 Re: 別館荒らし対策スレッド ( No.1 ) |
- 日時： 2006/06/01 02:16
- 名前： ElHaint [管理] ID:
- 現在海外からと思われる荒らしが多発しており、対策を検討しています。
近い時間・投稿者名が同じという状況であっても毎回IPが変わっていることから、
完全な手動ではなく、何らかのソフトを使用しているのではないかと考えています。
現在までに試みた対策ですが、
・http://ecforum.jpn.org/以外のリファラーの場合には拒否する
という制限では効果がありませんでした。
この理由として、
1.対象cgiのURLをリファラーとして偽装している
2.ちゃんとメニューからたどっている
3.それ以外の未知の方法
を想定しました。
とりあえず1の対策として、メニューページのURLをcgiと変えることによって、
メニューからのリンクのみOKにしましたが、この場合、書き込みなどcgi内でのページ遷移ができません。
2の場合についてはある意味仕方ないのですが、
1を防ぐ方法、または3についての情報をお持ちの方がいましたら、
お力をお貸しいただけないでしょうか？
（Q&Aっぽい？ですね汗）
ログインの手間を考えるとBasic認証はしたくないです。。
(備考)lolipopレンタルサーバーです
|
| Re: ホームページ荒らし対策スレッド ( No.2 ) |
- 日時： 2006/06/01 15:33
- 名前： staff1＠えどず ID:
- メジャーなフリーの配布BBSに対応する設定ファイルを実装したPOSTERだと思われるので・・・
1.POSTする際のIDをオリジナルとは変更する。
<input type=text name=name size=30 value="" maxlength=20 ...
の
name=nameをname=namaeとかにする。
decodeするところでnamaeをnameに変更できれば2箇所の修正。
オリジナルに対するPOSTERなら「名前は必須です」とかのエラーになる。
2.オリジナルにはないHIDDEN=をFORMに付けて、POSTされた後にチェックし、存在しない場合エラーにする。
<input type=hidden name=arashi value="taisaku">
更にvalueの値は定期的に変更できるように設定に追い出しておく。
|
| Re: ホームページ荒らし対策スレッド ( No.3 ) |
- 日時： 2006/06/01 16:11
- 名前： staff1＠えどず ID:
- POST先リストに載らないための対策。
うちのc-boardも幾つかやられてたので・・・
3.POST先のcgiのファイル名をオリジナルのファイル名で使うのをやめる。
htmから、cgiのURLをリスト収集している可能性があるので、patio.cgiだとURLのリスト収集に引っかかりやすい。bbs.cgiに変名してしまえば、手動でしかpatioだとバレない。
4.cgiのURL自体から、著作権表示部にPatioだとあるからpatioだと判断しているかもしれないので、見栄えは変更せずに実体参照で逃げる。
a → a に変更した例
<!-- 著作権表示部・削除禁止 (Web Patio v1.51) -->
<span class=s1>
- <a href="http://www.kent-web.com/" target="_top">Web Patio</a> -
受信した生データをPatioという文字列で検索してもヒットしなくなる（ブラウザで開けば検索でヒットしますけど、ブラウザがデコードしてなければヒットしない）のでリスト収集でヒットしにくくなる。（コメント部分は実体参照にしても表示的な意味は無いです。）
ちゃんとデコードしてから検索してる、POST先リスト収集ロボットには無意味ですが。
|
| Re: ホームページ荒らし対策スレッド ( No.4 ) |
- 日時： 2006/06/01 16:14
- 名前： staff1＠えどず ID:
- とりあえず 3. が一番簡単ですが、結構効果があると思いますよ。
- POST先リストに載っているURLからcgi部分のファイル名変更されるのでPOST出来なくなる。
- 新たにリストに載りにくくなる。
|
| Re: ホームページ荒らし対策スレッド ( No.5 ) |
- 日時： 2006/06/02 15:47
- 名前： u ID:
- 決定はお任せなので、放置でも構いませんが、出来れば討論の現行スレッドから
過去ログへリンクで遷移できないので対応お願い出来ないでしょうか。
対策案
１．投稿時に確認画面を表示する。
２．ユーザー登録制に。手間掛かる。
３．proxyチェック。出来ればやりたくないですね。会社などからアクセス不可になりますし。
４．半角英数チェック。アスキー文字のみ投稿の禁止。
１と４（本文が理想だけど、とりあえず名前だけでもいいかな？）
staff1さんが書いた対応とか、色々幾つか組み合わせておかないと大変ですね。
最終的には、手動で対応するのが確実ですが。。
|
| Re: ホームページ荒らし対策スレッド ( No.6 ) |
- 日時： 2006/06/03 16:12
- 名前： ElHaint [管理] ID:
- レスありがとうございます。
勉強になりました。
URL変更でリストから外れて投稿がなくなっているみたいなので、
とりあえずcgiの中身はいじらない方向で対応を進めています。
早速、staff1さんの3,4の対応策をとらせて頂きました。
また、1,2については「なるほど」ですね。
uさんの１もそうですが、このcgiのフォームを使っていないのであれば、とても有効に思います。
（そもそも自動荒らしの仕組みが分かってなかったので。）
ここらへんの対応については、時間のあるときに勉強がてらやってみようと思います。
皆様ありがとうございました。
p.s.
>uさん
リンクURL置換しておきました。
|
| Re: ホームページ荒らし対策スレッド ( No.7 ) |
- 日時： 2006/06/03 23:41
- 名前： ElHaint [管理] ID:
- ＜報告＞
他の対策が取れたことと利便性を考慮しまして、現在リファラー制限を解除してあります。
|
[797] ホームページ荒らし対策スレッド