Seite 1 von 1

[3.2] Benutzer-Sicheheit -> Hostnamen sperren

Verfasst: 19.03.2018 22:39
von Andimp3
Hi !

Ich würde gerne *.ru und *.ua als Hostnamen für neue User komplett sperren... leider nimmt mir das ACP hier

*.ua
*.ru

nicht... was mache ich falsch ?

Re: [3.2] Benutzer-Sicheheit -> Hostnamen sperren

Verfasst: 19.03.2018 23:38
von canonknipser
Versuch mal *@*.ru

Re: [3.2] Benutzer-Sicheheit -> Hostnamen sperren

Verfasst: 20.03.2018 17:22
von Andimp3
Nein das funktioniert nicht... wobei mir auch neu wäre das @ in Hostnamen vorkommen dürfen.

Habe nochmal bisschen rumgespielt... scheinbar kann man die Platzhalter (*) nur bei IP-Adressen verwenden aber nicht bei Hostnamen.

176.36.21.* wird angenommen
<existierenden blafasel-Domain>.de wird angenommen
*.ua wird nicht genommen

Sieht mir nach nem Bug aus weil unlogisch.

Re: [3.2] Benutzer-Sicheheit -> Hostnamen sperren

Verfasst: 20.03.2018 17:29
von Melmac
Du willst Benutzer aussperren, deren IPs bestimmten Herkunftsländern zugeordnet sind?

Re: [3.2] Benutzer-Sicheheit -> Hostnamen sperren

Verfasst: 20.03.2018 18:44
von canonknipser
OK, ich hatte verstanden, dass du Mail-Adressen prüfen wolltest

Und was passiert, wenn du in die Blacklist nur die Top-Level-Domain eingibst? Also nur ru oder ua?

Wobei ich mir nicht sicher bin, ob phpBB aktuell einen Domain-Lookup für die IP-Adresse macht, um die Domain des Internet-Providers deines Kunden rauszubekommen. Und wie genau das ist, ist auch fraglich - bei meiner aktuellen IP wird als Provider "Deutsche Telekom" ausgewiesen, obwohl ich mit denen keinen Vertrag habe.

Was du bei solchen Sperreinträgen auch immer im Auge behalten solltest: bei JEDEM Zugriff auf dein Bord wird die IP-Adresse gegen die von dir eingetragene Blacklist geprüft - das kann das Bord ziemlich langsam machen. Also besser andere Anti-Spam-Maßnahmen ergreifen, wie z.B.
  • Sperrung bestimmter Bereiche für Gäste,
    ode rim Bereich der Registrierung:
  • Validierung der E-Mail-Adresse durch "Bestätigung durch den Benutzer"
  • bei kleinen oder quasi-geschlossenen Bords (z.B. für einen Verein) auch "Freigabe durch Administrator"
  • eine gute Q&A-Frage
  • Nutzung der "neu registrierten Benutzer"
  • ggf. zusätzliche, nicht-optionale Profilfelder, die nicht jeder Bot ausfüllen kann

Re: [3.2] Benutzer-Sicheheit -> Hostnamen sperren

Verfasst: 20.03.2018 22:07
von Andimp3
Besten Dank für Eure Beiträge auf die ich wie folgt eingehe !
Melmac hat geschrieben:Du willst Benutzer aussperren, deren IPs bestimmten Herkunftsländern zugeordnet sind?
Richtig... ich betreibe ein rein deutschsprachiges Board und die Wahrscheinlichkeit dass sich aus .ua oder .ru wirklich ein interessierter User anmelden mag ist verschwindend gering.

Ich hatte aber in den lezten Tagen schon einige Anmeldungen aus diesem Bereich wo man klar davon ausgehen kann dass die nur spammen (oder schlimmeres) wollen.
canonknipser hat geschrieben:Und was passiert, wenn du in die Blacklist nur die Top-Level-Domain eingibst? Also nur ru oder ua?
Gerade probiert - das nimmt mir das ACP an macht aber Blödsinn daraus... es "übersetzt wie folgt:

ua - 176.9.128.18
ru - 78.47.107.115

Trace beider IPs führt zu your-server.de !?
[*]Sperrung bestimmter Bereiche für Gäste,
Gäste können mir bei generell nur lesen und auch nicht alle Bereiche.
[*]Validierung der E-Mail-Adresse durch "Bestätigung durch den Benutzer"
Ist so von Anfang an konfiguriert.
[*]eine gute Q&A-Frage
Ich benutze ReCaptcha.
[*]Nutzung der "neu registrierten Benutzer"
Das sagt mir nicht wirklich zu.
[*]ggf. zusätzliche, nicht-optionale Profilfelder, die nicht jeder Bot ausfüllen kann[/list]
Dann müsste man auch wieder jede Useranmeldung prüfen ob "passend" ausgefüllt... das fände ich eher doof.

Re: [3.2] Benutzer-Sicheheit -> Hostnamen sperren

Verfasst: 20.03.2018 22:48
von Mahony
Hallo
Andimp3 hat geschrieben:Ich hatte aber in den lezten Tagen schon einige Anmeldungen aus diesem Bereich wo man klar davon ausgehen kann dass die nur spammen (oder schlimmeres) wollen.
1. Waren das manuelle Anmeldungen, oder per Bot?
2. Als Captcha würde ich das Q&A empfehlen.
3. Du kannst die Länder auch per .htaccess sperren.
Beispiel:

Code: Alles auswählen

Order deny,allow
Deny from .ua #Ukraine
Deny from .ro #Rumänien
Deny from .vn #Vietman
Deny from .cn #China

Deny from .es #Spanien
Deny from .it #Italien
Deny from .fr #Frankreich
Deny from .nl #Niederlande

Deny from .il #Israel
Deny from .in #Indien
Deny from .tr #Türkei
Deny from .ca #Kanada 
Das kann man auch über IP-Adressbereiche machen, welche in den genannten Ländern verwendet werden (ist sogar noch sicherer, denn sonst werden nur User mit den genannten Providerkennungen gesperrt und wenn der böse Spammer z.B. von einer. com Domain aus spammt wird er dann nicht gesperrt).


Grüße: Mahony

Re: [3.2] Benutzer-Sicheheit -> Hostnamen sperren

Verfasst: 20.03.2018 22:54
von canonknipser
Andimp3 hat geschrieben:Ich benutze ReCaptcha.
Aus Erfahrung ist eine gute Q&A-Frage, die sich speziell auf das Bord resp. seinen Inhalt bezieht und nicht per Internet-Suche ("Google") gelöst werden kann, oft besser, weil mit einem ReCaptcha zwar maschinelle Spam-Bots (hoffentlich) sicher abgehalten werden können, aber "vorgeschaltete" menschliche Anmeldungen dadurch nicht geblockt werden. Und ja, es soll durchaus Leute geben, die für ein paar Cent Massenregistrierungen vornehmen. Die müssen beim ReCaptcha ja noch nicht mal die Sprache des Bord können und auch nichts spezielles eingeben. Einfach /ucp.php?mode=register aufrufen, mit Enter bestätigen, Username, Email und 2 * Passwort, kurz auf das ReCpatcha warten / klicken, absenden, fertig (das kann man ggf. auch per Replay-Tool machen, das Tastatureingaben aufzeichnet und auf Anforderung wiedergibt)

Die Bestätigungsmails werden dann schon von den Spambots abgearbeitet.
Andimp3 hat geschrieben:Gerade probiert - das nimmt mir das ACP an macht aber Blödsinn daraus... es "übersetzt wie folgt:

ua - 176.9.128.18
ru - 78.47.107.115
Bei mir im 3.2.2-Bord kann ich das gar nicht eingeben ...
Andimp3 hat geschrieben:Das sagt mir nicht wirklich zu.
Warum nicht?
Andimp3 hat geschrieben:
ggf. zusätzliche, nicht-optionale Profilfelder, die nicht jeder Bot ausfüllen kann

Dann müsste man auch wieder jede Useranmeldung prüfen ob "passend" ausgefüllt... das fände ich eher doof.
Warum? Damit kannst du leicht verhindern, dass ein Bot mittels aufgezeichneter Tastatureingaben die Registrierung abschließt - dann muss eine zusätzliche, nicht im Standard von phpBB enthaltene Aufgabe gelöst werden. Dafür haben die ggf. beauftragten Massenregistrierer gar keine Zeit. Prüfen brauchst du das Profilfeld nicht 8)