WBCE CMS Forum

nickfake

Member

Captcha Eingabe beim Admin Login

Hallo !

ich möchte eine Beobachtung melden. Wenn ich mich mit dem meineseite.de/admin anmelden möchte, muss ein captcha eingegeben werden. Über eingebaute links oder droplets erscheint die Funktion nicht. Da muss man sich allerdings einmal erfolglos anmelden und bei zweiten mal gehts dann.

Ich hab das Thema nicht gefunden und wollte mal was schlaues posten. Ich hoffe das hat geklappt.

gruss Jan

florian

Administrator

Re: Captcha Eingabe beim Admin Login

Für das Loginbox-Droplet gibt es ein Update und die normale Frontend-Loginseite sollte eigentlich auch das Captcha anzeigen.
Login-Dialoge, die direkt ins Template integriert sind, müssen angepasst werden.
Oder du deaktivierst über

define('NO_LOGIN_CAPTCHA',true);

in der config.php das Captcha.
Ich werde das Captcha wahrscheinlich in der nächsten Version wieder rausnehmen.
Inzwischen nervt mich das selbst.

---

Sorgen sind wie Nudeln: man macht sich meist zu viele.

mk70

Member

Re: Captcha Eingabe beim Admin Login

Moin...

Inzwischen nervt mich das selbst.

Oh, ok. Evtl. optional drin lassen (im Backend Ein/Aus)?

Wie schon an anderer Stelle geschrieben, setze ich vor jedes Backend nach und nach die htaccess rein.

---

Gruß Mac

... der hier noch viel lernen/herausfinden muss 

nickfake

Member

Re: Captcha Eingabe beim Admin Login

Reicht da nicht ein Honypot?

beach

Developer

Re: Captcha Eingabe beim Admin Login

[...]
Inzwischen nervt mich das selbst.

100% ack
Und ein wirkliches Hindernis stellen diese meist auch nicht dar.

Es gab da mal ein tolles Projekt, bot-trap.de hat mir vor vielen vielen Jahren in einem Forum geholfen von mehreren 100 Spambots auf fast 0 runter zu kommen. Noch ein kleiner HoneyPot dazu und es war schlagartig Ruhe...
Hach waren das noch Zeiten.
Leider ist das Projekt aufgrund der DSGVO eingestellt worden. So steht es zumindest auf deren Seite

---

--

Wahnwitzig Beschleunigte Code Entwicklung

florian

Administrator

Re: Captcha Eingabe beim Admin Login

Das Captcha beim WBCE-Login soll Brute-Force-Attacken erschweren, also automatisiertes Durchprobieren von Benutzername/Passwort-Kombinationen. Wir hatten den Hinweis bekommen, dass die vorhandene IP-Sperre ggf. nicht ausreichend sein könnte.
Ich glaube aber, ich habe mit dem Captcha mit Kanonen auf Spatzen geschossen.
Meine vage Idee: das Captcha wird erst nach einer vergleichsweise hohen Zahl fehlgeschlagene Logins in kurzer Zeit, z.B. 10 in einer Minute, aktiviert. Damit sind eigentlich auch fast alle Spatzen gefangen (anstatt erschossen, s.o.)
Muss ich schauen, ob/wie ich das hinbekomme.

---

Sorgen sind wie Nudeln: man macht sich meist zu viele.

beach

Developer

Re: Captcha Eingabe beim Admin Login

Als Idee:
ein verstecktes Eingabefeld mit einem, für Bots verlockendem Namen, welches aber für den normalen User nicht sichtbar ist (CSS)
Wenn das Feld Daten enthält, wird das Captcha präsentiert.
Als zusätzlicher Schutz ein Check der Zeit zwischen fertig gerendertem HTML und dem Absendezeitpunkt.
Ist das zu schnell, ists wohl ein Bot. Und Zeit haben die bei Brute Force definitiv keine

---

--

Wahnwitzig Beschleunigte Code Entwicklung

kleo

Member

Re: Captcha Eingabe beim Admin Login

Was spricht dagegen, das Anmeldeprozedere in zwei Schritten zu machen?

Zuerst zeigt man den Benutzernamen und die Schaltfläche "Weiter", dann in z.B. 2-3 Sekunden das Passwort und die Schaltfläche "Anmelden".
Bei der falschen Eingabe kann man das erste Fenster auch verzögert zeigen.

Durch diese verzögerte Eingabe wird das automatisierte Durchprobieren von Benutzername/Passwort-Kombinationen auf jeden Fall verlangsamt. Da die IP-Sperre nach drei Fehlversuchen auch noch wirkt, wird das ganze damit auch erschwert.

florian

Administrator

Re: Captcha Eingabe beim Admin Login

Ich habe mit KI-Unterstützung meine o.g. vage Idee umgesetzt.
https://github.com/WBCE/WBCE_CMS/commit … da9559cac8
Das CAPTCHA wird jetzt erst abgefragt, wenn innerhalb von 5 Minuten mehr als 5 fehlgeschlagene Logins von beliebigen IP-Adressen erfolgen.
Zum Testen die framework/class.login.php durch die hier angehängte austauschen.
Dann einige fehlgeschlagene Logins über eine normale Verbindung und einige über VPN simulieren.

Last edited by florian (31.01.2026 10:54:06)

---

Sorgen sind wie Nudeln: man macht sich meist zu viele.

mk70

Member

Re: Captcha Eingabe beim Admin Login

Moin Florian,

ich habe das gerade getestet und erhalte statt dem Captcha nach 5 Fehlversuchen nur noch die Meldung:

Excessive Invalid Logins
You have attempted to login too many times

Dahin werde ich weitergeleitet:
domain.de/templates/wbce_flat_theme/templates/warning.html

Ich habe dann mal den Bowser gewechselt, aber auch darin werde ich weiter ausgesperrt.
Die alte class.logon.php wieder eingespielt: Ich werde immer noch gesperrt.

Frage: Wie lange bin ich ausgesperrt, bzw. wo kann man ggf. die Sperre deaktivieren?

Das betrifft nur das Backend. Das Frontend kann ich besuchen.

Bis später... 

**

EDIT:
Ist das Script aktuell noch nutzbar oder muss es für die letzten Versionen angepasst werden?
https://forum.wbce.org/viewtopic.php?pid=35035#p35035

**

EDIT2:
In der Tabelle "wbce_blocking" den Inhalt geleert. War nur der eine Eintrag. Geht wieder. 

Last edited by mk70 (01.02.2026 11:29:45)

---

Gruß Mac

... der hier noch viel lernen/herausfinden muss 

florian

Administrator

Re: Captcha Eingabe beim Admin Login

Die IP-Sperre greift weiterhin. Allerdings lässt sie sich z.B. durch VPN umgehen, weshalb als zusätzliche Sicherheitsmaßnahme das Captcha eingeführt wurde, um Brute-Force-Attacken zu erschweren.

Bei der IP-Sperre wird, wie der Name schon sagt, die IP für eine gewisse Zeit gesperrt, d.h. aus ein und demselben Netzwerk aus werden alle Zugriffe blockiert, egal ob als Browser Firefox, Chrome oder Opera verwendet wird. (Sie wird nach 15 Minuten automatisch aufgehoben oder durch das Leeren der blockings-Tabelle mittels oben erwähntem Script bzw. direktem Datenbankzugriff.)
Die Anzahl der Fehlversuche bis zum Greifen der IP-Sperre kann zum Testen in der /admin/login erhöht werden.

Zum Testen des geänderten Captcha-Mechanismus' muss der Zugriff über unterschiedliche IPs erfolgen. Also z.B. über Firefox  sowie Opera mit aktiviertem VPN (ist bei Opera integriert) sowie Chrome/Smartphone über mobile Daten.

---

Sorgen sind wie Nudeln: man macht sich meist zu viele.

mk70

Member

Re: Captcha Eingabe beim Admin Login

Guten Morgen,

Ok, dann bin ich dem System wohl ein paar Minuten zuvorgekommen.

Und danke Dir für die detaillierte Erklärungen

---

Gruß Mac

... der hier noch viel lernen/herausfinden muss