Bots flooden Gästebuch trotz CAPTCHA?

[Edgar Ehritt]

Hallo Seves,

vermutlich wird hier...

  include("./content/news.php");  

...die Session initiiert. Sie wird aber nirgends abgefragt oder auf Gültigkeit geprüft. Das ist aus der Tatsache ersichtlich, dass ich bei meinen Einträgen in Dein GB kein Session Cookie übersandt habe.

  			<form action="./index.php?page=guestbook&amp;send=guestbook" method="post">  

Im action-Attribut könntest Du die Session als GET-Variable ganz komfortabel mitübergeben. Serverseitig müsste dann geprüft werden, ob mit der Session schon mal Formulardaten übermittelt wurden.

  					<img src="./content/captcha.php" title="Sicherheitscode" alt="Sicherheitscode" height="40px" width="140px"><br>&nbsp;  

Es ist ja schön, dass Du hier ein Bild erstellen lässt. Nur beider Validierung der übergebenen Forumlareinträge ziehst Du diesen abgebildeten Wert nicht heran. Dieser sollte aber in der Session gespeichert sein. Nur, wie ja oben schon erwähnt, kümmert sich das Script nicht um die Session. So muss man lediglich einen sechs Zeichen langen String eingeben, schon ist Dein GB-script zufrieden und Du hast Spam.

Gruß aus Berlin!
eddi, Tester in Deinem GB