---

Der er flere steder på nettet anvisninger til, hvordan man kan "skjule" sin
e-mail adresse over for spam-bots, hvis man vælger at gengive sin e-mail
adresse på sin hjemmeside. Bl.a. via encoding med heksadecimale tal. Jeg
spekulerer blot over, om disse metoder er sikre længere, idet de fleste
stammer fra 2006 eller før. Spam-bots må da være blevet "klogere" siden
da...

Eksempler:
http://www.html.dk/artikler/00041/
http://www.wbwip.com/wbw/emailencoder.html

Gengiver I jeres mail-adresser på jeres hjemmesider, og hvad gør I for at
sikre jer imod, at adressen bliver opsnappet af spam-bots?

Kim

---

Kim Madsen skrev:

> Gengiver I jeres mail-adresser på jeres hjemmesider,

Jeg har en offentlig mailadresse som må bruges overalt.

> og hvad gør I for at sikre jer imod, at adressen bliver opsnappet af spam-bots?

Ingenting. Jeg nedlægger den og laver en ny når der kommer for
meget spam. Mine gode mailadresser har aldrig været
offentliggjort.

Hvis du lader "nospam" indgå i den rigtige adresse, får du meget
mindre spam end ellers.

--
Bertel
http://bertel.lundhansen.dk/         FIDUSO: http://fiduso.dk/

---

"Kim Madsen" <kim@madsens.eu> writes:

> Der er flere steder på nettet anvisninger til, hvordan man kan
> "skjule" sin e-mail adresse over for spam-bots, hvis man vælger at
> gengive sin e-mail adresse på sin hjemmeside. Bl.a. via encoding med
> heksadecimale tal. Jeg spekulerer blot over, om disse metoder er
> sikre længere, idet de fleste stammer fra 2006 eller før. Spam-bots
> må da være blevet "klogere" siden da...

Personligt tager jeg ret afslappet på det. Af de 5-6000 spammails der
kommer til en af mine adresser i løbet af et døgn, er der måske en 2-3
stykker der slipper igennem filteret på en uge. Der var en gang hvor
det ikke var ret nemt at filtrere, men i vore dage er mulighederne så
mange at jeg mener det er mere skadeligt for usability at lave de
julenumre.


--
/Wegge

Leder efter redundant peering af dk.*,linux.debian.*

---

Lyder næsten som om du bruger ASSP. Stopper 99,9% spammails til
mig.

Regards Jens Peter Karlsen.

On Mon, 07 Dec 2009 19:05:15 +0100, Anders Wegge Keller
<wegge@wegge.dk> wrote:

> Personligt tager jeg ret afslappet på det. Af de 5-6000 spammails der
>kommer til en af mine adresser i løbet af et døgn, er der måske en 2-3
>stykker der slipper igennem filteret på en uge. Der var en gang hvor

---

Kim Madsen skrev:

> Jeg spekulerer blot over, om disse metoder er sikre længere, idet
> de fleste stammer fra 2006 eller før. Spam-bots må da være blevet
> "klogere" siden da...
>
> Eksempler:
> http://www.html.dk/artikler/00041/
> http://www.wbwip.com/wbw/emailencoder.html
>
> Gengiver I jeres mail-adresser på jeres hjemmesider, og hvad gør I for
> at sikre jer imod, at adressen bliver opsnappet af spam-bots?

På Hitsurf.dk har jeg brugt metoden på html.dk.
Jeg modtager meget få spammails, selvom det har ligget på siden i 1-1½ år.

Jeg ved så ikke hvor mange spammails der så når at blive fanget. Kun
hvor mange der slipper igennem til mig. De andre ser jeg jo aldrig, men
en formodning siger 100-200 stykker (ud fra det antal spammails jeg
modtog på den adresse for 2 år siden).


--
Philip - http://www.chartbase.dk | http://www.hitsurf.dk

---

Philip Nunnegaard skrev:

> På Hitsurf.dk har jeg brugt metoden på html.dk.

Rettelse. Metoden på den side under html.dk som du linker til, ligner
Tage Jørgensens forslag.
Jeg brugte denne:
http://www.html.dk/artikler/00041/convert_email.asp

Men fælles for dem er at det er pakket ind i javascript.

--
Philip - http://www.chartbase.dk | http://www.hitsurf.dk

---

Kim Madsen wrote in dk.edb.internet.webdesign.html:
> Der er flere steder på nettet anvisninger til, hvordan man kan "skjule" sin
> e-mail adresse over for spam-bots, hvis man vælger at gengive sin e-mail
> adresse på sin hjemmeside. Bl.a. via encoding med heksadecimale tal. Jeg
> spekulerer blot over, om disse metoder er sikre længere, idet de fleste
> stammer fra 2006 eller før. Spam-bots må da være blevet "klogere" siden
> da...
>
> Eksempler:
> http://www.html.dk/artikler/00041/
> http://www.wbwip.com/wbw/emailencoder.html
>
> Gengiver I jeres mail-adresser på jeres hjemmesider, og hvad gør I for at
> sikre jer imod, at adressen bliver opsnappet af spam-bots?
>
> Kim
>
Hej Kim

Man kan skjule sin mail addresse på mange måder, jeg gør det på denn måde:


<script language="JavaScript">

var navn="jjk"
var efternavn="aats.dk"

document.write
('<a href=\"mailto:' + navn + '@' + efternavn + '\"> ' + navn + '@' + efternavn
+ ' </a>' );

</script>


www.tage.wanthai.dk

--
Vil du lære at kode HTML, XHTML, CSS, SSI, ASP eller ASP.NET?
- Pædagogiske tutorials på dansk
- Kom godt i gang med koderne
KLIK HER! => http://www.html.dk/tutorials

---

tage jørgensen <tage@wanthai.dk> skrev :

><script language="JavaScript">

Fy

I dag bruger man
<script type="text/javascript">
--
Kerim
http://www.facebook.com/kerim.ellentoft

---

Kim Madsen skrev:

> Eksempler:
> http://www.html.dk/artikler/00041/

Den metode har jeg anvendt på flere sider
siden 2003, og de implicerede adresser har
ikke modtaget spam ad den vej.

--
Allan Vebel
http://vebel.dk | http://html-faq.dk

---

Hej Allam,

Er det http://www.html.dk/artikler/00041/convert_email.asp du anvender?

Den genererer noget HTML-kode (ikke Javascript), og det er også dén metode,
som jeg nu har valgt.

Kim

"Allan Vebel" <spam@do.not> skrev i meddelelsen
news:4b1d769e$0$279$14726298@news.sunsite.dk...
> Kim Madsen skrev:
>
>> Eksempler:
>> http://www.html.dk/artikler/00041/
>
> Den metode har jeg anvendt på flere sider
> siden 2003, og de implicerede adresser har
> ikke modtaget spam ad den vej.
>
> --
> Allan Vebel
> http://vebel.dk | http://html-faq.dk
>

---

Kim Madsen skrev:

> Er det
> http://www.html.dk/artikler/00041/convert_email.asp
> du anvender?

Nej, det er "Den paranoide løsning" på
http://html.dk/artikler/00041/ - det er fuldt
tilstrækkeligt.

Jeg prøvede at lave en enkelt adresse "normal"
for et par år siden (en jeg selv kontrollerer), bare
for at teste forskellen, den blev hurtigt hjemsøgt
af alskens ulyksagligheder, den er nu nedlagt, og
ligger i mit spamfilter.

Joachim har åbenbart ramt noget rigtigt tilbage i
2003.

--
Allan Vebel
http://vebel.dk | http://html-faq.dk

---

Allan Vebel wrote:

> Nej, det er "Den paranoide løsning" på
> http://html.dk/artikler/00041/ - det er fuldt
> tilstrækkeligt.

Hvis man vil lave det med unobtrusive javascript, så kunne man lave noget a
lá:
<a id="mailto" href="@">
og i js'et:
var mail=document.getElementById('mailto') ;
mail.href='mailto:en.eller.anden' + mail.href + 'domæne.tld' ;

På den måde kan man skrive mailadressen i nogenlunde klartekst, uden at @
optræde i JS'et, og uden der optræder mailto: eller navne i html'et.

Jeg tror ikke der kommer til at eksistere bot'er i vor levetid, der kan
greje den ;)

--
Med venlig hilsen
Stig Johansen

---

Stig Johansen skrev:

> Hvis man vil lave det med unobtrusive javascript, så kunne man lave noget a
> lá:
> <a id="mailto" href="@">
> og i js'et:
> var mail=document.getElementById('mailto') ;
> mail.href='mailto:en.eller.anden' + mail.href + 'domæne.tld' ;

Vil du lave en lille testside med den metode? Jeg er ikke nogen
haj til JavaScript.

--
Bertel
http://bertel.lundhansen.dk/         FIDUSO: http://fiduso.dk/

---

"Bertel Lund Hansen" <splitteminebramsejl@lundhansen.dk> wrote in message
news:0qesh59u1sjq4c5qmqll8f2ghmaavd0q7u@news.dotsrc.org...
> Stig Johansen skrev:
>
> > Hvis man vil lave det med unobtrusive javascript, så kunne man lave
noget a
> > lá:
> > <a id="mailto" href="@">
> > og i js'et:
> > var mail=document.getElementById('mailto') ;
> > mail.href='mailto:en.eller.anden' + mail.href + 'domæne.tld' ;
>
> Vil du lave en lille testside med den metode?

Ja, men jeg skulle lige lave et eksempel, for det jeg skrev var 'lidt ud af
hovedet'.

Men her er et eksempel:
http://w-o-p-r.dk/tips/email.htm

Jeg har dog ændret href til #@, så eventuelle brugere, der ikke har enablet
javascript forbliver på siden.

Javascriptet ligger i:
<
http://w-o-p-r.dk/tips/email.js>
og bruger kun en banal funktion fra:
<
http://w-o-p-r.dk/javascript/wopr.js>
(addEvents)

I eksemplet har jeg brugt din emailadresse ;)

--
Med venlig hilsen/Best regards
Stig Johansen

---

Stig Johansen skrev:
> "Bertel Lund Hansen" <splitteminebramsejl@lundhansen.dk> wrote in message
> news:0qesh59u1sjq4c5qmqll8f2ghmaavd0q7u@news.dotsrc.org...
>> Stig Johansen skrev:
>>
>>> Hvis man vil lave det med unobtrusive javascript, så kunne man lave
> noget a
>>> lá:
>>> <a id="mailto" href="@">
>>> og i js'et:
>>> var mail=document.getElementById('mailto') ;
>>> mail.href='mailto:en.eller.anden' + mail.href + 'domæne.tld' ;
>> Vil du lave en lille testside med den metode?
>
> Ja, men jeg skulle lige lave et eksempel, for det jeg skrev var 'lidt ud af
> hovedet'.
>
> Men her er et eksempel:
> http://w-o-p-r.dk/tips/email.htm
>
> Jeg har dog ændret href til #@, så eventuelle brugere, der ikke har enablet
> javascript forbliver på siden.
>
> Javascriptet ligger i:
> <
> http://w-o-p-r.dk/tips/email.js>
> og bruger kun en banal funktion fra:
> <
> http://w-o-p-r.dk/javascript/wopr.js>
> (addEvents)
>
> I eksemplet har jeg brugt din emailadresse ;)

Det er en skide god idé.

Her er en anden idé, som vel er noget af det samme:

<p>skriv mig en <span>mail snabel-a domæne punktum dk</span></p>


...og så i javascripten, der skal snabel-a replaces med @ og punktum med
(punktum), og <span> skal bare udskiftes til en mailto, og der skal
trimmes. Fordelen må vel være, at adressen så kan læses af en skærmlæser
direkte.


MVH
Rune Jensen

---

Stig Johansen skrev:

> > Vil du lave en lille testside med den metode?

> Ja, men jeg skulle lige lave et eksempel, for det jeg skrev var 'lidt ud af
> hovedet'.

Mange tak.

> I eksemplet har jeg brugt din emailadresse ;)

Splitte mine bramsejl! Det har du da vel ikke!?

--
Bertel
http://bertel.lundhansen.dk/         FIDUSO: http://fiduso.dk/

---

Stig Johansen skrev:

> Ja, men jeg skulle lige lave et eksempel, for det jeg skrev var 'lidt ud af
> hovedet'.

Nu har jeg eksperimenteret lidt med det, og det er ganske smart.
Det kræver en change_email() for hvert adresselink der skal stå
på siden, men det er til at leve med.

Nu funderer jeg over hvad man gør med folk der ikke har
JavaScript. Jeg tror jeg vil lade det rå link føre til en
PHP-side med en kontaktformular. Er det ikke mere brugervenligt
end en adresse man skal stumpe sammen manuelt?

   Klik <a id='klaus' href='kontakt.php?@'>her</a>
   for at sende en mail.

(funktionen skal lige revideres tilsvarende)

--
Bertel
http://bertel.lundhansen.dk/         FIDUSO: http://fiduso.dk/

---

Bertel Lund Hansen skrev:

> Nu funderer jeg over hvad man gør med folk
> der ikke har JavaScript.

Det skal du ikke gøre mere ved.

Folk der har valgt at slå javascript fra, ved at de
ikke kan alt - hvorfor gøre mere for dem? De
kan jo bare slå det til igen, hvis de vil videre

Alle systemer kan læse javascript - det er altså
brugeren der vælger det fra.

Erfaringen viser at det er meget få promille af
brugerne der slår javascript fra - hvorfor lave noget
specielt til dem, når de bare kan slå det til, for at
få den gode oplevelse?

Erfaringen viser også at det er gamle mænd der
gør det (som dig og mig), og at vi slår det til når
vi går i banken, ellers fungerer bankens hjemmeside
ikke som den skal.

Jamen, hvor er vi henne, når vi går i banken?

Ja, det er javascript - og ikke java jeg tænker på,
der kunne jo komme kommentarer om dette.

--
Allan Vebel
http://vebel.dk | http://html-faq.dk

---

Jens Peter Karlsen <jpkarlsen@mvps.org> writes:

> Lyder næsten som om du bruger ASSP. Stopper 99,9% spammails til
> mig.

Jeg bruger MailScanner+SpamAssassin. Jeg har aldrig hørt om ASSP før,
men det jeg fik ud af at google, tyder i retning af at det er samme
princip.

--
/Wegge

Leder efter redundant peering af dk.*,linux.debian.*

---

"Kim Madsen" <kim@madsens.eu> skrev i en meddelelse
news:4b1d32a5$0$274$14726298@news.sunsite.dk...
> Der er flere steder på nettet anvisninger til, hvordan man kan "skjule"
> sin e-mail adresse over for spam-bots, hvis man vælger at gengive sin
> e-mail adresse på sin hjemmeside. Bl.a. via encoding med heksadecimale
> tal. Jeg spekulerer blot over, om disse metoder er sikre længere, idet de
> fleste stammer fra 2006 eller før. Spam-bots må da være blevet "klogere"
> siden da...
>
For at genere spambots, kan man bruge http://projecthoneypot.org/ og lægge
en side ind med falske adresser; denne side skal være markeret, så pæne
robotter ikke scanner den.

Så bliver det registreret hvilke servere, der høster, hvilke, der bruger de
høstede adresser, og hvor lang tid det tager før de høstede adresser bliver
brugt.

Leif

---

Leif Neland skrev:

> For at genere spambots, kan man bruge http://projecthoneypot.org/ og lægge
> en side ind med falske adresser; denne side skal være markeret, så pæne
> robotter ikke scanner den.
>
> Så bliver det registreret hvilke servere, der høster, hvilke, der bruger de
> høstede adresser, og hvor lang tid det tager før de høstede adresser bliver
> brugt.

projecthoneypot sammen med stopforumspam.com (de har en API, men jeg
bruger XMLHTTP-request-object i ASP, virker fint til "general checking"
af spam/harvester-IPer) - og så faldt jeg over denne, som lader til at
være _meget_ velopdateret (mere end projecthoneypot på visse attacks),
har ikke rigtigt set den før:

http://www.autoshun.org/

Og så kalder de deres service for en "snort"?

Men de ser meget proffe ud, og deres .csv passer helt igennem med dem,
jeg har tjekket (0-day bots, kan man kalde det). Jeg har bare ikke set
dem nævnt før andre steder. Aner heller ikke, hvordan det installeres.


MVH
Rune Jensen

---

Rune Jensen wrote:

> Og så kalder de deres service for en "snort"?

Snort:
<http://www.snort.org/>

--
Med venlig hilsen
Stig Johansen

---

Stig Johansen skrev:
> Rune Jensen wrote:
>
>> Og så kalder de deres service for en "snort"?
>
> Snort:
> <http://www.snort.org/>

Lyder som en slags firewall.

Underligt, jeg ikke har hørt om den før..

Men deres Rules ser i hvert fald lovende ud, ikke mindst fordi de er
meget up-to-date. Ikke som eneste protection, men som supplement. Jeg
overvejede, for de dér .csv-filer er jo ikke store, om man kunne lave et
cron-job (bot-job skal også testes), hente de regler bare en gang om dagen.

Alm. spammere har jeg fuldt styr på. Altså den gammeldags slags, som
bare poster bevidstløst i alt, hvad der ligner en FORM. Også injectors
via adresselinjen, de får ikke et ben til jorden pga.
whitelisting-krav/inputvalidering.

Men dictionary attackers, som intelligent forsøger at gætte
kodeord/CAPTCHAs, de er nogle slemme sataner. To gange er de kommet
igennem de grundlæggende sikkerhedslag, og har gættet koden. Den sidste
gang blev de afsløret på direkte POST uden GET plus useragent win95, IE4
ell. lign. Hvis nogen vil se hjemmesider med IE <6, værsgo, men ikke min
side. Direkte malformed useragents tilllader jeg heller ikke. Nu har det
så af flere grunde "kun" ført til forsøg på spam, men dictionary attacks
kan bruges til meget andet, alt efter, hvor meget tilladelse, de får ved
"login".

Men det tyder på, det er på tide at kigge lidt fremad, for at se, hvad
man kan gøre imod fremtidige attacks allerede nu. Og header-analyse
eller analyse af behavior er vigtigt, men ikke nok - mere. Så en eller
anden form for 0-day blacklist via 3. part lyder efterhånden tiltalende
som en del af sikkerhedslaget. Det er alt for meget at holde styr på
selv, så smarte, som botterne er blevet.

PS. Det lader til, min side er særligt udsat for disse specielle
guess-the-password-forsøg. Uvidst af hvilken grund? Kunne være sjovt at
se koden bag sådan en dictionary attacker ;)



MVH
Rune Jensen