ホーム
最近はすっかりアウトドアに時間を取られ、メンテナンスが雑になりがちになっている。夏の暑い昼間はエアコンの効いていない部屋でサーバが動作しているため、温度管理等には非常に気を遣う。
下のグラフが7月から9月までのCPUファンの速度、各種センサーの温度、CPU使用率のグラフ
サーバで使用しているCPUはCore2Duo P8600(2.4GHz/25W)でCPUクーラーのファンは80mmのPWMタイプ。温度により自動的に回転速度が最大3400rpmまで変化するが、7月中旬(Week28)には最大回転速度に達している。
つまり、冷却が限界という事なので、CPUの最大クロック周波数を下げることにした。P8600のクロックは800/1600/2400MHzの三段階なので、1600MHzまで下げる。(800MHzでも5月まで使っていたC3-533MHzよりもずっと速いが)
以下は秋頃になって戻し忘れない為のメモ。
#### /etc/sysconfig/cpuspeed
### FREQUENCIES ###
# NOTE: valid max/min frequencies for your cpu(s) can be found in
# /sys/devices/system/cpu/cpu*/cpufreq/scaling_available_frequencies
# on systems that support frequency scaling.
# maximum speed to scale up to
# default value: empty (use cpu reported maximum)
MAX_SPEED=1600000
# minimum speed to scale down to
# default value: empty (use cpu reported minimum)
MIN_SPEED=
それ以降もCPUファンの速度が最大に達することはあったが、CPUの温度は確実に低くなっているのでよしとする。
以前から気になっていたCPU使用率が周期的に高くなるのはWeek30で解消している。これはmilter-managerを1.2.0にバージョンアップした時期と一致する。なんらかの改善がされたのだろう。
仕事で監視用のサーバを構築しようと、cactiやNagiosをCentOS5.3上にインストールした。前回構築時に苦労した部分でまたハマってしまったのでメモを残す。
・cactiのインストールで、rpmforgeのリポジトリ上のspineはうまく動作しない。「SNMP Library Version Mismatch」となる。ソースをダウンロードしてパッケージを作り直したら動作する
・spineのインストール後、/etc/spine.confを編集するのを忘れていた。
・cacti-plugin-PAのインストール後、設定ファイルを編集するのを忘れていた。
・Nagiosアクセス用のユーザを作り忘れた。
スパムメールの収集の為、テスト用のアドレスを晒してみる。
spamtest@lemontea.mydns.jp
spamtest@lemontea.mydns.jp
ロボットよけのテキストも除去してみた。
すぐに来るだろうか？とりあえず、しばらくトップに固定しておこう。
相変わらず、写メールBBSへのコメントスパムのアタックは続いていた。
apacheのディレクティブで89.248.162.194からのPOSTをdenyしているので書き込まれることは無い。
access_logは以下のようになっている。
89.248.162.194 - - [30/May/2009:15:45:38 +0900]
"GET /xoops/modules/mailbbs/ HTTP/1.1" 200 16915 "-"
"Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1)"
89.248.162.194 - - [30/May/2009:15:45:40 +0900]
"POST /xoops/modules/mailbbs/index.php HTTP/1.1" 200 - "http://milktea.ddo.jp/xoops/modules/mailbbs/"
"Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1)"
89.248.162.194 - - [30/May/2009:16:15:16 +0900]
"GET /xoops/modules/mailbbs/ HTTP/1.1" 200 16911 "-"
"Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1)"
89.248.162.194 - - [30/May/2009:16:15:17 +0900]
"POST /xoops/modules/mailbbs/index.php HTTP/1.1" 200 - "http://milktea.ddo.jp/xoops/modules/mailbbs/"
"Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1)"
89.248.162.194 - - [30/May/2009:16:43:54 +0900]
"GET /xoops/modules/mailbbs/ HTTP/1.1" 200 16920 "-"
"Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1)"
89.248.162.194 - - [30/May/2009:16:43:55 +0900]
"POST /xoops/modules/mailbbs/index.php HTTP/1.1" 200 - "http://milktea.ddo.jp/xoops/modules/mailbbs/"
"Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1)"
約30分毎に書き込みが試行されている。アタックが始まった当初は約15分毎だったので、レスポンスを見て頻度を調製しているのかも知れない。
さて、特定IPからのPOST制限では全く根本的解決にならない為、スクリプト側での対策を行おうと考えてみた。
その為には、もう少しアタックの傾向が知りたい。
ログから見ると、まずUserAgentでIE6を装ってダイレクトに写メールBBSにアクセスしている。このアクセスの目的は
・記事IDの取得の為
・referrerを得る為
だろうか？そして、2秒以内に二回目のアクセスが来てスパムコメントがPOSTされている。しかも、しっかりとreferrerが本物のコメントの場合と同じURLになっている。
ここで問題になるのが、リアルタイムにレスポンスを解析してPOST内容を生成しているのか？それとも、テンプレートに従ってPOSTしているだけなのか？ということになる。
XOOPSの写メールBBSはかなりメジャーなモジュールなので無改造で利用されている率はかなり高いだろう。ファイル名やFORMのNAME属性が変更されていない場合のみをターゲットにしている可能性が高い。
それであれば、対策はいくつも考えられる。
とりあえず、type="hidden"でランダムな隠しパラメータを追加し、それが無いとログに書き込まないようにしてみた。もちろん、リアルタイムに解析されていたら効果が無い。最も、コメントスパムにそこまでの手間をかけるかは疑問だが。。
apache側の制限を外したのが17:00頃、予定では次の巡回(?)は17:15前後なので待つこと30分、アクセスが無い。。一時間待ってもアクセスが無い。。
結局、日付が変わってもアクセスが無かったので、効果は不明。
偶然なのだろうか？
ログを見て、アクセスから5秒から10秒以内のコメント書き込みを制限すれば十分な気がしてきた。そんな高速コメントを書き込む人間は居ないだろう。
また、今回のコメントスパムではBBcodeを使ってURLを貼り付けて来たので、BBcodeを検出するのも有効かも？
※約24時間後にアクセスが再開された。現在のところ書き込み阻止している。リアルタイムでの解析は行っていない模様
XOOPSの写メールBBSを再開して2週間ほどで再びコメントスパムが書き込まれるようになった。
コメントスパムに気がついた時点でリアルタイムに書き込みが行われていた為、いろいろ調べることができた。
・一度のPOSTで全スレッドに対してコメントが投稿される
・flat.phpの最初の1ページのスレッドのみが対象になる
・URL数、ひらがな・カタカナ制限を回避された（要調査）
・スパム発信元IPアドレスは、89.248.162.194
いろいろ試し、とりあえずルータで遮断した。
調べてみるとlivedoorがスパムちゃんぷるーDNSBLというものを無償提供しており、AquaSunネットサースさんが、PHPのサンプルスクリプトを公開していたので、早速実装してみた。
ブラックリスト登録されているIPからアクセスがあると何も表示せず・何も処理させない。サイトのトップにも戻らない。
で、肝心な今回のコメントスパムの発信元（89.248.162.194）だが
# nslookup 194.162.248.89.dnsbl.spam-champuru.livedoor.com
Server: 192.168.xxx.254
Address: 192.168.xxx.254#53
** server can't find 194.162.248.89.dnsbl.spam-champuru.livedoor.com: NXDOMAIN
がーん。登録されていない。
スパムちゃんぷるーでは、テスト用のIPとして192.0.2.0/24を用意しており、これは常にスパマーと判断される（127.0.0.2のレスポンスがある）
# nslookup 1.2.0.192.dnsbl.spam-champuru.livedoor.com
Server: 192.168.xxx.254
Address: 192.168.xxx.254#53
Non-authoritative answer:
Name: 1.2.0.192.dnsbl.spam-champuru.livedoor.com
Address: 127.0.0.2
こんな感じ。
今日時点では、Project Honey Potで検索すると"comment spammer"として検索されるので、DNSBLとしてはまだまだといったところか？
無いよりはマシかな？
