ものぐさの模

スパムプログラムがコメント用cgi決め打ちで叩きに来ているのではないかという想定のもと、先日コメントcgiの名前を変えるスパム対策を施してみました。数日経ってログを確認してみました。2日間で13回cgiを叩かれていますが、同じIPアドレスから集中してPOSTされているアクセスを抜き出してみました。

[31/May/2015:03:45:43 +0900] "GET /2011/11/182124.html HTTP/1.0" 200 45788 "http://rail.lazybose.net/2011/11/182124.html" "Mozilla/5.0 (Windows NT 6.1; rv:37.0) Gecko/20100101 Firefox/37.0"
[31/May/2015:03:45:43 +0900] "GET /2011/11/182124.html HTTP/1.0" 200 45788 "http://rail.lazybose.net/2011/11/182124.html" "Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/41.0.2272.89 Safari/537.36 OPR/28.0.1750.48"
[31/May/2015:03:45:43 +0900] "GET /2011/11/182124.html HTTP/1.0" 200 45788 "http://rail.lazybose.net/2011/11/182124.html" "Mozilla/5.0 (Windows NT 6.3; WOW64; rv:36.0) Gecko/20100101 Firefox/36.0"
[31/May/2015:03:45:44 +0900] "POST /mt611/comm.cgi HTTP/1.0" 200 31772 "http://rail.lazybose.net/2011/11/182124.html" "Mozilla/5.0 (Windows NT 6.1; rv:37.0) Gecko/20100101 Firefox/37.0"
[31/May/2015:03:45:44 +0900] "POST /mt611/comm.cgi HTTP/1.0" 200 31772 "http://rail.lazybose.net/2011/11/182124.html" "Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/41.0.2272.89 Safari/537.36 OPR/28.0.1750.48"
[31/May/2015:03:45:45 +0900] "POST /mt611/comm.cgi HTTP/1.0" 200 31772 "http://rail.lazybose.net/2011/11/182124.html" "Mozilla/5.0 (Windows NT 6.3; WOW64; rv:36.0) Gecko/20100101 Firefox/36.0"
[31/May/2015:03:46:13 +0900] "GET /2011/11/182124.html HTTP/1.1" 200 45788 "-" "Mozilla/5.0 (Windows NT 6.1; rv:21.0) Gecko/20100101 Firefox/21.0"

[31/May/2015:03:55:37 +0900] "GET /2011/11/182124.html HTTP/1.0" 200 45788 "http://rail.lazybose.net/2011/11/182124.html" "Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/41.0.2272.101 Safari/537.36"
[31/May/2015:03:55:38 +0900] "POST /mt611/comm.cgi HTTP/1.0" 200 31772 "http://rail.lazybose.net/2011/11/182124.html" "Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/41.0.2272.101 Safari/537.36"
[31/May/2015:03:55:39 +0900] "GET /2011/11/182124.html HTTP/1.0" 200 45788 "http://rail.lazybose.net/2011/11/182124.html" "Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/41.0.2272.89 Safari/537.36 OPR/28.0.1750.48"
[31/May/2015:03:55:41 +0900] "POST /mt611/comm.cgi HTTP/1.0" 200 31772 "http://rail.lazybose.net/2011/11/182124.html" "Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/41.0.2272.89 Safari/537.36 OPR/28.0.1750.48"
[31/May/2015:03:55:44 +0900] "GET /2011/11/182124.html HTTP/1.0" 200 45788 "http://rail.lazybose.net/2011/11/182124.html" "Mozilla/5.0 (Windows NT 6.3; WOW64; rv:36.0) Gecko/20100101 Firefox/36.0"
[31/May/2015:03:55:46 +0900] "POST /mt611/comm.cgi HTTP/1.0" 200 31772 "http://rail.lazybose.net/2011/11/182124.html" "Mozilla/5.0 (Windows NT 6.3; WOW64; rv:36.0) Gecko/20100101 Firefox/36.0"
[31/May/2015:03:56:13 +0900] "GET /2011/11/182124.html HTTP/1.1" 200 45788 "-" "Mozilla/5.0 (Windows NT 6.1; rv:21.0) Gecko/20100101 Firefox/21.0"
[31/May/2015:03:56:28 +0900] "GET /2011/11/182124.html HTTP/1.1" 200 45788 "-" "Mozilla/5.0 (Windows NT 6.1; rv:21.0) Gecko/20100101 Firefox/21.0"
[31/May/2015:03:56:34 +0900] "GET /2011/11/182124.html HTTP/1.1" 200 45788 "-" "Mozilla/5.0 (Windows NT 6.1; rv:21.0) Gecko/20100101 Firefox/21.0"

ウクライナからやってきたスパムプログラムのようですが、よく見ると1つのエントリーに対してOS情報とブラウザ情報を偽装して3回アクセスし、コメントcgiも3回叩いています。少し時間を置いてアクセスしてはcgiを叩くのを3回繰り返しています。どうも変更したコメントcgi名をアッサリと認識しているようで、MTのスパム対策として古くから言われている「コメントcgi名を変える」というのは今や対策としては役に立たないようです。
となると別の対策が必要ですね。ググってみると色々と試している方がおられるのですが、中でも効果が高そうな方法を見つけ、早速取り入れてみました。一応コメントも書けるようですが、若干いじったりすると書けなくなったりもするかも知れません。コレで少し様子を見るコトにしますが....もう終わりにしたいんだがな。