Say no to malware - say no to Cloudflare
https://hacktivis.me/articles/cloud…-fingerprinting
tl;dr Frosch, Glasbehälter, kleine Flamme.
Ich weiss nicht was schlimmer ist, Google Captcha oder Cloudflare Turnstile. Dennoch, du kannst jederzeit auf einen anderen Captcha Service ausweichen. Ich nutze den Cloudflare Reverse-Proxy fuer alle meine Webseiten und habe seitdem keinen Aerger mehr mit Bots jeglicher Art.
Ich hab noch kein captcha verwendet und bisher keinen Ärger mit Bots gehabt aber ich bau auch nur kleine unbedeutende Seiten.
Ich hab noch kein captcha verwendet und bisher keinen Ärger mit Bots gehabt aber ich bau auch nur kleine unbedeutende Seiten.
Ernsthafte Frage, weil ich gerne Tracking-freie Websites habe:
Wie machst Du das z.B. mit Kontaktformularen?
Rechenaufgabe?
nein - ein honeypot field und der server kuckt wie die Felder ausgefüllt wurden und lässt fehlerhafte anfragen ohne rückmeldung fallen. (cgi-bin)
und die anderen kriegen die verify email email
Also ein verstecktes Feld welches nur Bots füllen können - da es in der GUI nicht angezeigt wird?
Oder wie kann ich mir das vorstellen? 🤔
das wird angezeigt, das können alle ausfüllen. - da steht nicht ausfüllen und wenn die KI das kapiert hat muss ich mir was anderes ueberlegen.
ich kann auch nicht sehen wieviele fallengelassen wurden in den logs (wahrscheinlich keiner weil die bots kein interesse haben 
Nach meiner Erfahrung funktionieren diese Honeypots nicht zuverlässig. Wirklich wirksam sind eigentlich nur externe Dienste z.B Akismet, Cloudflare Turnstile, Google reCaptcha usw
Bei mir funktioniert das mit den Honeypot Feld seit Jahren wunderbar. Das heißt "email" und Bots füllen das zuverlässig aus. Ist sogar per CSS versteckt.
Kommt vielleicht einmal im Monat was durch, vermutlich durch echte Menschen. KI Agenten, die einen Browser verwenden haben sich wohl noch keine zu mir verirrt...
moin - ich moechte ein bisschen pentesting lernen um mich zu komplettitieren und hab einen ollen VAIO pc dafür übrig. Ist Kali eine gute wahl?
Na ja, Kontaktformulare absichern sind das eine... Foren, Benutzerprofile und Webseiten im Bereich Social Networking sind das andere. Wenn dich Spambots jede Nacht mit hunderten von Threads und Posts begluecken, vergeht dir ganz schnell die Lust. Seit dem KI-Boom ist das sogar noch schlimmer geworden... du hast nicht nur Spambots, sondern auch noch KI-Bots die alle Seiten indizieren und den Server in die Knie zwingen, im schlimmsten Fall sind das dann gleich mehrere Bots gleichzeitig. Das Problem ist, dass es keine funktionierende, kostenlose europaeische Loesung dafuer gibt und du mehr oder weniger auf Recaptcha oder Turnstile zurueckgreifen musst bzw. Cloudflare als Gesamtloesung mit WAF in Betracht ziehen musst. Hier mal ein Screenshot als die Pfosten mir am 10. und 11. Mai den Webserver so in die Knie gezwungen haben, dass ueber Stunden nichts mehr funktionierte.
600 Requests per second - das steckt mein Apache locker in die statische Tasche -
Ich denke man muss hier schon deutlich zwischen "Hobby Admins" und Business unterscheiden. Hobby Admins können ihr Blog mit 3 Besuchern pro Tag sicher auch ohne CF etc. betreiben. Große Seiten nicht.
Det stimmt - ich bin ja Hobby Admin und da reichen bare essentials.
600 Requests per second - das steckt mein Apache locker in die statische Tasche -
Wie kommst du auf 600 Requests per second?
Bei einem Forum, bei dem ich bin, hat der Admin mittlerweile auch CF vorgeschaltet, weil die Bots soviel Traffic erzeugt haben, daß ihm erhebliche Mehrkosten entstanden sind. Er betreibt das Forum auch nur als Hobby.
Der Spam konnte ganz gut mit https://www.stopforumspam.com gestoppt werden.
Bei einem Forum, bei dem ich bin, hat der Admin mittlerweile auch CF vorgeschaltet, weil die Bots soviel Traffic erzeugt haben, daß ihm erhebliche Mehrkosten entstanden sind. Er betreibt das Forum auch nur als Hobby.
Der Spam konnte ganz gut mit https://www.stopforumspam.com gestoppt werden.
Aus diesem Grund meide ich die Cloud, da Traffic hier nach wie vor teuer in Rechnung gestellt wird.
du hast nicht nur Spambots, sondern auch noch KI-Bots die alle Seiten indizieren und den Server in die Knie zwingen, im schlimmsten Fall sind das dann gleich mehrere Bots gleichzeitig. Das Problem ist, dass es keine funktionierende, kostenlose europaeische Loesung dafuer gibt und du mehr oder weniger auf Recaptcha oder Turnstile zurueckgreifen musst bzw. Cloudflare als Gesamtloesung mit WAF in Betracht ziehen musst.
Kann deine Aussage zu 100% bestätigen. Aber schau dir mal das an. Seitdem keine Probleme mehr mit irgendwelchen Bots
https://github.com/mitchellkrogza/apache-ultimate-bad-bot-blocker
Bei mir ist Ruhe seit ich proof-of-work implementiert habe. Erst wenige Bots kommen da vorbei bewusst vorbei, alle anderen werden halt deflektiert. Passiert entweder in meiner Middleware oder direkt im nginx ohne anubis.
Wie kommst du auf 600 Requests per second?
sekunden in 24 stunden - 46Mio dachte ich (also aufgrund des Diagramms ...)
sekunden in 24 stunden - 46Mio dachte ich (also aufgrund des Diagramms ...)
Das Problem sind die Peaks. Es ist doch sehr theoretisch wenn du das so rechnest... damit koenntest du fuer die Bundesregierung arbeiten.
Zudem ist der Screenshot 7+ Tage alt und zeigt nicht den 24 Stunden Traffic waehrend der DOS. Aus den ueblichen 200 Gb Traffic am Tag wurden am 10. + 11. Mai 12 TB. 
Irgendwann bei 2TB/sec hatte Cloudflare vollstaendig dicht gemacht und nicht mehr mitigated.
