Есть
Но это окупается только для очень больших сайтов.


понятно

ясно. ну тогда я выбираю капчу. 
спасибо за всё

 

1) Капча + активация - само собой 
2) банить не нужные ip - так себе, но мера не помешает, хоть и есть масса проксей, но если т.о. ip вычистить - задача для ботов усложняется
3) скрытые пар-ры, которые вычисляются в js где-то вглубине, но с отключенными скриптами работать не будет. Как вар-нт можно тот скрипт, в котором защита лежит цеплять где-то на этапе выполнения, чтобы его не видно было тем же firebug

Капчу сильно мудрённую делать - я смысла не вижу, обычно капча вводится руками, или за счёт сервиса "антикапча", где также сидят индусы и долбят их, за небольшую плату, т.е. пишется прога, которая автоматизирует процесс, а пользователь только сидит и долбит капчи. Всякие куки - этой прогой легко реализуются. Самое сложное - это сломать защиту из п.3, постоенную на скрипте, т.к. тогда надо разбираться в работе скриптов, а если скрипт будет пакованный - то сложно докопаться как же этот параметр вычисляется, а без него у бота работать не будет ничего. Можно конечно прогу написать, чтобы она страницу браузером открывала, тогда всё, что на js вычислится автоматом и ничего не останется кроме как выдрать из браузера готовый запрос, но ты же сам понимаешь, что универсально защититься невозможно, а последний вар-нт не так уж и прост. 

И когда будешь строить защиту - не надо выдавать сообщений типа "это бот и обломайтесь", если ты точно определил, что это бот(например какие-то доп. параметры не сошлись), лучше сделать так, чтобы было непонятно почему не получилось, вплоть до выдачи какойнь-дь страницы, типа "всё сломалось", да какуюнб-дь ошибку, а потом этому ip всегда или какой-то период эту ошибку показывать, чтобы он думал, что просто сервер упал, с занесением ip в чёрный список. 

brother79, спасибо за информацию, это уже интересно)

Было время, писал авторегистраторы. Могу поделиться опытом.
1. Капча отправляется на сервер распознавания. Т.ч. это не защита.
2. Некоторые пишут список вопросов-ответов. Можно так-же за несколько обходов их собрать.
3. Подтверждение на мыло - тоже обходится очень легко.

Спотыкался только об одну вещь - JS. Если получалось сэмулировать работу JS на php, продолжал дальше.  Если не получалось - бросал это дело.  CURL не может работать с JS.  Т.ч. копать в сторону JS.

P.S. Некоторые делали ещё так. Делали невидимое поле для пользователя, который не видит код страницы. Бот это поле видит и заполняет. Но это тоже лабуда. Я включал снифер, делал вручную несколько регистраций и смотрел что отсылается.

capitan, не западло такие вещи делать?

Ипатьев, я делал не западло а авторегистраторы. Зато теперь представляю как от них можно защититься.

Для информации можно почитать раздел http://habrahabr.ru/tag/captcha/  там много полезно есть.

Это сообщение отредактировал(а) capitan - 24.11.2009, 00:06

гадил, в общем. своим же.

capitan, писал авторегистраторы? В какую цену?)
А то, что пишутся они только для ОЧЕНЬ крупных проектов?) Иначе невыгодно.

Так что как минимум автор топика полностью защищен только этим ;)

 Можно не эмулировать, а работать регекспами. А можно подключить JS-движок.
А можно(экзотика) писать сразу на JS парсер и выполнять нужные куски.

 Мне тоже приходилось. Проблема в том, что за это платили, а надо кормить семью. Но сейчас куча заказов на веб, так что про это, надкюсь, забуду, как про страшный сон.

Добавлено через 2 минуты и 4 секунды
 Я писал для гугла и хотмейла. Не своим. Второй - это ### ) Именно там пришлось работать с JS, т.к. тупо не мог разобраться с его логикой.

Вот вот, и я про то же, остальное - хоть и ломается, но от простачков всёравно защитит, а от профи - именно js,  не каждый полезет так глубоко, если только всю страницу не выполнить браузером.