うちの板塀、今月１０日頃から、大量の落書き未遂があるようです。
「ようです」というのは、全て門前払いされてしまっているからなんですが。
ただ、門前払いしているだけあって、どのような落書きがなされようとしたかは
不明です。うちの場合、本文が英語だけ、というものは落書き可能なのですが、
その他のスパム投稿にありがちないくつかのパターンはチェックしています。
う〜ん、一体どの条件に引っかかっているんだろう。

ということで、確かこちらの掲示板ではスパム投稿をコレクションされていたか
と思うのですが、最近急に増えたパターンというのがありましたら教えていただ
けないでしょうか。

ちなみに、WebForumのスクリプトが、最近またバージョンアップしたようです。
何が変わったかチェックしておかねば。

> うう、昔そんなこともしていましたっけねぇ。(^^;　サイトの容量逼迫もあって
> もうやってないんですよ。

そりは残念。
とにかく、２月１０日以降はすごいですよ。
１時間あたり数回、最大で１時間あたり２０回くらいアタックがあります。
アクセス元は、どうやら全世界。
世界中のウィルス（というかボット）に感染したマシンからアクセスしているの
か、それとも世界中のプロキシを経由しているのか、はたまた感染マシンをプロ
キシにしているのか、単にアドレスを詐称しているだけかもしれないけど。
ただ、今回、少数の例外を除くと、ユーザエージェントがみんな、MAXTHONという
ブラウザを詐称しているのです。現在のバリアを突破されるようになったら、こ
いつをシャットアウトしてやるかな。ちなみに、少数の例外というのは、アルフ
ァベットのランダムな文字列なんで、これはちょっとどうしようもないかな。

でも、大したチェックもしていないのにことごとく弾かれている、というところ
はかなり軟弱。今、うちでやっているチェックは多分次のような感じ。実際には
プログラムや正規表現を間違っていて効果がないものもあるかもしれないけど。

・他サイトからのアクセスを排除（標準のリファラチェック）
・メールアドレスの形式チェック
・投稿者名と同一タイトルは拒絶
・投稿者名にＵＲＬがあれば拒絶
・タイトルにＵＲＬがあれば拒絶

これだけの事なのに、パスできたスパムは２ヶ月くらいの間に１個だけ。

あと、もう一つ気になることがあって、１月下旬から、スパム投稿ではなく読み
込みだけですが、妙なユーザエージェントからのアクセスが大量にあるのです。
意訳するとカボチャ大王かな、「JACK-O`-LANTERN/1.1」というのですが、調べた
範囲では正体不明。ＷＥＢから情報を集めるロボットだと思うのだけど。ＭＡＣ
のソフトでそういう名前のソフトがあるらしいけど、それはどうやらブラウザで
はないらしい。

> スパムに関してはうちはもう充分対策できているので様子見ですかね。

スパム絡みだけなら、ウチもそうです。
でも、その他に新機能とかが付いているかもしれないので、とりあえずダウンし
て中を読んでみるつもりです。


ここ２日ほど、掲示板スパム関係の情報を収集していて、新たな、というか、今
まで気がつかなかった新しいワザを知る事ができました。これは、スパムと判別
する際ではなく、判別後の掲示板側の挙動です。
通常、多くの掲示板では、投稿がスパムであると判別すると、投稿を拒絶すると
ともにエラーメッセージを返しています。この際、サーバーの応答コードとして
は正常応答（コード２００）を返します。ここを変更し、スパム投稿の場合には
サイトが移転しましたというコード（３００番台）及びダミーの移転先ＵＲＬを
返すようにしてやるのです。すると、一部の妙に律義に実装されたスパム投稿プ
ログラムなら、次からはそちらのＵＲＬに投稿を行おうとするようになるので、
自分のところにはもうやってこなくなるという寸法です。ただ、ダミーの移転先
の選定をいいかげんに行うとそのサイトに迷惑をかけてしまうので、通常は、ス
パム投稿を行ってきたアクセス元のアドレスを返すようにするようです。
これはなかなか面白そうな技術なので、そのうち私のところにも実装するかもし
れません。

としきさん

う〜む、随分詳細なアクセス解析ですね。これなら掲示板のスパムログを取得する
必要性もあまりなさそうな。

> でも、その他に新機能とかが付いているかもしれないので、とりあえずダウンし
> て中を読んでみるつもりです。

なにかこれはというのがありましたら是非教えて下さい。（他力本願なやつ）

> は正常応答（コード２００）を返します。ここを変更し、スパム投稿の場合には
> サイトが移転しましたというコード（３００番台）及びダミーの移転先ＵＲＬを
> 返すようにしてやるのです。すると、一部の妙に律義に実装されたスパム投稿プ
> ログラムなら、次からはそちらのＵＲＬに投稿を行おうとするようになるので、
> 自分のところにはもうやってこなくなるという寸法です。

これは自宅サーバーならではの方法ですね。(^_^)

> ただ、ダミーの移転先
> の選定をいいかげんに行うとそのサイトに迷惑をかけてしまうので、通常は、ス
> パム投稿を行ってきたアクセス元のアドレスを返すようにするようです。

ということは、相手側もそれを読んで対策している可能性もありそうですねぇ。
自サイトのアドレスが返されたら再送信して、無限ループするとか。(^^;
このいたちごっこがいつまで続くのかと思うとうんざりしますねぇ。
宣伝が最大の迷惑だなんて、なにかおかしい。

いくつか訂正。
スパムチェックですが、うちではWebForum標準のリファラチェックをしていませ
んでした。これをすると、ＩＰアドレスが変動した時に書き込み不可となってし
まうからです。
あと、「JACK-O`-LANTERN/1.1」のアクセスですが、２月中旬以降はなくなってい
ました。正体は相変わらず不明です。


> う〜む、随分詳細なアクセス解析ですね。これなら掲示板のスパムログを取得する
> 必要性もあまりなさそうな。

こういうデータが取れるから、hpcgiなんかにはなかなか移転できないのですよ。
ちゃんとしたレンタルサーバーだったら移転してもいいけど。
でも、肝心な、どういう書き込みがなされようとしていたか、がわからないので
ちょっとつまらない。サーバーソフトを変更すればなんとかなるのかな。

> これは自宅サーバーならではの方法ですね。(^_^)

ちょっと調べた範囲では、この偽装移転ワザ、現在うちで使っているサーバーソ
フトではどうやら実現できなさそうな気がしてきました。
ま、できないならできないで、あきらめもつくけど。
やっぱり、サーバーソフトの変更か。

> 自サイトのアドレスが返されたら再送信して、無限ループするとか。(^^;

www.cia.govあたりに飛ばしてやります。
でも、スパマーの次は私にお繩がかかったりして。

> でも、肝心な、どういう書き込みがなされようとしていたか、がわからないので
> ちょっとつまらない。サーバーソフトを変更すればなんとかなるのかな。

掲示板のＣＧＩをちょっと弄ればとしきさんなら簡単でしょう。(^_^)
私はもう忘れてしまいましたが。(^^;

> www.cia.govあたりに飛ばしてやります。
> でも、スパマーの次は私にお繩がかかったりして。

＃こうしてまた一人のスパマーが・・・ってなんかデジャブ？(^^;

> いくつか訂正。

さらに訂正。
うちではもっと重大かつ些細な対策を施していた事をすっかり忘れていました。
「プレビュー反転」です。
前にもどこかで書きましたが、通常、チェックをつけるとプレビューありになる
ところを、チェックをつけるとプレビューなしにする、というものです。

で、今回の大量アタックなんですが、どうやらこれに引っかかっている模様です。
なぜかというに、サーバのログによると、アタックに対する応答時に出力してい
る転送バイト数は約５〜６ＫＢです。でも、#2229で書いたモロモロのチェックに
引っかかった場合、××のエラーです、というような内容しか出力しないので、
転送バイト数はせいぜい１ＫＢ前後にしかならないはずです。でも、プレビュー
反転に引っかかった場合は、ここも含めたよそのサイトだと書き込まれてしまう
ような着弾であっても、うちの場合は単純にプレビューの表示しかアウトプット
されない訳です。そのため、結果として書き込みが防止できているのでしょう。

ま、状況証拠だけなんですがね。でも、多分正しいと思います。

としきさん

> ま、状況証拠だけなんですがね。でも、多分正しいと思います。

ふ〜む、プレビュー反転がこれほどの効果があったとはすごいことですねぇ。
これは是非スパムログの保存ルーチンを作って検証して欲しいですね。(^_^)

> これは是非スパムログの保存ルーチンを作って検証して欲しいですね。(^_^)

これは面倒なんで、当面パス。

でも、プレビュー反転は掲示板のスクリプト本体のロジックにも手を入れないと
ダメだけど、プレビュー必須とするだけならば、掲示板の投稿欄のHTMLを変更す
るだけだから造作もないという気もします。CHECKBOXをHIDDENに変えて、常時ON
とするだけだと思うので。
そして、それだけの事で、既存のWebForum用の投稿ツールはスパム用と否とを問
わず、ほとんどのものが無力化される事になる事でしょう。

> これは面倒なんで、当面パス。

やっぱり。残念。(^^;

> ダメだけど、プレビュー必須とするだけならば、掲示板の投稿欄のHTMLを変更す
> るだけだから造作もないという気もします。CHECKBOXをHIDDENに変えて、常時ON
> とするだけだと思うので。

なるほど、それなら出来そうですね。今までプレビューしてなかった人は面食らう
でしょうが、すぐに慣れるし、2重投稿などミス投稿が減るのでこれは良いかもしれ
ないですね。チェックボタンを残したままにするのも面白いかも。(^^;

> そして、それだけの事で、既存のWebForum用の投稿ツールはスパム用と否とを問
> わず、ほとんどのものが無力化される事になる事でしょう。

これは反転式も同じことなので、必須とするほうが副作用が少なそうですね。検討
してみようかなぁ。

　２重投稿魔の文太です。

> 2重投稿などミス投稿が減るのでこれは良いかもしれないですね。

　僕は、プレビューをさぼらないように自分を調教しました。調教にも成功しま
した。ただ、それと２重投稿はあまり関係ないように思っています。つまり、ネ
ットやサーバとかの状態が悪いとキャンセルしてやり直しをしてしまうのです。
で、あああ、２重投稿になってやがる、なんですよ。たぶん。経験的にいって。

　削除キーは、…。ご、ごめんなさい。オートパイロット育ちなものですから。
ニフマネってありましたねぇ。

栃木の火事のおかげで全然眠れない　としき　です。

> 　僕は、プレビューをさぼらないように自分を調教しました。調教にも成功しま

う〜んと、いくつかのブラウザでは、一度プレビューありで投稿すれば、そのオ
プションを記憶してくれて、次に同じサイトを開いたときには自動でそのオプシ
ョン設定にしてくれるのですが、文太さんのお使いのブラウザではそうはなって
いないのでしょうか。
あと、一応、このあたり（どのあたり？）でメジャーなWebForumというＣＧＩで
はクッキーも使うようになっていて、クッキーをＯＮにしておけば各種オプショ
ンを再現してくれるようになっているのですが、文太さんはクッキーをＯＦＦで
お使いなのでしょうか。ま、セキュリティを気にする人はクッキーをＯＦＦにし
ていることが多いのですが、クッキーをＯＮにしておいた方が便利なことも多い
です。例えば、巨大レンタル掲示板サイトであるteacup.comでは、スパムよけの
意味もあって、クッキーＯＦＦだと書き込みできないようになっているはずです。
それこそ、ブラウザによっては、サイトごとにクッキーのＯＦＦ／ＯＮを選択で
きるようになっていたりするので、そういう機能を使ってもよいかもしれません。

> 　削除キーは、…。ご、ごめんなさい。オートパイロット育ちなものですから。

上記の方法で、削除キーもブラウザが前回のものを再現してくれるはずなので、
一度削除キーを入れれば後は入れ忘れることがないようにできるはずです。

としきさん、小さなTips、たくさんありがとうございました。

　えーと、クッキーはありです。設定はＯＫなのですが、面倒なのでプレビュー
ボタンを off にして投稿したくなってしまうのです。 でも、失敗があまりに多
かったので、自分の怠惰を戒めるようにしただけです。すいません。m(__)m

> 上記の方法で、削除キーもブラウザが前回のものを再現してくれるはずなので、
> 一度削除キーを入れれば後は入れ忘れることがないようにできるはずです。

　は、はい。そうそう、削除キーはあれだ。m(__)m
　と思って、削除しようとしたら、ああ、板塀では設定しなかったんだ…。m(__)m

> > そして、それだけの事で、既存のWebForum用の投稿ツールはスパム用と否とを問
> > わず、ほとんどのものが無力化される事になる事でしょう。
> これは反転式も同じことなので、必須とするほうが副作用が少なそうですね。検討
> してみようかなぁ。

ごめんなさい。
私が上記の文章は、多分ウソです。
朝、起きたばかりで、頭が回っていなかったようです。
落ち着いてＣＧＩの挙動を考えたら、これではダメだと思います。

で、代替案というか、一番工数の少なくすむものを考えてみました。
プレビューに関しては、どう変更しても（変更しなくても）関係ないものです。
ＣＧＩの表示するＨＴＭＬで、HIDDENなタイプの新しいパラメータを追加します。
ＣＧＩの書き込みチェックのところで、このパラメータの指定がないものは一律
拒絶します。
これなら、ロジックでいじるところは１箇所だけですみますから、一番手軽です。
それにもかかわらず、既存の書き込みツールによるものは一切拒絶できるのです
から、費用対効果は最大でしょう。もちろん、ＨＴＭＬを解析されたらそれまで
ですが、たった１箇所の掲示板のためにそこまで手間をかけるスパマーは少ない
でしょうし、破られたら破られたでパラメータ名をちょこっと変えるだけでまた
しばらくは安心できるので、これが一番よろしいのではないかと。
＃ということで、導入しませんか？＞某

> うちの板塀、今月１０日頃から、大量の落書き未遂があるようです。

とりあえず、一時的かもしれないけど解決しました。
サーバのＩＰアドレスが変化したのです。
意図的に変えたわけではないのですが。ま、事故ということで。
＃概要は板塀参照

これは、ドメイン名を取っていないことによる、数少ないメリットといえるでし
ょうか。ほとんど負け惜しみに近いメリットですが。
仮にwww.toshiki.jpとかってドメイン名を取っていて、そこに宛ててＳＰＡＭが
飛んできていたら、ＩＰアドレスが変わってもドメイン名は変わらないわけで、
いつまでたってもＳＰＡＭに襲われ続けることになっていたことでしょう。

これで、向こう数週間から、うまくいけば数ヶ月はＳＰＡＭ書き込みに襲われる
心配はないでしょう。

> サーバのＩＰアドレスが変化したのです。

考えてみれば、ＩＰアドレスではなく、ポート番号を変えてみるという手もあり
ました。うちの場合、現在は9801番ポートを使っていますから、これを9821番と
か8801番にしてみるとか、いっそ80番に戻してしまうとか。

次にＳＰＡＭの群れに襲われたら、こちらを考えてみます。

としきさん

> > サーバのＩＰアドレスが変化したのです。

板塀の新着が開けなくなったのはこれだったんですね。直リンクしているので、
BBSリンク集の新着URLを直さなくては。

> 考えてみれば、ＩＰアドレスではなく、ポート番号を変えてみるという手もあり
> ました。うちの場合、現在は9801番ポートを使っていますから、これを9821番と
> か8801番にしてみるとか、いっそ80番に戻してしまうとか。

え〜と、この場合、リンクに影響はあるんでしょうか。リナックスだと
ポートを開かないと駄目だとか？

> 次にＳＰＡＭの群れに襲われたら、こちらを考えてみます。

うちは今のままで不満が無いので、新たな対策は当分しないと思います。

> > 考えてみれば、ＩＰアドレスではなく、ポート番号を変えてみるという手もあり
> > ました。うちの場合、現在は9801番ポートを使っていますから、これを9821番と
> > か8801番にしてみるとか、いっそ80番に戻してしまうとか。

> え〜と、この場合、リンクに影響はあるんでしょうか。リナックスだと
> ポートを開かないと駄目だとか？

リンクへの影響といったら、ＵＲＬの文字列の「:9801/」の部分を該当の番号に
変更してやる事は最低限必要です。あと、リナックスに限らず、Windowsだって、
セキュリティの関係でポートを閉じているマシンの場合はアクセスができなくな
る可能性があります。ある意味、それが狙い、なのですから。

> うちは今のままで不満が無いので、新たな対策は当分しないと思います。

それがいいと思います。
凝った対策を入れてバグを増やしてしまったら何にもなりませんし。
ただ、hpcgi全体としては、結構ＳＰＡＭに襲われているかもしれません。
アクセスした時の応答速度が、微妙に落ちているような気もします。
 

> リンクへの影響といったら、ＵＲＬの文字列の「:9801/」の部分を該当の番号に
> 変更してやる事は最低限必要です。あと、リナックスに限らず、Windowsだって、
> セキュリティの関係でポートを閉じているマシンの場合はアクセスができなくな
> る可能性があります。ある意味、それが狙い、なのですから。

変わったURLだなぁ、と思っていましたが、あれはポート番号を表していたんですか。
ポート関係とかはよくわかってないもので。
いずれにしてもリンクの更新が必要だとしたら、IPが変わるほうがリンクへの影響が
少なそうですね。単なるものぐさですが。

> ただ、hpcgi全体としては、結構ＳＰＡＭに襲われているかもしれません。
> アクセスした時の応答速度が、微妙に落ちているような気もします。

サーバーが重くなっている感じはしますよね。うちのCGIも負荷の増大に貢献している
かもしれないし。(^^;

そうか、としきさんがスパム対策にこだわるのは、自宅サーバーの負荷が問題になるから
なんですね。CGIを使っているだけの私はピンときませんでした。

> そうか、としきさんがスパム対策にこだわるのは、自宅サーバーの負荷が問題になるから
> なんですね。CGIを使っているだけの私はピンときませんでした。

う〜ん、どうなんでしょう。
深層心理ではそうかもしれませんが、とりあえず、無自覚です。
むしろ、次はサーバにどんな仕事をさせるか、なんてことを考えていたりするぐ
らいですから。