohne dass die Pflichtfelder gefüllt wurden - wie kann das sein?
Unter www.ergebnisliste.de/anmeldeseiten/boden-anmeldeseite findet sich das Formular.
Unter www.ergebnisliste.de/index.php/meldeliste-brinkenlauf sieht man einen Musterdatensatz von mir und darunter einen leeren Datensatz von dem Spammer.

Mit der gleichen IP hat ein Spammer in einem anderen Formular alles ausgefüllt - hier kann ich die Einträge verstehen und muss mir überlegen, wirklich Captcha einzuführen, wenn das sich fortsetzt.
Unter www.ergebnisliste.de/anmeldeseiten/urbar-anmeldeseite findet sich dieses Formular.
Unter  www.ergebnisliste.de/index.php/meldeliste-urbar findet sich mit dem Namen pHqghUme der Spammer, der sich mit testing@example.com mehrfach eingetragen hat (außer einem Eintrag habe ich alle gelöscht).

Hallo Volker,

vielen Dank für die gute Darstellung der vorliegenden Spammer-Daten.

Zu: ohne dass die Pflichtfelder gefüllt wurden - wie kann das sein?

Das ist eine sehr gute Frage und sollte definitiv nicht passieren.
Dazu melde ich mich nochmal.
Ich muss zuvor Rückfrage mit Kollegen halten.

Um den Einsatz eines der unterstützten Captchas zu umgehen, hier ein paar Hinweise auf Möglichkeiten.

F1: Hast du den Honeypot eingestellt?

Anti-Spam-Honeypot:
docs.joomla-5.visforms.vi-solutions.de/d...protection-honeypot/

Zu:  alles von der IP-Adresse 193.32.248.250.

Diese Fälle, also wenige und eher gleichlautende IPs, kannst du gut mit dem Spamschutz-Plugin abfangen.
In deinem Fall mit der Nutzung der 'IP Blacklist'.

Spamschutz-Plugin:
docs.joomla-5.visforms.vi-solutions.de/d...m-protection-plugin/
Whitelists und Blacklists:
docs.joomla-5.visforms.vi-solutions.de/d...lists-und-blacklists

Du kannst in den Whitelists und Blacklists auch Regular Expressions verwenden.
Regular Expression Beispiele:
docs.joomla-5.visforms.vi-solutions.de/d...expression-examples/

Zu: mit dem Namen pHqghUme.

Je nachdem, wie die Zeichen-Struktur der vom Spammer eingetragenen Daten ausschaut, kann auch eine Benutzer-definierte Validierung sinnvoll sein.
In deinem Fall eine Validierung für die Felder 'Vorname' und 'Nachname' die jeweils überprüft, ob der erste Buchstabe eine Großbuchstabe ist (Regular Expression).

Unterstützte Daten-Validierungen:
docs.joomla-5.visforms.vi-solutions.de/d...-daten-validierungen

Zitat:
Validierung: Benutzerdefinierte Validierung
Beschreibung: Individuelle Validierung der Benutzereingabe gegen einen sogenannten Regulären Ausdruck, den Sie frei definieren können.

Hier ein Beispiel mit der Validierung auf ein Pflichtfeld der Form "Vorname  Nachname".
Einsatz einer benutzerdefinierten Validierung:
docs.joomla-5.visforms.vi-solutions.de/d...inierten-validierung

Liebe Grüße, Ingmar

Hallo Volker,

Zu: ohne dass die Pflichtfelder gefüllt wurden - wie kann das sein?

Die Situation ist kompliziert und eigentlich darf das nicht passieren.
Der Übergang von einem Spammer zu einem Hackern ist fließend und auch abhängig von der jeweiligen Definition der Beiden.
Möglicherweise wird deine Seite auch von einem dezidierten Hacker attackiert.

Der Visforms-Code stellt zusätzlich zur Validierung grundsätzlich auch sicher, dass ein Feld-Wert keinerlei Injection zulässt.
Spamschutz für Formulare  >> Überblick >> Hohe Sicherheit:
docs.joomla-5.visforms.vi-solutions.de/d...ion/#hohe-sicherheit

Dazu werden Benutzer-Eingaben unter Umständen entfernt, die etwa eine SQL-Injection durchführen könnten.
Entfernt werden diese Text-Teile beim Speichern der Daten direkt bevor der SQL-Server diese erhält und ungewollte Dinge durchführen würde.

Es könnte sein, dass
- zum Zeitpunkt der Pflichtfeld-Überprüfung ein
  - solcher Text noch existiert, aber später
- zum Zeitpunkt der SQL-Injection-Prüfung, unter anderem mit den Joomla-Datenbank-Funktionen,
  - der Text dadurch komplett geleert wird.

Wie viele derartige Einträge mit leeren Pflichtfeld-Texten hast du denn in der Daten-Tabelle?

Liebe Grüße, Ingmar

Administrator IV wrote:

...
Wie viele derartige Einträge mit leeren Pflichtfeld-Texten hast du denn in der Daten-Tabelle?

Liebe Grüße, Ingmar


 

Hallo Ingmar,
bisher nur ein einziges Mal zwei Stück kurz hintereinander.
Auch die etwa zwei Dutzend Spams mit Inhalt waren nur in dieser einen Nacht.
Danach keinerlei Vorfälle mehr, weder mit noch ohne Inhalt.

Ich weiß nicht, ob Euch das was bringt, aber ich habe mal die Access-Logs von meinem Provider von der Nacht runter geladen. Hier sieht man, dass von dieser IP in der Nacht hunterdtausende Zugriffe erfolgt sind.
Der leere Eintrag erfolgte um 2025-02-06 02:47:25 (Anzeige in Joomla).
Der Eintrag mit Inhalten erfolgte um 2025-02-06 00:44:19
Man darf hier kein zip hochladen und auch nur 100k, sonst hätte ich die Datei mal angefügt.

Hallo Volker,

es wäre für mich super aufschlussreich einen solchen HTML-Request zur Verfügung zu haben.

Das Absenden eines Formulars ist ein sogenannter POST-Request.
Bei einem POST-Request befinden sich die Formular-Daten nicht in der URL als URL-Parameter.
Bei einem POST-Request befinden sich die Formular-Daten im POST-Daten-Bereich unterhalb des Request-Headers.

Das normale Standard-Logging von Web-Seiten-Aufrufen loggt leider nur die gesamte Aufruf-URL (Domäne + Pfad + Parameter), also nur mit den dort befindlichen sogenannten URL-Parameter.
Die in diesem Fall interessanten Formular-Daten  werden also nicht geloggt.
Dadurch ist es leider nicht ersichtlich, genau mit welche Daten der Hacker 'durchkommt'.

Wir hatten vor 6 Monaten einen ähnlichen Fall auf unserer Web-Site mit Spam-Erfolg trotz 'leeren' Pflichtfeldern.
Daraufhin hatte ich ein Tool zum Loggen der Aufrufe inklusive der teilweise durchaus großen POST-Daten geschrieben und in Joomla aktiviert.
Unmittelbar danach hörten die Angriffe mit leeren Pflichtfeldern leider abrupt auf.

Falls ich einen derartig erfolgreichen 'Text-Pflichtfeld-Ist-Leer' POST-Aufruf auf eine Formular-URL als Log-Eintrag hätte, könnte ich diesen mal debuggen und nachschauen, was da genau passiert.
Leider ist da in konkreten Fällen nur sehr schwer dran zukommen.

Liebe Grüße, Ingmar

OK, ich behalte das im Auge und melde mich wieder, falls noch mal was passiert.