Filtrage des visites avec P.H.Pot

liste noire http:BL

Le projet pot de miel utilise le service fournit par le Project Honey Pot (P.H.Pot) pour filtrer les accès au site et bloquer les bots malicieux.

Une fois un pot de miel installé sur son site avec ce plugin (voir Projet Pot de Miel), on peut utiliser le service offert par P.H.Pot pour classifier les visiteurs et empêcher l’accès aux visiteurs présentant une menace.

Principe de http:BL

P.H.Pot offre le service http:BL qui peut classifier les IP des visiteurs dans différentes catégories :

  • moteur de recherche
  • suspicieux
  • faucheur
  • faucheur suspicieux
  • spammeur de commentaires
  • spammeur de commentaires suspicieux
  • faucheur et spammeur de commentaires
  • faucheur et spammeur de commentaires suspicieux

Les IPs sont classifiés en fonction de leur visite sur les pots de miel distribués par P.H.Pot. Si une IP visite trop souvent des pots de miels sur différents sites, elle devient « suspicieux ».

Dans ces pots de miels sont aussi placés des fausses adresses emails, si P.H.Pot reçoit des emails sur ces adresses, l’IP devient alors « faucheur » (il a récolté des emails dans des pots de miel).

Les pots de miel contiennent aussi de faux formulaire de commentaire, cachés aux visiteurs normaux, mais qu’un bot verra. Si un visiteur poste des messages dans les pots de miel, alors son IP sera étiqueté « spammeur de commentaires ».

En fonction de la dernière fois et du nombre de fois qu’un visiteurs malicieux a été vu, P.H.Pot lui assigne une valeur de « menace » entre 0 et 255. 255 étant le maximum.

Vous pouvez voir des exemples des statistiques collectés par P.H.Pot ici.

Configuration du plugin pour le filtrage

Avant de pouvoir activer le filtrage http:BL, il faut installer un pot de miel, comme indiqué ici Projet Pot de Miel (inclus dans le même plugin). Une fois le pot de miel activé, on peut obtenir une clef d’accès chez P.H.Pot.

Rendez vous alors dans la page de configuration http:BL de votre site : ecrire/ ?exec=cfg&cfg=httpbl et entrez la clef obtenue. Vous verrez alors une liste de filtres que vous pouvez activer. En fonction du type et du niveau de menace, vous pouvez décider de différentes actions à prendre quand un tel visiteur se présente sur votre site :

  • le bloquer : il sera alors envoyé vers une page 403 (Access Forbidden),
  • l’envoyer vers le pot de miel : le visiteur sera redirigé vers le pot de miel installé sur votre site,
  • cacher les adresses emails : les adresses emails contenues dans votre site seront cachées,
  • cacher les forums : si l’utilisateur essaie de poster un commentaire ou envoyer un mail à un auteur, il sera envoyé vers la page 403,
  • cacher les forums et les adresses emails : combine les deux filtres précédents.

Logs et Statistiques

Pour avoir une vue d’ensemble un peu plus compréhensible de ce qui se passe, vous pouvez activer les statistiques du plugin. Ces statistiques affichent le nombre d’accès douteux des derniers jours en fonctions du filtre qui a été appliqué et du type de menace.

Si vous décidez d’aussi loguer les accès non filtrés, vous pouvez faire une première évaluation des attaques à filtrer et du niveau de menace minimum.

En fonction de votre configuration, chaque accès douteux au site sera enregistrés temporairement dans un fichier de log dans tmp/http.log* à la racine de votre site SPIP. Vous pouvez ainsi voir en détails ce qui s’est passé dans les derniers jours.
 [1]

Oct 11 09:39:52 70.87.7.56 (pid 4660) bloqué 70.87.7.56 parce que 127.1.59.5
Oct 11 09:39:55 70.87.7.56 (pid 28053) bloqué 70.87.7.56 parce que 127.1.59.5
Oct 11 09:40:17 83.206.255.170 (pid 31406) bloqué 83.206.255.170 parce que 127.8.26.5
Oct 11 09:40:37 83.206.255.170 (pid 7890) bloqué 83.206.255.170 parce que 127.8.26.5
Oct 11 09:41:13 59.151.53.100 (pid 18906) bloqué 59.151.53.100 parce que 127.1.68.5
Oct 11 09:41:16 59.151.53.100 (pid 31406) bloqué 59.151.53.100 parce que 127.1.68.5
Oct 11 09:45:42 130.161.129.127 (pid 30191) bloqué 130.161.129.127 parce que 127.3.29.5
Oct 11 09:58:43 70.87.7.56 (pid 19492) bloqué 70.87.7.56 parce que 127.1.59.5
Oct 11 09:58:53 70.87.7.56 (pid 390) bloqué 70.87.7.56 parce que 127.1.59.5
Oct 11 09:59:17 74.231.24.2 (pid 11473) bloqué 74.231.24.2 parce que 127.2.58.5

Squelette de la page 403

Si vous décidez de bloquer l’accès complet au site ou au forums, les visiteurs filtrés seront renvoyé vers une page 403 (Access Forbidden) expliquant pourquoi l’accès leur a été refusé.

Cette page est contrôlé par un squelette que vous pouvez trouver dans le répertoire fonds/httpbl_403.html. Vous pouvez copiez ce squelette dans votre répertoire squelettes personnalisé pour l’adapter à votre site.

Vous pouvez utiliser plusieurs variables dans la page (en utilisant la balise #ENV) :

  • ip est l’IP du visiteur bloqué,
  • type est le type de menace détectée,
  • menace est le niveau de menace,
  • age est le nombre de jour depuis la dernière évaluation de la menace.

Notes

[1la première IP dans la ligne de log est l’IP détecté par SPIP, la seconde, l’IP du visiteur utilisée pour faire la requète http:BL et la dernière n’est pas une vraie IP, mais le résultat de la classification http:BL. Voir la documentation de http:BL pour plus de détails.

Discussion

3 discussions

  • hushaobei

    Après avoir reçu beaucoup de spammeurs de différents types, j’ai installé le projet pot de miel sur le site http://nutritiontaoiste.com 2 mois après, le projet pot de miel, bloque l’accès au site, comme étant un site spammeur de commentaires suspicieux !!! alors qu’aucun spam n’a jamais été envoyé par les webmestres du site ! comment expliquer cela ?
    Merci pour les réponses ?
    Hu

    Répondre à ce message

  • Christian Mercat

    Bonjour,

    Je trouve l’idée super chouette, mais à l’utilisation, ça ne fonctionne pas si bien que ça.

    Tout d’abord à l’install, il me dit qu’il faut compat > 1.9.3 et j’ai la dernière version, il ne veut rien savoir. J’enlève la ligne dans plugin.xml, il s’installe, il me chope des spammeurs, je suis content. Mais visiblement il ne les chope pas tous. Peut-être que ce sont les moments où le site de honeypot est en rade, c’est assez souvent. En tout cas, j’ai un commentaire de spam tous les jours !

    J’ai installé Le-plugin-Akismet, qui est visiblement incompatible avec celui-ci (les 2 en même temps et mon interface privée devient illisible), on verra bien qui gagne :-)

    Merci en tout cas.

    Répondre à ce message

  • Il y a une erreur dans le fichier lang/honeypothttpbl_en.php en fin de la ligne 47. il y a ,, au lieu de ,
    Ca plante l’admin en anglais, mais pas en français !

    Merci pour ce plugin

    Répondre à ce message

Ajouter un commentaire

Avant de faire part d’un problème sur un plugin X, merci de lire ce qui suit :

  • Désactiver tous les plugins que vous ne voulez pas tester afin de vous assurer que le bug vient bien du plugin X. Cela vous évitera d’écrire sur le forum d’une contribution qui n’est finalement pas en cause.
  • Cherchez et notez les numéros de version de tout ce qui est en place au moment du test :
    • version de SPIP, en bas de la partie privée
    • version du plugin testé et des éventuels plugins nécessités
    • version de PHP (exec=info en partie privée)
    • version de MySQL / SQLite
  • Si votre problème concerne la partie publique de votre site, donnez une URL où le bug est visible, pour que les gens puissent voir par eux-mêmes.
  • En cas de page blanche, merci d’activer l’affichage des erreurs, et d’indiquer ensuite l’erreur qui apparaît.

Merci d’avance pour les personnes qui vous aideront !

Par ailleurs, n’oubliez pas que les contributeurs et contributrices ont une vie en dehors de SPIP.

Qui êtes-vous ?
[Se connecter]

Pour afficher votre trombine avec votre message, enregistrez-la d’abord sur gravatar.com (gratuit et indolore) et n’oubliez pas d’indiquer votre adresse e-mail ici.

Ajoutez votre commentaire ici

Ce champ accepte les raccourcis SPIP {{gras}} {italique} -*liste [texte->url] <quote> <code> et le code HTML <q> <del> <ins>. Pour créer des paragraphes, laissez simplement des lignes vides.

Ajouter un document

Suivre les commentaires : RSS 2.0 | Atom