私が悪いことしている人観察しているのがバレたのでしょうか。Ltd一致するのは何か上記の「ニフティクラウドへのアタック」と「さくらのVPSへのアタック」、これらはPOSTリクエストなので、リクエストBODYが実行しようとしているPHPスクリプトであるため重要です。tcpdumpしていたのでこれらを見てみたのですが......ぬわんと、上記ニフティクラウドの4つと、さくらのVPSへの5つは、すべて同じPOSTボディでした。それが以下のスクリプトになります。見やすくするため改行を入れました。Telecommunicationsというところです。なんとなく分かることまず、実際にダウンロードさせようとしている攻撃スクリプトが同一であることから、この攻撃は全て同一の攻撃者(攻撃組織)によるものと思われます。攻撃者はソースIPアドレスをどう使い分けているかそれにしても攻撃元のソースIPアドレスはコロコロと変わります。ニフティクラウドに来たソースIPアドレスと、さくらのVPSに来たソースIPアドレスでは、随分と雰囲気が違います。さくらのVPSに来ているフランスのOVHやアメリカのDataShackはいわば「常連」なのですが、ニフティクラウドの方に来ていません。ニフティクラウドの方に来ているソースIPアドレスのASを見ると、これらが今までさくらのVPSの方に来たことはまだ無い(と思います)。何が言いたいかと言うと、おそらく攻撃者には、ターゲットのIPアドレスによって利用するソースIPアドレスを決定する、何らかのロジックがあるのではないでしょうか。これにどういう意図があるかはちょっとよく分かりませんが。(常にランダムにすればいい気もするけど)。終わりにとりあえず、超さわりだけ出してみました。正月休み明けくらいに何か出せればいいかなと思います。関する罪」の情報公開請求をしました月別アーカイブはてなブログをはじめよう!ozumaさんは、はてなブログを使っています。ブログを報告するスターをつけました引用をストックしましたストック一覧を見る閉じる引用するにはまずログインしてくださいログイン閉じる引用をストックできませんでした。再度お試しください閉じる限定公開記事のため引用できません。