Aprende como trabajan los spammers

Publicado por Fernando Tellado el 18 Sep, 2008

Índice de contenidos

1 La Información es Poder
2 Spammeando con un Script

Normalmente no nos debemos preocupar por el spam en nuestro blog si tenemos bien configurado Akismet o cualquier otro sistema que mantenga a raya los mensajes no deseados, esos que nos venden relojes de calamina, nos invitan a conocer los oscuros secretos del porno duro o simplemente quieren que visitemos su sitio … con insistencia.

Pero siempre es bueno conocer como la gente que se dedica a esta asquerosa práctica utiliza las variables de WordPress para tratar de obtener tráfico de nuestro blog. De paso, nos enseñará a conocer mejor nuestra propia plantilla y ¿quien sabe? poder manipularla para ponerles el trabajo mas difícil.

La Información es Poder

Lo primero que un spammer necesita saber es como funciona el formulario de comentarios. La mayoría de los formularios de comentarios de WordPress son exactamente iguales o funcionan del mismo modo, y gracias a esto es por lo que les es tan fácil a los spammers enviar comentarios en masa a los blogs.

Un formulario de comentarios “tipo” de un blog WordPress sería algo así:

<form action="wp-comments-post.php" method="post" id="commentform"><input type="hidden" name="phpMyAdmin" value="3e6c4943d9a6t7c8283c" />
 <p>
    <input type="text" name="author" id="author" value="" size="30" tabindex="1" />
    <label>Nombre <span class="requerido">
    (requerido)    </span> </label>
  </p>
  <p>
    <input type="text" name="email" id="email" value="" size="30" tabindex="2" />
    <label>Email <span class="requerido">
    (requerido)    </span></label>
  </p>
  <p>
    <input type="text" name="url" id="url" value="" size="30" tabindex="3" />
    <label>Tu Web</label>
  </p>

<p>
    <textarea name="comment" id="comment" cols="100%" rows="10"></textarea>
</p>
<p>

    <input type="image" src=submit.png"/?phpMyAdmin=3e6c4943d9a6t7c8283c>
    <input type="hidden" name="comment_post_ID" value="524" />
    <input type="hidden" id="_wp_unfiltered_html_comment" name="_wp_unfiltered_html_comment" value="0d870b294b" />
</p>
</form>

<p>

<label>Nombre <span class="requerido">

(requerido) </span> </label>

</p>

<p>

<label>Email <span class="requerido">

(requerido) </span></label>

</p>

<p>

</p>

<p>

</p>

<p>

</p>

</form>

Para enviar un comentario desde ese formulario debemos rellenar los siguientes campos:

Nombre (author)
Email (email)
Sitio Web (url)
Comentario (comment)

Pero también hay dos campos ocultos:

comment_post_ID
_wp_unfiltered_html_comment

Spammeando con un Script

Si somos un spammer aplicado (de mierda pero aplicado) ya tenemos toda la información necesaria para poder empezar a ofrecer nuestras mierdas. Haremos un script-spam, en el que utilizaremos PHP y Curl. Definiremos un array ($postfields) que contenta la información que queremos colocar en la página:

<?php
$postfields = array();
$postfields["action"] = "submit";
$postfields["author"] = "Spammer";
$postfields["email"] = "spammer@spam.com";

$postfields["url"] = "http://www.soyunspammerdemierda.com/";
$postfields["comment"] = "Soy un pedazo de spammer asqueroso que quiero inundar de mierda tu blog.";
$postfields["comment_post_ID"] = "123";
$postfields["_wp_unfiltered_html_comment"] = "0d870b294b";
//Url del formulario a donde se envía el spam
$url = "http://www.UnBlogIncautoSinAkismet.com/blog/suggerer_site.php?action=meta_pass&id_cat=0";
$useragent = "Mozilla/5.0";
$referer = $url; 

//Inicio de sesión CURL
$ch = curl_init($url);
//CURL options
curl_setopt($ch, CURLOPT_POST, 1);

//Publicación de datos $postfields
curl_setopt($ch, CURLOPT_POSTFIELDS, $postfields);
//Se define un useragent (Mozilla/5.0)
curl_setopt($ch, CURLOPT_USERAGENT, $useragent);
//Se define un refferer ($url)
curl_setopt($ch, CURLOPT_REFERER, $referer);
//Obtenemos la página de resultados
curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1);
//Salimos de CURL
$result = curl_exec($ch);
curl_close($ch);

//Para finalizar, mostramos el resultado
echo $result;

?>

<?php

$postfields = array();

$postfields["action"] = "submit";

$postfields["author"] = "Spammer";

$postfields["email"] = "spammer@spam.com";

$postfields["url"] = "http://www.soyunspammerdemierda.com/";

$postfields["comment"] = "Soy un pedazo de spammer asqueroso que quiero inundar de mierda tu blog.";

$postfields["comment_post_ID"] = "123";

$postfields["_wp_unfiltered_html_comment"] = "0d870b294b";

//Url del formulario a donde se envía el spam

$url = "http://www.UnBlogIncautoSinAkismet.com/blog/suggerer_site.php?action=meta_pass&id_cat=0";

$useragent = "Mozilla/5.0";

$referer = $url;

//Inicio de sesión CURL

$ch = curl_init($url);

//CURL options

curl_setopt($ch, CURLOPT_POST, 1);

//Publicación de datos $postfields

curl_setopt($ch, CURLOPT_POSTFIELDS, $postfields);

//Se define un useragent (Mozilla/5.0)

curl_setopt($ch, CURLOPT_USERAGENT, $useragent);

//Se define un refferer ($url)

curl_setopt($ch, CURLOPT_REFERER, $referer);

//Obtenemos la página de resultados

curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1);

//Salimos de CURL

$result = curl_exec($ch);

curl_close($ch);

//Para finalizar, mostramos el resultado

echo $result;

Ya está, el spammer ahora solo tiene que lanzar el script y publicará automáticamente el mensaje. Por supuesto, un spammer real normalmente no escribe directamente la URL del post del blog, sino que crea un loop que obtiene una lista de un fichero de texto, o incluso de una lista de resultados de búsqueda de Google.

Y, por supuesto, el script anterior es solo un ejemplo, a efectos ilustrativos, no un script de spam realmente funcional.

<a href="https://ayudawp.com/wp-content/uploads/2008/09/enfadado.jpg"><img class="aligncenter" src="https://ayudawp.com/wp-content/uploads/2008/09/spam-comentarios-300x182.png" alt="" width="226" height="236" /></a>

1	<a href="https://ayudawp.com/wp-content/uploads/2008/09/enfadado.jpg"><img class="aligncenter" src="https://ayudawp.com/wp-content/uploads/2008/09/spam-comentarios-300x182.png" alt="" width="226" height="236" /></a>

Y ya sabes, cuídate de los spammers, que en el mejor de los casos llenen tu bandeja de Akismet.

AVISO: esta publicación es de hace dos años o más. Si es un código o un plugin podría no funcionar en las últimas versiones de WordPress, y si es una noticia podría estar ya obsoleta. Luego no digas que no te hemos avisado.