2006年02月2日
留言過濾器-避免惡意程式留言
樂多日誌Yam Blog的回應留言沒有過濾掉HTML指令以及script程式,當然這樣增加了許多的彈性,但相對地也讓惡意攻擊有了利用的管道,可能造成瀏覽Blog的無辜網友被導引到其他網頁.倘若索性把會應留言關掉,卻又會喪失了Blog與讀者的互動機制,陷入了兩難的困境
「留言過濾器」程式提供對關鍵字的比對,可以針對script程式碼的HTML標籤做過濾,若留言裡有所列關鍵字,將會讓該筆留言錯誤而無法送出;不包含過濾關鍵字的回應留言,則可以正常運作.希望能夠幫助樂多日誌的網友們,少掉一些清除惡意程式的麻煩.
「留言過濾器」程式提供對關鍵字的比對,可以針對script程式碼的HTML標籤做過濾,若留言裡有所列關鍵字,將會讓該筆留言錯誤而無法送出;不包含過濾關鍵字的回應留言,則可以正常運作.希望能夠幫助樂多日誌的網友們,少掉一些清除惡意程式的麻煩.
把後列的程式碼貼在要過濾回應留言的文章內容後面,就可以過濾後續網友的回應留言,程式碼包含「參數設定」跟「主程式」2個部分..
本程式目前只支援樂多日誌Yam Blog,其他Blog系統無法適用.
參數設定
主程式
如何設定過濾字串參數
過濾字串的設定參數是 filter_text 陣列,上例只設定了一組過濾字串 script ,主要是過濾掉夾帶JavaScript等程式碼的留言.
若要增加過濾的字串,只要延續陣列註標的數字即可,因此上例若要增加過濾內容則是filter_text[1] , filter_text[2] , .....
設定字串內容時,使用大寫或小寫都可以,程式會針對過濾字串的字元自動比對大寫與小寫,如此就可以避免惡意程式故意用大小寫來避開檢查.
作者網站的標籤圖
使用「留言過濾器」程式會在貼主程式的地方出現如下的 CommentFilter powered by EZeShop 標籤圖,主要是註明程式的原作者(就是我本人),希望使用「留言過濾器」程式的網友能夠保留該標籤圖,不要將其隱藏.如此也能推廣好用的程式與其他網友分享.
2006/04/03
最近常常會有在文章回應留廣告的情形出現,我想這是用程式散佈Blog廣告的,在樂多還沒有提供輸入資料的驗證之前,我先擴充留言過濾器的功能,增加了驗證數字的檢查,貼廣告的程式大概不會發現有一個額外的欄位要輸入數字吧,暫且湊合著用,看能不能擋掉一些廣告.
在設定參數裡增加了一個 verification 參數,設定為1就可以在回應的欄位增加一欄驗證數字,回應若沒有填入驗證數字就無法存入.
verif_note 參數則是在數字驗證欄位後面的說明文字.
本程式目前只支援樂多日誌Yam Blog,其他Blog系統無法適用.
參數設定
<script language="JavaScript" type="text/javascript">
filter_text = new Array();
filter_text[0]='script';
verification=1;
verif_note=' 請輸入下列數字做為驗證';
</script>
主程式
<script src="http://www.ezeshop.com.tw/sidebar/commentfilter.php" language="JavaScript" type="text/javascript">
</script>
如何設定過濾字串參數
過濾字串的設定參數是 filter_text 陣列,上例只設定了一組過濾字串 script ,主要是過濾掉夾帶JavaScript等程式碼的留言.
若要增加過濾的字串,只要延續陣列註標的數字即可,因此上例若要增加過濾內容則是filter_text[1] , filter_text[2] , .....
設定字串內容時,使用大寫或小寫都可以,程式會針對過濾字串的字元自動比對大寫與小寫,如此就可以避免惡意程式故意用大小寫來避開檢查.
作者網站的標籤圖
使用「留言過濾器」程式會在貼主程式的地方出現如下的 CommentFilter powered by EZeShop 標籤圖,主要是註明程式的原作者(就是我本人),希望使用「留言過濾器」程式的網友能夠保留該標籤圖,不要將其隱藏.如此也能推廣好用的程式與其他網友分享.
2006/04/03
最近常常會有在文章回應留廣告的情形出現,我想這是用程式散佈Blog廣告的,在樂多還沒有提供輸入資料的驗證之前,我先擴充留言過濾器的功能,增加了驗證數字的檢查,貼廣告的程式大概不會發現有一個額外的欄位要輸入數字吧,暫且湊合著用,看能不能擋掉一些廣告.
在設定參數裡增加了一個 verification 參數,設定為1就可以在回應的欄位增加一欄驗證數字,回應若沒有填入驗證數字就無法存入.
verif_note 參數則是在數字驗證欄位後面的說明文字.
引用URL
http://cgi.blog.roodo.com/trackback/1074748
回應文章 
我已經裝了留言過濾器,請問這真可以阻止惡意程式嗎?我真的很懷疑ㄟ!還有,我裝的文章為什麼又會多一個連結?
Posted by 鐵蛋
at 2006年02月3日 14:59
鐵蛋:
你若懷疑的話,可以自己留言加上JavaScript語法測試看看.
我剛到你的Blog看一下,發現你並沒有把程式弄好,所以當然就沒有效果了.在樂多日誌文章貼程式的話,要先切換到HTML原始碼.
你若懷疑的話,可以自己留言加上JavaScript語法測試看看.
我剛到你的Blog看一下,發現你並沒有把程式弄好,所以當然就沒有效果了.在樂多日誌文章貼程式的話,要先切換到HTML原始碼.
Posted by TLight
at 2006年02月3日 22:44
請問正確是要在哪裡貼啊?我的步驟是先把語法複製好,然後再進入管理頁面,到文章編輯管理,然後找到要貼的文章,直接放在內銀底下,這樣不對嗎?如果不對,要在哪貼啊?
Posted by 鐵蛋
at 2006年02月4日 09:57
關於如何把程式碼貼到樂多日誌的文章裡,請參考我這篇文章:
如何在Blog貼程式碼
如何在Blog貼程式碼
Posted by TLight
at 2006年02月4日 11:36
Posted by 而且我也想看看
at 2006年03月28日 20:06
Posted by 43yai
at 2006年04月1日 17:20