Technique de spamco : explication et script PHP

Le spamco ou spam de commentaire est vieux comme le monde. Il est existe du propre, du sale, du manuel et de l’automatique. Sylvain Fouillaud a d’ailleurs écrit un article sur différents exemples de spamco qu’il a reçu sur son site : le pro, le novice, le futé, etc. C’est un retour enrichissant.

Le terme spamco n’est pas forcément à prendre négativement. Une personne qui va systématiquement mettre un commentaire sur les articles des blogs de son secteur de façon manuelle, réfléchie et pertinente sera bien pour lui (backlink dans la thématique) et pour l’auteur de l’article (commentaire pertinent). Attention toutefois à diversifier les sources de liens, je ferme la parenthèse.

Pour ma part, je réponds systématiquement de façon manuelle. Le taux d’acceptation est supérieur et je maîtrise bien chaque lien. Seulement voila, tout le monde n’a pas le temps de commenter pour ses sites ou les sites de ses clients. Vient alors la solution automatique.

Un autre article de Sylvain Richard (encore un !) sur Google+ cette fois m’a fait tic et je me suis dit qu’il était temps que je regarde ça de plus près… bien que ça soit sale. Vous l’avez compris, cette technique va donc consister à publier un même commentaire qui a été posté manuellement par une autre personne.

Explication de la technique de spamco

Il y a plusieurs approches mais je vais me cantonner à WordPress pour cette fois.

La première approche consiste à parser le flux des commentaires des articles de WordPress les capturer. Il suffit pour cela d’ajouter

/feed

à la fin des urls des articles. Par exemple :

https://www.lije-creative.com/url_article/feed/

Le flux est parfois modifié ou même supprimé. Ce n’est pas cette technique que je vais utiliser.

La deuxième solution consiste à s’attaquer directement à la page de l’article en récupérant tous les commentaires. Le premier problème se pose ici. Le template des commentaires peut être modifié même si la majorité des blogueurs utilise le template de base. J’ai donc intégré 5 façons différentes de récupérer ses commentaires d’après les différents template que j’ai pu trouver sur les sites que j’ai parcouru :

$comment_body = $xpath->query(".//*[contains(@class, 'comment-body')]");
if ($comment_body->length < 5) {
    $comment_body = $xpath->query(".//*[contains(@class, 'comment-entry')]");
}
if ($comment_body->length < 5) {
    $comment_body = $xpath->query(".//*[contains(@class, 'commententry')]");
}
if ($comment_body->length < 5) {
    $comment_body = $xpath->query(".//*[contains(@class, 'comment-content')]");
}
if ($comment_body->length < 5) {
    $comment_body = $xpath->query(".//*[contains(@class, 'comment-text')]");
}
// code
if ($comment_body->length < 5) {
    echo "<br />[$i] Can't find comments: " . $url;
    $i++;
    continue;
}

Vous notez que je vérifie bien sur j’ai un nombre supérieur à 5 commentaires car sinon, la publication d’un commentaire déjà existant sera trop flagrante. La dernière ligne permet de sortir de ma boucle qui parcours toutes les urls d’un fichier texte. A l’aide de xpath, je cherche le div qui contient une certaine classe (comment-body,…). C’est ce div qui contient les commentaires.

Il y a aussi des petits malins qui changent l’url de destination du formulaire d’envoi des commentaires. Le script va donc le récupérer :

$action = $xpath->query(".//*[@id='respond']//form/@action");
try {
    $form_action = $action->item(0)->nodeValue;
} catch (Exception $e) {
    echo "<br />[$i] Something wrong " . $url;
    $i++;
    continue;
}

La solution ne fonctionne pas avec le module Jetpack car ce dernier utilise une frame. Il n’y a plus qu’à prendre un commentaire dans le lot et à le republier avec toutes les informations de son propre site.

Attention ici aussi, akismet ou d’autre module de sécurité ajoute des champs cachés (cela me faut penser à un article d’Aymeric sur la façon de faire du spamco sur des champs cachés, mon script le permet aussi), il va donc falloir récupérer tout ça pour les envoyer proprement :

$inputs = $xpath->query(".//*[@id='respond']//form//input");
foreach ($inputs as $input) {
    $postfields[$input->getAttribute('name')] = $input->getAttribute('value');
}
$postfields["author"] = $post_author;
$postfields["url"] = $post_url;
$postfields["email"] = $post_email;
// code

Résultats

Le script n’est pas parfait mais il passe relativement bien à travers Akismet. Vous pouvez par exemple implémenter le multi-thread pour aller beaucoup plus vite. Je l’utilise en local avec Wamp et j’ai du faire sauter la limitation du max_execution_time de 30 secondes pour arriver à quelque chose.

Chez moi :

Chez les autres :

L’évolution des backlinks du site :

Je rappelle que c’est une vieille technique et qu’il faudra quand même bien spammer pour arriver à quelque chose.

Code

J’avais initialement décidé de donner le script entièrement de façon publique. Je me suis ravisé. Je vous rassure, c’est toujours gratuit mais je demande un partage en contre-partie pour mon travail.

En bonus, la fonction qui permet de spinner votre pseudo pour en avoir un différent à chaque blast.

Il ne vous reste plus qu’à trouver des sites sous WordPress, à sélectionner les bons articles et à lancer la bête. Comment ? Bon, je vous mâche un peu le travail :

"powered by wordpress" "Laisser un commentaire" "9 commentaires" -"Vous devez être connecté pour rédiger un commentaire" -inurl:category -inurl:tag -inurl:page -inurl:author
"powered by wordpress" "Laisser un commentaire" "10 commentaires" -"Vous devez être connecté pour rédiger un commentaire" -inurl:category -inurl:tag -inurl:page -inurl:author
...

Pour ceux qui désirent se prémunir de ces scripts de spam, appliquez l’astuce de Jonathan Buttigieg, elle fonctionne bien.