Joomla Kontakt Spam 2

Im Moment sehen wir auf vielen Kundenservern mit einem aktuellen Joomla und OS vermehrt Spam-Mails, die über das Kontaktformular verschickt werden.

Im Log findet sich dann z.B.

117.90.137.141 - - [08/Sep/2017:20:01:37 +0200] "POST /index.php/kontakt HTTP/1.1" 302 483 "http://www.WEBSEITE.de/index.php/kontakt" "Mozilla/5.0 (Windows NT 6.3; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/58.0.3029.110 Safari/537.36"

oder auch

185.135.80.139 - - [08/Sep/2017:09:21:44 +0200] "POST /kontakt.html HTTP/1.1" 302 1498 "-" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; .NET CLR 1.1.4322)"


Die mittels GET und danach POST aufgerufen URLs varieren zwar ja nach Webseite, in allen Fällen ist aber immer /kontakt/ mit von der Partie.

Wir setzen auf allen von uns betreuten Serven den ISPProtect Ban-Daemon ein. Damit ist es rel. einfach, die entsprechenden IPs zu sperren, wenn man davon ausgeht, dass ein Kontaktformular von einem normalen User nicht binnen Sekunden mehrfach ausgefüllt und abgeschickt wird.

Wir haben dazu die Datei /opt/ispprotect_bandaemon/conf.d/200.conf mit folgendem Inhalt angelegt:

ident = joomla-contact
log = /var/log/ispconfig/httpd/*/access.log
regex = /^\s-\s-\s\[(?P\w+\/\w+\/\d+:\d+:\d+:\d+\s.*)\]\s.POST\s.*\/kontakt.*/i
alt_regex =
if_web = true
ignore_alltime = false
ignore_previous_bans = false
scope = web
bantime_factor = 1
reduce = 1


Und den Ban-Daemon einmal neu gestartet.

Man kann den Regex auch enger fassen. Für die beiden Logauszüge wäre das jeweils:

regex = /^\s-\s-\s\[(?P\w+\/\w+\/\d+:\d+:\d+:\d+\s.*)\]\s.POST\s\/index\.php\/kontakt.*/i

bzw.

regex = /^\s-\s-\s\[(?P\w+\/\w+\/\d+:\d+:\d+:\d+\s.*)\]\s.POST\s\/kontakt\.html.*/i