ランキングサイトのスパム登録防止策について

質問

Ranking Link （http://dream.lib.net/room/）を使ってランキングサイトを作成したのですが、アダルトサイトからのスパム登録が日に300もあり削除の為に何時間もかかりとても悩んでいます。

100近いカテゴリーに1分以内に登録しているのでプログラムによる登録と思われますが登録画面HTMLをサーバーから削除しても登録フォームに画像認証を取り入れてもまったく効果はありません。

登録スパム対策を施したいのですが、どのような手段がありますでしょうか？

画像認証が効果なしだったのでガックリしています。お願いします助けてください。
水際で防げなくても登録されたdatファイル名はわかりますのでサーバー上で検索してファイルを一括削除できるのではと考えそのようなソフトをさがしているのですがどうしても見つかりません。知っておられる方教えていただけますでしょうか。

ほんとに困っています。よろしくお願いします。

回答No.1

Ethersky · ベストアンサー

> 画像認証が効果なしだったので

これはちょっとひっかかりますね。
多くのサイトで画像認証（Captcha等）が使われていますが、これは効果があるからということが証明されているから採用例も多いわけです。

それでも突破されてしまったということはその画像認証がちゃんと自動投稿（登録）プログラムを弾けるような実装になっていない（抜け道のある実装になっている）という可能性が高いです。
確かに、表示された画像をOCRのように解析して何が書かれているのかを見抜かれるというのもあるにはありますが100発100中で画像認証が意味をなしていないのであるとすれば実装に問題があるとしかいえません。

よろしければ画像認証の導入をどのように行ったのか（実際の処理など）をお教えいただければと思います。

補足

ご回答有難うございます。

あまりの登録数に参りまして1度、サーバーから登録画面を削除し完全に登録できない？ようにしたのですがそれでも登録ができてしまうようなのです。

その後画像認証を実装した登録画面をサーバーにアップしたのですがやはり登録できてしまうのです。

サイトのURL、または登録画面のソースなど記載すればご判断いただけますでしょうか。画像認証のスクリプトはhttp://youmos.com/news/captcha_validation.html　を参考にいたしました。

実のところあまり詳しいとはいえない程度の知識ですので間違いなどありましたらぜひご指摘いただけますでしょうか。よろしくお願いいたします。

回答No.3

Ethersky

> もしよろしければこの件について参考になるサイト、および本来の画像認証のスクリプトなど配布しているサイトなどありましたらお教えいただけませんでしょうか。

この手のものはいろいろあります（自分で実装・モジュールを使う・サービスを使う）が、おすすめとしては以下のサイトのサービスがあります。
画像の生成とかはやってくれるので自分でしなければならないのは秘密鍵の取得と認証機構を付けることだけです。（これは日本ですが海外で同様のサービスを行っているところもあります）
サンプルもありますのでいいでしょうね。
http://captcha.jp/

自分で実装するのは面倒・・・とはいえ画像生成も自前でというのであればモジュールを使うという手もあります。
http://search.cpan.org/dist/Authen-Captcha/
または
http://search.cpan.org/dist/GD-SecurityImage/

お礼

ほんとに有難うございます！！！がんばって何とかしてみます。してみます・・・でもできんかも。

はじめて人に教えていただいたのでとっても感動です。いままでGoogleでの独学でしたので・・・

今後ともどーしてもわからないことがありましたらご教授お願いいたします。有難うございました。

回答No.2

Ethersky

> あまりの登録数に参りまして1度、サーバーから登録画面を削除し完全に登録できない？ようにしたのですがそれでも登録ができてしまうようなのです。

ということは、自動投稿（登録）プログラムは登録フォーム（登録画面）をすっとばして直接登録用のプログラム（CGI）を叩いて登録を試みていることになります。なので、登録画面だけ消しても収まらないわけです。

で、参考にされた画像認証はJavaScriptを用いてます。
ということは登録フォームのページ内だけでの認証ということになるので意味がありません。（つまり、間違いだったらフォームをPOSTしないというだけのもので見かけの子供だましです。）
このような画像認証では、直接登録用のCGIを叩きに行っている自動投稿（登録）プログラムには何の防御にもなりません。

ではどうすればいいのかというと、画像認証機構を登録用のCGIの登録処理を行う部分に直接セットすることで対処します。
（そもそも本来はこのように対策します。参考にされたJcapではフォーム上のJavaScriptで送信の可否を判断しているだけです）

お礼

有難うございます、だから登録画面を消してもだめだったんですね。

素人ながら何とかこの地獄を乗り切るべく対処したいと思うのですが無理でしょうか？

もしよろしければこの件について参考になるサイト、および本来の画像認証のスクリプトなど配布しているサイトなどありましたらお教えいただけませんでしょうか。

本来の画像認証を知らず効果がないなどお恥ずかしい限りです。
なにとぞご指導のほどお願いいたします。