Webtechnik

Spam Bots verstehen und bekämpfen

09. September 2009 von Mario

In den Kommentaren zu meinem Artikel über CAPTCHAS kam besonders ein interessantes Mittel als Alternative zu den Captchas auf. Versteckte Formularfelder richtig eingesetzt, ersetzen Captchas. Bei mir keimte dann ein Interesse auf, wie die nervigen Spam Bots eigentlich wirklich vorgehen und ob und warum sie versteckte Formularfelder ausfüllen. Wenn man das Verhaltensmuster der Bots kennt, kann man sie effektiver bekämpfen und außerdem die Wirksamkeit der Methode abschätzen. In diesem Artikel geht es nur um die Formular Spammer, andere Spamarten werden nicht behandelt.

Spam Bots sind dumm

Im Kampf gegen die Bots sollte man sich immer einen Satz gut merken. Bots sind dumm aber nicht dämlich. Sie suchen nach ganz bestimmten Mustern, die ein Mensch festgelegt hat. Primär ist dabei die Suche nach Feldern, die ausgefüllt werden müssen. Felder vom Typ hidden werden darum meistens ausgelassen, da dem Bot beigebracht wurde, dass ein verstecktes Feld nicht von Belang für den Ausfüller ist und übergangen werden soll.
Der Bot prüft also, ob ein type="hidden" im Formularfeld-Tag vorkommt. Falls ja, übergeht er das Feld und füllt es nicht aus. Ebenso suchen schon einige Bots nach CSS Anweisungen wie style="display:none" oder style="visibility:hidden". Darum fallen sämtliche herkömmliche Methoden das Feld zu verstecken, aus der Liste der Möglichkeiten. Es muss also eine Lösung her das Feld für Menschen zu verstecken, aber dennoch von Bots ausfüllen zu lassen.

Einen Bot zu programmieren, der nach den oben genannten Mustern suchen, ist eine leichte Übung. Allerdings können die wenigsten Bots CSS verstehen. Noch sicherer ist es, wenn man die CSS Anweisungen außerdem in ein externes Stylesheet schreibt. Diese auszulesen stellt einen viel größeren Programmieraufwand dar. Also definiert man eine Klasse für das zu versteckenden Feld, oder besser noch: Man packt das Feld in einem Paragraph (<p></p>) oder in eine Ebene (<div></div>) und weist dieser eine Klasse zu. Der Name der Klasse kann frei gewählt werden, sollte doch nicht unbedingt spam oder ähnlich lauten, da der Bot vielleicht auf diese Schlagwörter reagiert. Im schlimmsten Fall, erkennt er den Trick.
Ich war ganz kreativ und habe bei einem Formular die Klasse einfach Schinken genannt.

Für diese Klasse wird dann im Stylesheet folgendes definiert: display:none;
Alternativ dazu, kann das Formularfeld auch aus dem Bildschirmbereich geschoben werden. Hier würde die CSS Anweisung lauten: margin-left:-3000px;.
Für Menschen, die Browser ohne CSS benutzen, sollte in der gleichen Ebene oder im gleichen Paragraph ein Hinweis enthalten sein, der ihnen mitteilt, dass das nachfolgende Feld nicht auszufüllen ist. Der Hinweis wird natürlich für die CSS Leute auf gleiche Weise wie das Formularfeld versteckt.
Damit sollte einiges an Usability und Barrierefreiheit gegeben sein.

Das Codebeispiel

Zum besseren Verständnis habe ich jetzt noch ein Anwendungsbeispiel vorbereitet. Die Codezeilen stammen aus meinem eigenen Kontaktformular.


Der dazugehörige CSS Code:

Und der php Teil:

Ich hoffe es wurde etwas klarer, wie die Bots arbeiten und wie man mit versteckten Formularfeldern prüfen kann, ob das Formular von einem Spam Bot ausgefüllt worden ist.
Viel Spaß mit dieser, meiner Meinung nach, besseren Überprüfung. Ich werde die Methode jedenfalls ausgiebig testen und ggf. in kommenden Projekten einsetzen.