Okresowe czyszczenie kont zakładanych przez boty

[DzikiZdeb]

Jak rozumiem oficjalny administrator na stronę forum nie zagląda, ale może ktoś inny ma odpowiednie uprawnienia. Proponuję okresowe czyszczenie kont zakładanych przez boty, ponieważ jak ktoś to nagle uruchomi, to się nie pozbieramy z rozumem. Sądząc po rosnących lawinowo id użytkowników w 2017 zostało założone 8033 konta, z czego pewnie jakieś pół procent przez ludzi. Reszta, jak się można zresztą naocznie przekonać, to automaty:

http://forum.tpzn.pl/index.php?action=profile;u=61833
http://forum.tpzn.pl/index.php?action=profile;u=61834
(... i tak dalej i tak dalej, 31 grudnia mamy już prawie 70000... : )
http://forum.tpzn.pl/index.php?action=profile;u=69864
http://forum.tpzn.pl/index.php?action=profile;u=69865

W tym roku jest już ponad setka.

Najmniej uciążliwym dla prawdziwych, acz nieśmiałych forumowiczów byłoby cięcie kont np. raz na miesiąc, po warunkach:
- zarejestrowany, ale niezalogowany
- założony co najmniej 30 dni wcześniej.

[Lech Stępniewski]

Przyznam się, że nie rozumiem.

Nie jest to forum, na które realnie zapisywałoby się kilkadziesiąt osób dziennie. Średnia to chyba mniej niż jedna osoba. Czemu zatem nie wprowadzić rejestracji "ręcznej"? Aktywacja konta dopiero po wysłaniu takiej prośby na adres administracji.

W sumie kosztuje to administrację znacznie mniej fatygi.

[DzikiZdeb]

Czemu zatem nie wprowadzić rejestracji "ręcznej"? Aktywacja konta dopiero po wysłaniu takiej prośby na adres administracji.

Teoretycznie oprogramowanie forum ma trzy mechanizmy weryfikacji:
- obecnie włączone obrazki z zamazanymi literami (tzw. captcha); z tego co widzę to po prostu nie działa, bo jest uzależnione tylko od sesji przeglądarki (w tej samej sesji wyświetla się zawsze ten sam ciąg znaków), czyli jak się raz dobrze skalibruje skrypt można go uruchamiać w nieskończoność
- zbiór predefiniowanych pytań typu "wpisz słownie wynik działania trzy + 7"
- rejestracja z dodatkową weryfikacją administratora

Nie wiem, czy dwa pozostałe działają na bieżącej, dość archaicznej wersji oprogramowania, jeśli tak, to pytania predefiniowane powinny załatwić sprawę (o ile znowu nie wystarczy raz podać właściwej odpowiedzi i do wyłączenia przeglądarki za trzy lata wszystkie formularze rejestracyjne nie będą miały tego samego pytania).

Tymczasem dochodzimy powoli do użytkownika nr 70000. Od mojego porannego posta mamy dziesięciu nowych mieszkańców wysp szczęśliwych, ostatni z numerem 69996.

[cancan62]

- rejestracja z dodatkową weryfikacją administratora

Obecnie widze 16654 uzytkownikow oczekujacych na zatwierdzenie.

[qcho]

Wszystkie te konta sa nieaktywne, czyli boty nie potwierdziły rejestracji.
Na razie włączyłem dodatkową opcję Stop Forum Spam która sprawdza email na strone stopforumspam.
Zobaczymy, czy ilość botów się zmniejszy. Jeśli nie, to będziemy myśleć dalej.

[cancan62]

Dla mnie najwazniejsza jest teraz decyzja: czy zostawiamy konta, bo sa rozpoznane pod wzgledem chocby IP adresu, czy wywalamy?

Oczywiscie pozostawione konta musza byc nieaktywowane, lub zbanowane; jesli decyzja jest by zostawic.

[qcho]

Tak czy siak warto to wyczyscic. Ponad 300 stron....
Mozesz zaczac a czego nie zdazysz ja jutro dokoncze.

[cancan62]

Melduję, że zadanie wykonane.

[DzikiZdeb]

Dziękuję :-)

A teraz będę marudził dalej. Czy przypadkowo podane przeze mnie dwa konta z samego początku 2017 są zweryfikowane i mogą zacząć zaraz oferować chińskie części zamienne? Wyglądają na tak samo założone przez automat. Ile jest takich?

http://forum.tpzn.pl/index.php?action=profile;u=61833
http://forum.tpzn.pl/index.php?action=profile;u=61834

Wstawienie weryfikacji e-maila moim zdaniem wiele nie pomoże, ale to się okaże po jednym-dwóch dniach. Na razie po ustawieniu mamy jednego nowego, ale za to jubileuszowego

http://forum.tpzn.pl/index.php?action=profile;u=70000

[qcho]

Dzięki Jacku za wyczyszczenie całej tej zgrai

Co do reszty zapytań - odpowiem tak:

Obecna wersja SMF ( po ostatniej aktualizacji ) to SMF 1.1.21.
I to jest ostatnia jaką można zrobić bez większych ingerencji w skrypty oraz bazę.
Aby pójść dalej trzeba zrobić pełen backup, oraz pozmieniać trochę skrypty - a to już trochę więcej pracy.
Zapewne w końcu to zrobimy.

Poszukam w wolnej chwili czy są jakieś moduły zabezpieczające dla naszej wersji, ale wątpię, bo świat poszedł do przodu
przez te kilka lat i wszystko co nowe wymaga nowszej wersji SMF.

[Lech Stępniewski]

Nie wiem, czy zostałem dobrze zrozumiany.

Nie chodziło mi o ręczne zatwierdzanie konta jako element całej procedury.

Gdybym prowadził takie forum, wyłączyłbym wszelką automatykę rejestrującą, formularze etc. i zamiast niej wywiesił ogłoszenie, by chętni wysłali maila na podany adres (adres na obrazku), w którym napiszą coś od siebie w jednym zdaniu oraz podadzą nick pod jakim chcieliby występować.

Następnie konto zakładałby administrator, a oni zwrotnie otrzymywaliby tymczasowe hasło, które potem mogliby zmienić, podobnie jak inne dane.

Oczywiście złośliwy człowiek dalej mógłby sobie założyć konto spamowe, ale na złośliwców nie ma rady, a tutaj przecież szaleją boty.

Można też wprowadzić dodatkowy wymóg, by każdy zarejestrowany przynajmniej raz na kwartał (pół roku, rok) coś napisał i konta nieużywane kasować.

O ile wiem, forum w całości jest widoczne dla osób niezarejestrowanych, więc do samego czytania zakładanie konta nie jest w ogóle potrzebne.

[DzikiZdeb]

Aby pójść dalej trzeba zrobić pełen backup, oraz pozmieniać trochę skrypty - a to już trochę więcej pracy.
Zapewne w końcu to zrobimy.
(...)
świat poszedł do przodu

Patrząc od strony kuchni mam mieszane wrażenia co do kierunku, w którym podąża od mniej więcej dekady przemysł software'owy - niekoniecznie to jest przód. Stąd też upgrade do wyższej wersji zostawiłbym do momentu, w którym coś więcej zacznie zawodzić. Robiłbym to tak - ta instancja zostaje bez zmiany, stawiamy nową instancję na boku w nowej wersji i tam odtwarzamy backup bazy.

Na razie jest chyba mniej aktywności botów, od nocnego czyszczenia powstały tylko trzy nowe konta:

http://forum.tpzn.pl/index.php?action=profile;u=70000
http://forum.tpzn.pl/index.php?action=profile;u=70001
http://forum.tpzn.pl/index.php?action=profile;u=70002

Na chwilę obecną wyciął bym natomiast wszystkie nigdy niezalogowane konta o zerowym dorobku, takie jak te, które podałem poprzednio. Jeśli jest to trudne od strony interfejsu, mogę pomóc wyciąć to od strony bazodanowej (rozumiem, że dostęp do jakiejś choćby najprostszej konsolki SQL jest?).

[DzikiZdeb]

Gdybym prowadził takie forum, wyłączyłbym wszelką automatykę rejestrującą, formularze etc. i zamiast niej wywiesił ogłoszenie, by chętni wysłali maila na podany adres (adres na obrazku), w którym napiszą coś od siebie w jednym zdaniu oraz podadzą nick pod jakim chcieliby występować.

Byłbym za, ale widzę że administratorzy są przywiązani do narzuconych przez producenta SMF gotowych rozwiązań.

[qcho]

Wyczyściłem wszystko do zera. Licznik spamerów bije od nowa...

Co do wersji SMF to 2.0 i wyżej ma trochę więcej możliwości AntiSpam.

Proszę spojrzeć na liste: http://www.smf.pl/index.php?topic=8423.0

Z tej listy my mamy:
CAPTCHA - słabe
Stop Forum Spam - w miarę dobrze działająca zapora AntiSpam.
Mamy ją włączoną bez opcji nick ale z opcją email i IP.

Co do aktywacji ręcznej to jestem przeciwny.
Po pierwsze ilość aktywnych spamerów, którzy piszą spamerskie posty na forum jest baaardzo znikoma w porównaniu do ilości
nieaktywnych spamerów, którzy przeszli przez rejestrację, tak więc niewiele to zmieni w naszej sytuacji.

Po drugie - ważniejsze - sam kilkukrotnie przechodziłem przez taką rejestrację na innych forach i zawsze mnie to irytowało.
Czekanie na zatwierdzenie rejestracji przez admina nie jest przyjemne, tym bardziej kiedy właśnie mamy
problem tu i teraz i bardzo chcemy zadać jakieś pytanie. A tu czekaj bracie aż ktoś to przeczyta i klepnie.

Dajmy sobie trochę czasu - zobaczymy jak zadziała Stop Forum Spam.

Oczywiście każde kontrargumenty mile widziane.

[cancan62]

To co robimy z kontami, gdzie jest zero wiadomosci a "ostatnio online" albo nigdy, albo 3500 dni temu?