4images: massenweise Userregistrierungen [Archiv]

BadMan

31.08.2011, 09:30

Hallo zusammen,

seit ein paar Tagen registrieren sich massenweise neue User auf meiner 4images-Homepage (Version 1.7.6).
Diese besuchen immer genau die 2 gleichen Seiten meiner Homepage. Einstieg über diese (http://www.eisfeldweb.de/galerie/categories.php?cat_id=47) und dann auf die Registrierungsseite.

Spam-Kommentare unter meinen Bildern bin ich ja schon gewohnt, aber das scheint wohl eine neue Masche zu sein.
Nur, was bezwecken die damit? Außer der Registrierung gibt es keine weiteren Aktionen dieser User.
Und kann man das irgendwie unterbinden?

Tommyknocker

31.08.2011, 09:32

Ein Captchafeld bei der Registrierung?
Wenn sie, ausser sich zu registrieren nichts weiter tun, dann würd mich das auch nicht weiter stören.

BadMan

31.08.2011, 09:49

Ein Captchafeld bei der Registrierung?
Yepp, ist vorhanden.
Aber das scheint ja auch bei den Spam-Kommentaren nichts zu nützen.
Vielleicht hilft es ja, auf die neueste Version (1.7.10) upzudaten.

Und stimmt schon, wirklichen Schaden habe ich dadurch nicht (zumindest keinen für mich ersichtlichen). Aber verwundern tut es mich halt.

Dana

31.08.2011, 09:56

Hallo, Jörg!

Auf welche Seiten gehen sie denn immer?
Es kann sein, dass irgendein Bild bei Google gerankt ist und immer, wenn zu dem Thema was im Fernsehen kommt, suchen die Leute danach dann im Net. Achte mal drauf, ob sich das wellenweise wiederholt.

Bei meinem Blog war das früher so. Da gab es Themen, die plötzlich von einem auf den anderen Tag von 200 Lesern auf 2000 Leser anschwollen...und nach ein paar Tagen war das vorbei.

Es kann natürlich auch so ein Spambot sein oder ein Bot, der dir gerne deine Seite durch unzählige Neuanmeldungen lahmlegen will...aber sowas wollen wir doch nicht hoffen.

BadMan

31.08.2011, 10:13

Auf welche Seiten gehen sie denn immer?
Habe ich ja oben geschrieben. Es werden nur 2 Seiten besucht.
Zuerst mein Namibia-Startseite (http://www.eisfeldweb.de/galerie/categories.php?cat_id=47) und dann die Registrierungsseite (http://www.eisfeldweb.de/galerie/register.php), das war es.

Leider sagt meine Statistikauswertung bei Referrer "unbekannt".
Was ich zu den Besuchern sagen kann:
Server ist immer www.sky.com, Browser IE7, WinXP, Monitorauflösung 1362x615, Farben 32 bit. :D

Und der Usernahme enspricht immer in etwa der Email-Adresse.

fhaferkamp

31.08.2011, 10:19

Kann man nicht irgendwo einstellen, dass der Admin die Anmeldung erst bestätigen muss? Ich kann gerade nicht nachsehen, aber such mal im Einstellungsdialog.

BadMan

31.08.2011, 10:53

Kann man nicht irgendwo einstellen, dass der Admin die Anmeldung erst bestätigen muss? Ich kann gerade nicht nachsehen, aber such mal im Einstellungsdialog.
Ja, hast Recht. :oops:

Bei mir ist es so eingestellt, dass der neue User seinen Account noch über einen Email-Link aktivieren muss.
Alternativ kann der Account auch durch den Admin aktiviert werden.

Habe es jetzt mal umgestellt. Mal schauen, ob es nützt.

---------- Post added 31.08.2011 at 11:16 ----------

So, habe nun bereits die erste mail bekommen, über die ich einen neuen User aktivieren kann.

Ob diese Methode so viel besser ist?
Jetzt bekomme ich vom 4images-System laufend Emails, die ich löschen muss und der User steht trotzdem in der Userliste, auch wenn der Account nicht aktiviert ist. Der Vorteil ist, dass ich es sofort mitbekomme.

Jetzt bin ich mir leider nicht sicher, ob die bisherigen neuen User ihren account aktiviert hatten.
Ich habe es jetzt wieder umgestellt und werde es mal beobachten.
Wenn es sich um nichtaktivierte Accounts handelt, spricht ja alles dafür, dass es sich um bots handelt. Aber auch die Art der Usernamen und Email-Adressen lässt ja darauf schließen.

mintracer

31.08.2011, 11:33

Ich weiss auch nicht was dieser Spam "sch**ss" soll...

Betrifft nicht 4 images direkt, kann aber ähnliche Ursachen haben...

ich habe PixelPost am laufen... dort kann man auch Kommentare schreib zu den einzelnen Bilder... Da ich aber dies nicht wollte, hatte ich mir ein Template gebastelt ohne diese funktion...

nach ca. 4 Monaten betrieb, erschienen einige Bilder einfach nicht mehr... andere zugleich aber schon... also machte ich mich auf die Suche...

Ich stellte fest, das die Bilder die nicht mehr erschienen, jeweils so um die 30-40000!! Kommentare hatten... Natürlich alles SPAM... Während ich diese löschte, kamen im Freiflug direkt neue...

Also suchte ich einen weitere Grund, für diese Spameinschleusung...

Im System gabs einen save_comment parameter... den sich der "Spammer" rausgesucht hatte... über diesen "Direktlink" konnte er also Kommentare posten...

Nachdem ich diesen save_comment parameter geändert hatte, kam kein neuer Spam...

Was ich damit sagen möchte, ist, das es möglich wäre, wenn man den Link kennt, solche Registrierungen "automatisiert" durchzuführen...

Vielleicht gibt's ja für 4images einen Mod/Hack der das erschwert?!

BadMan

31.08.2011, 12:24

Ich stellte fest, das die Bilder die nicht mehr erschienen, jeweils so um die 30-40000!! Kommentare hatten... Natürlich alles SPAM
Das ist natürlich heftig. :shock:
So schlimm ist es bei mir zum Glück bei weitem nicht. Mehrere Kommentare täglich, dann auch mal tagelang Ruhe. Immer nur ein Kommentar pro Bild, aber dann unter mehrere Bilder gleichzeitig.
Daher ist das Kommentarfeld auch noch frei zugänglich, also auch für nichtregistrierte User.

Anders sah das bei meinem Gästebuch aus. Das habe ich irgendwann gesperrt.

Was ich damit sagen möchte, ist, das es möglich wäre, wenn man den Link kennt, solche Registrierungen "automatisiert" durchzuführen...

Vielleicht gibt's ja für 4images einen Mod/Hack der das erschwert?!
Da muss ich jetzt erst mal beobachten, ob die Registrierung überhaupt vollständig war, d.h., ob die User sich auch freischalten können.

Schmiddi

31.08.2011, 13:13

Ich habe Kommentierung sowie Registrierung einfach abgestellt - vielleicht ist das eine Option? Warum und wofür sollte sich wer "Fremdes" da anmelden dürfen? Wenn ich einen "privaten" Bereich habe, dann kann ich denen, die "privat" sind, die Zugangsdaten auch per Mail schicken...

Andreas

A1-Chris

31.08.2011, 13:34

Vielleicht ist das ja Dein neuer "Freund", der von der Mühle... ;);):cool:

BadMan

31.08.2011, 14:16

Warum und wofür sollte sich wer "Fremdes" da anmelden dürfen?

Das hatte ich mal aus mehreren Gründen gemacht.
Ich habe ja meine Otzenrath-Abteilung. Damals wollte ich anderen Usern die Gelegenheit geben, selber Bilder dort hochzuladen. Es ist zwar nie genutzt worden (bis auf einen User), da ich es auch nicht richtig beworben hatte, aber die Möglichkeit bestand.
Dann habe ich auch noch einen privaten Bereich, den nur registrierte User sehen können. Dort hatte ich mal Bilder von einer Feier eingestellt, die dann nur mit dem entsprechenden Usernamen und Passwort gesehen werden können.
Und die Postkartenfunktion biete ich auch nur registrierten Usern an.

Aber eigentlich ist das alles nicht wirklich nötg, da hast Du Recht.

Vielleicht ist das ja Dein neuer "Freund", der von der Mühle... ;);):cool:
Dann hätte er aber sehr viel Zeit und ist mit seinen Mühlenerhaltungsmaßnahmen nicht ausgelastet, wenn er sich noch morgens um 4 bei mir registriert. ;)

Irmi

31.08.2011, 21:11

BadMan

01.09.2011, 09:56

Jetzt bin ich mir leider nicht sicher, ob die bisherigen neuen User ihren account aktiviert hatten.
So, zu Info: Die schaffen es tatsächlich, den Account über den zugesandten Link zu aktivieren.

Was ich immer noch nicht verstehe, was damit bezweckt werden soll.
Spam-Einträge im Gästebuch oder in Kommentaren, die ja idR dann Links zu ominösen Seiten enthalten, verstehe ich ja noch. Ist halt wie die Werbung im Briefkasten. Ein Dummer findet sich immer, der darauf reinfällt oder sich gar dafür interessiert.
Aber einfach nur eine Registrierung? Um bei dem Vergleich mit der Werbung zu bleiben, wäre das ja in etwa so, wenn Jemand seine Visitenkarte in Briefkästen schmeißt, auf der aber nichts außer dem Namen stehen würde.

fhaferkamp

01.09.2011, 10:01

Vielleicht ist es ja leichter, das System irgendwie anzugreifen, wenn man als Benutzer registriert ist?
Ich würde die ungewollten Benutzer sicherheitshalber wieder löschen.

BadMan

01.09.2011, 10:08

Vielleicht ist es ja leichter, das System irgendwie anzugreifen, wenn man als Benutzer registriert ist?
Das wird sicher so sein.
Aber als ich die neuen netten User das erste entdeckt hatte, waren die schon eine Weile registriert. Und augenscheinlich gab es seitdem keine weiteren Aktionen.
Ich würde die ungewollten Benutzer sicherheitshalber wieder löschen.
Ist natürlich längst geschehen.

Kabuto

01.09.2011, 14:35

Beim Ursprung der Regestrierungen könntest Du anklopfen um festzustellen, ob die zufällig irgendwie mal deine Website bekannt gemacht haben (war da nicht irgendwas mit Sky.com)

Vielleicht ist in einer gewissen Szene ein neuer exploit bekannt, der nach einem login in die Software von 4images vorbereitet/benutzt werden kann. Aber erstmal ruhen soll, bis er für "was auch immer" gebraucht wird.
Würde dir erstmal empfehlen, beim Softwarehersteller anzufragen, ob da was bekannt ist.Und vor allem: schließe erstmal die Regestrierungsmöglichkeit für einige Zeit. Die merkwürdigen Regestrierungen löschen und Riegel drauf halten. Ist für Dich erstmal nicht schön, und für mögliche ernstgemeinte Anmeldungen bei Dir auch nicht. Aber besser so (als im schlimmsten Fall eine gepfefferte Schadensersatzklage zu kriegen, weil Du nicht trotz Auffälligkeiten nicht reagiert hast- soll jetzt allerdings keine Angstmacherei sein)

BadMan

02.09.2011, 16:07

Die letzten Besuche kamen nun von cyberghostvpn.com (habe ich nun in meine .htaccess aufgenommen). :twisted:

Gibt es eigentlich in 4images eine einfachere Möglichkeit, die Registrierungsmöglichkeit herauszunehmen, ausser in sämtlichen templates den entsprechenden code zu löschen bzw. auszukommentieren?
Im Control-Panel kann man ja nur die Art der Account-Aktivierung einstellen, sie aber nicht ganz unterbinden.

fhaferkamp

02.09.2011, 18:53

Gibt es eigentlich in 4images eine einfachere Möglichkeit, die Registrierungsmöglichkeit herauszunehmen, ausser in sämtlichen templates den entsprechenden code zu löschen bzw. auszukommentieren?
Im Control-Panel kann man ja nur die Art der Account-Aktivierung einstellen, sie aber nicht ganz unterbinden.

Hallo Jörg,

eine einfache Möglichkeit wäre, die Datei register.php im Hauptverzeichnis komplett zu löschen, dann liefe der Link der Registrierung ins Leere. Vielleicht kann man auch den Inhalt der index.php hineinkopieren.
Ich habe stattdessen die Datei register.php an einer Stelle geändert (rot hervorgehoben):

//-----------------------------------------------------
//--- Signup ------------------------------------------
//-----------------------------------------------------
if ($action == "signup") {
show_error_page('Registrierung deaktiviert. Bitte wenden Sie sich an den Administrator.');
$site_template->register_vars(array(
"lang_agreement" => $lang['agreement'],
"lang_agreement_terms" => $lang['agreement_terms'],
"lang_agree" => $lang['agree'],
"lang_agree_not" => $lang['agree_not']
));
$content = $site_template->parse_template("register_signup");
}

Das führt dazu, dass bei Klick auf Registrierung nur die obige Fehlermeldung angezeigt wird.

BadMan

02.09.2011, 19:12

eine einfache Möglichkeit wäre, die Datei register.php im Hauptverzeichnis komplett zu löschen,
Daran hatte ich auch schon gedacht. War mir aber nicht sicher, was alles auf die register.php zugreift und dann ein riesiges Chaos verursacht. ;)

Ich habe stattdessen die Datei register.php an einer Stelle geändert (rot hervorgehoben):

//-----------------------------------------------------
//--- Signup ------------------------------------------
//-----------------------------------------------------
if ($action == "signup") {
show_error_page('Registrierung deaktiviert. Bitte wenden Sie sich an den Administrator.');
$site_template->register_vars(array(
"lang_agreement" => $lang['agreement'],
"lang_agreement_terms" => $lang['agreement_terms'],
"lang_agree" => $lang['agree'],
"lang_agree_not" => $lang['agree_not']
));
$content = $site_template->parse_template("register_signup");
}

Das führt dazu, dass bei Klick auf Registrierung nur die obige Fehlermeldung angezeigt wird.

Klasse! :top:

Habe ich jetzt auch so gemacht. Eine sehr elegante Lösung. :top::top:

A1-Chris

02.09.2011, 19:15

Ich habe stattdessen die Datei register.php an einer Stelle geändert (rot hervorgehoben):

Das führt dazu, dass bei Klick auf Registrierung nur die obige Fehlermeldung angezeigt wird.

:top::top: Übersetze das ganze noch ins englische und russische... Aus Russland kamen meine Freunde die meine Galerie gehackt haben... , bei mir hats auch so angefangen dass sich jeden Tag Bots oder sonstwer aus Russland registrieren wollten...:flop: Irgendwie haben sie es dann geschafft meine ganzen index dateien zu infizieren... :flop::flop:

fhaferkamp

02.09.2011, 19:31

Habe ich jetzt auch so gemacht. Eine sehr elegante Lösung. :top::top:

Bei Deinem Template führt das allerdings im FF zu einem etwas verschobenen Layout.
Ich habe Dir mal einen Screenshot per Mail geschickt.

---------- Post added 02.09.2011 at 19:36 ----------

:top::top: Übersetze das ganze noch ins englische und russische... Aus Russland kamen meine Freunde die meine Galerie gehackt haben... , bei mir hats auch so angefangen dass sich jeden Tag Bots oder sonstwer aus Russland registrieren wollten...:flop: Irgendwie haben sie es dann geschafft meine ganzen index dateien zu infizieren... :flop::flop:

Das kann man sicher machen, einfach den Text ersetzen bzw. erweitern. Man kann sogar Links etc. dort einbauen, wenn man will. Oder man leitet gleich auf eine eigene HTML-Seite um.

BadMan

02.09.2011, 19:39

Bei Deinem Template führt das allerdings im FF zu einem etwas verschobenen
Ja, danke, hatte ich auch schon gesehen.
Aber ich denke, in dem Fall gibt es Schlimmeres.

fhaferkamp

02.09.2011, 19:41

Aber ich denke, in dem Fall gibt es Schlimmeres.

Da hast Du natürlich Recht.

---------- Post added 02.09.2011 at 19:52 ----------

Hier noch eine Ergänzung. Etwas weiter unten gibt es einen weiteren Zweig, den man auch deaktivieren sollte:

//-----------------------------------------------------
//--- Add New User ------------------------------------
//-----------------------------------------------------
if ($action == "register") {
show_error_page('Registrierung deaktiviert. Bitte wenden Sie sich an den Administrator.');
if (!isset($HTTP_POST_VARS['user_name'])) {
if ($config['activation_time'] != 0) {

Ansonsten gibt es nämlich immer noch eine Möglichkeit, sich zu registrieren, wenn man weiß, wie es geht.

BadMan

02.09.2011, 19:57

Und schon geändert. :top:

BadMan

05.09.2011, 09:34

Userregistrierungen sind nun wirklich unterbunden. :top:

Ich sehe zwar immer noch, dass die Typen auf die Seite gehen (immer über die Namibia-Seite) und dann versuchen, sich einzuloggen. Aber weiter passiert bisher nichts.

Jetzt habe ich aber noch etwas entdeckt.
Im admin-Verzeichnis meiner Statistikinstallation (pphlogger) gibt es eine .htacces und eine .htpasswd, beide mit Änderungsdatum 30.06.11.

Der Inhalt der .htaccess ist
AuthName "pphlogger"
AuthType Basic
AuthUserFile /home/www/web68/html/pphlogger/admin/.htpasswd
require valid-user

In der .htpasswd steht halt das Passwort, eine ziemlich lange Zeichenfolge.

Ich kann mich nicht daran erinnern, so eine erstellt zu haben (was nichts heißt) und erst recht nicht, dort etwas geändert zu haben.

Muss ich mir Sorgen machen oder werde ich langsam paranoid.

erwinkfoto

05.09.2011, 14:14

Muss ich mir Sorgen machen oder werde ich langsam paranoid.

Letzteres :mrgreen:

*duckundweg*

ps: Glückwunsch :top:

Kabuto

05.09.2011, 17:17

könnte ein vergessenes Hintertürchen der Entwickler sein, oder "ein neu eingepflegtes" für Ganoven. Such es Dir aus. Aber lösch es;) Kannst ja noch beim Entwickler anfragen, ob die das mal hingeschrieben haben.

Schon herausgefunden, ob irgendwo deine Bilder verlinkt sind? Wieso gerade über die Namibia Seite..

BadMan

05.09.2011, 18:00

könnte ein vergessenes Hintertürchen der Entwickler sein, oder "ein neu eingepflegtes" für Ganoven.
Meines Wissens sind die Dateien von Hause aus nicht vorhanden. Ich habe sie erst mal umbenannt.

Schon herausgefunden, ob irgendwo deine Bilder verlinkt sind? Wieso gerade über die Namibia Seite..
Nee, bisher nicht fündig geworden.