2988第三世界からのspamを遮断どうも夏頃からサーバーが過負荷に陥る頻度が増えて原因が特定できていなかったが、最新のアクセス統計を見たら驚愕の事実が発覚なんと逆引きが出来ない第三社会の複数のネットワークからのトラフィックが大半を占めていることが判明。ログを見ると休みなく記事の閲覧とスパムコメントの投稿シーケンスを繰り返している。同時期に複数のネットワークからである。誰得のスパムコメントをまき散らすだけでなく、サーバーに負荷をかけて他のネットワークからのアクセスを阻害しているので、容赦なくそれらの第三社会ネットワークを遮断することに。ひとつのIPアドレスを遮断しても、自動的に同じネットワークの別のIPアドレスからアクセスしてくるような仕組みになっており、ネットワークそのものを遮断する必要があった。犯人は複数のネットワークの複数のIPアドレスを所有しているか乗っ取っているようで、ひとつのネットワークが完全に遮断されたとわかると、別のネットワークからアクセスしてくるという手口。これでしばらくは穏やかになるはず。一応の成果が得られたが、依然としてspamアクセスは無くなっていない。アクセストップのホストhosted-by.i3d.netは実はspamerで、先月アクセスブロック作業中に最後に現れた逆引きの出来る唯一のサイトだった。逆引きが出来るので一応そのままにしていたが、どうやらこいつが親元のようで、他の逆引きが出来ない雑魚サイトはこいつの指令で同じサイトを攻撃しているように見える。雑魚をどんどん片づけていったらラスボス登場という感じ。spamアクセスの頻度はそうとう下がったのに、親玉だけは依然として勢いがある。堂々のアクセストップである。これもブロックしようかとそれまで設定したiptablesの一覧を見てみたら驚愕の事実が発覚。anywhereなんと先月は全部逆引きが出来なかったはずが、一部は中国企業が保有するネットワークの動的割り当てアドレスと表示されるようになっている。それでも大部分はまだ逆引きがでけいない。それとhosted-by.i3d.netが複数存在するのはどういうわけだ。ラスボスは複数居たのか。comment投稿しかしないサイトの他に、実はアクセス頻度は低いがログインだけ試みていくサイトが存在する。XoopsのようにIDとログイン名が同じ認証システムだと、認証情報の半分が既知なわけで、あとはパスワードを類推すれば当たりの時には不正ログインされてしまう。自動プログラムで目立たないように沢山のサイトを順番に辞書攻撃していけば、辞書に載っているような単語をパスワードにしていたところは侵入されてしまうということになる。