Последните дни получавах по 30-50 модерационни съобщения на ден. Все от коментарни ботове, които рекламираха виагра, порно, покер, ксанакс и какви ли не други боклуци. Не че коментарите минаваха, но ми се налагаше ежедневно да ги модерирам, за да не се задръстя.
Вбесен от ситуацията, започнах да търся решение. Преди време бях мислил да сложа проверка дали наистина човек въвежда коментара и тогава ми беше попаднал някакъв плъгин, който добавя малко изображенийце. Стандартен human check, който се използва къде ли не. Е, разрових се отново из плъгините за WP, и намерих SecureImage плъгин, който вършеше точно това. Стандартен WP плъгин, лесна инсталация и приятен интерфейс и настройки.
Сложих плъгинчето, разреших го и всичко си тръгна. Понеже засега смятам да боря само коментарния неинтелигентен роботски спам, сложих минимални настройки на плъгина – 3 символа, махнах “0” и “О”, за да не се бърка нашего брата и т.н. С две думи – олекотих задачата на разни OCR системи, но аз не мисля че роботизираните спамери ще си губят времето с мен. Целта им е “колкото се може повече спам в колкото се може повече блози”, а моят блог вече е костелив орех за тях – иска reverse engineering, което хич не е лесна работа.
Знам, че всички коментиращи тук може би няма да одобрят много идеята. Истина е, че сега ще трябва да гледаме по-внимателно и да въвеждаме контролни три букви, но (както казах на :Ира:): Ако някой иска да коментира, тогава тези три буквички едва ли ще го спрат. Ако пък го спрат – явно не е имал достатъчно желание. Дано да не ви пречи много.
Всъщност, има един хак, благодарение на който често коментиращите ще могат се улеснят. Ако често коментирате тук (има хора, които го правят, и аз ужасно много съм им благодарен за обратната връзка), регистрирайте се в блога, логнете се и кажете на WP да ви запомни логинът! Цената на това улесение е още един акаунт (който евентуално трябва да помните), и още едно куки на компютрите ви. Но за сметка на това няма да ги има контролните три цифри при всеки коментар, както и необходимостта да проверявате верни ли са ви името, сайтът и мейл адресът!
След като активирах плъгина, накарах Ира и Лъчко да го тестват. Лъчко ми обърна внимание на важен детайл: когато контролния низ е кратък, MD5 контролната сума (името на контролното изображение) е видима и лесно разбиваема. Аз съответно запретнах ръкави, за да отстраня тоз минорен проблем (сега пак е видима, но не е разбиваема без достъп до базата с данни. А който стигне до базата с данни, вече е свършил далеч по-черно дело от коментарен спам :)). Докато отстранявах минорния проблем забелязах редица SQL Injection атаки, на които плъгинчето беше податливо (някои от тях – особено грозни!) и отстраних и тях. Сега ще трябва да седна (май веднага след този материал) да напиша кратко обяснение какво съм направил, както и да публикувам кода. Хората, които вече използват плъгина трябва да ъпгрейднат, освен ако не искат да осъмнат с поизпразнени бази данни. Специални благодарности на Лъчко (за това, че ми обърна внимание на проблемът) и на Ира за тестването и за това, че амбицира Лъчко да се хване и той :).
> > The image above (cc) Seldom Sober
Я, работи :-). И регистрацията става супер бързо. Дано само не си забравя паролата ;-).
И да си я забравиш, има прекрасен password reminder :). Пък и някакси познаваш администратора…
проба, проба, 1, 2, 3 проба – работи ли? Работии…
Мен лично не ме затруднява, не би и затруднило никого, който влиза тук 🙂
А защо не пробваш да слагаш картинката само за коментиране на постове, които са по-стари от седмица-две да речем. От опита ми заключавам, че толкова стари неща не се коментират чак толкова, а спама е насочен предимно към тях.
@Пейо: съветът ти е доста ценен, и няма да е трудно да се осъществи! Ще пробвам да модифицирам плъгина, за да има възможност да му кажеш “дни, след които да слага картинка”! И без това с авторът вече си имаме чат относно един-два проблема, които му докладвах. А забелязвам, че и pingback-ците не работят нещо след като инсталирах този плъгин.
Но ако направя такава възможност, ще трябва да включа (отново) коментарната модерация, което е нещо досадно за новите коментиращи – хем картинка, хем модерация… Но животът е тежък, и пълен със СПАМ.
Значи по отношение на SecurityImage Code, един въпрос – за какво ти е hidden параметъра
“securityhash”? До колкото схващам това е MD5 хеша на secirity code, който трябва да се въведе и според това, което е въвел юзера го сравняваш дали е вярното… Но защо трябва да го показваш на сайта?? По принцип не е ли по-добре този параметър да го “държиш” скрит в сесията, т.е. вместо това hidden поле мисля, че е по-добре да ползваш $_SERVER[‘securityhash’] = … Само идея де, не го приемай като критика, може и да не съм го разбрал правилно:)
Сайтът е готин, поздравления! И разбира се Честита нова година!
Успех!
@Velizar: МД5 хешът на точния текст, който се изисква да бъде въведен, не се показва никъде. Той е скрит в базата данни. Ако погледнеш сорсът, мисля че ще ти стане ясно от раз. Мерси за поздравленията, и ЧНГ и на теб!