DTPWiki（PukiWiki）のSPAM BOT書き込みがひどすぎるので、mod_security2で撃退してみた

Tweet

PukiWikiで構築しているDTPWikiのSPAM BOT書き込みがひどすぎるんです。しかもこれ、ボットネットなんで、IP禁止で止めてもほかのIPから書き込みがどんどん来よる。そこで、mod_security2で撃退してみました。

こんな書き込みが来る。

comment2, http://sgi-usa-florida.org/zithromax.html online prescription rxpricebusters.com zithromax, http://beckegallery.com/index.html Viagra, http://agileuva.org/index.html generic xanax .05 mg, http://2pewsback.com/index.html cheap valium, http://elilusionista.net/cialis.html cialis professional 120 pills, http://elilusionista.net/acomplia.html generic acomplia rimonabant, http://chiclivingmagazine.com/index.html credible online cialis, http://jjustkidding.com/nexium.html nexium tires, http://jjustkidding.com/baclofen.html 2blioresal baclofen, http://poomdomain.com/levitra.html levitra 10 mg order, http://areelperspective.com/index.html phentermine, http://corktogaza.com/index.html viagra levitra, http://elilusionista.net/accutane.html new york accutane lawyer, http://sgi-usa-florida.org/viagra.html viagra 60 pills, http://bostonsoul.org/index.html Levitra, http://sgi-usa-florida.org/valtrex.html 500 valtrex,

これを/etc/http/conf/httpd.confのPukiWikiに関するディレクトリを設定するディレクティブの中でこうする。

<location />
  SecRuleEngine On
  SecRequestBodyAccess On
  SecDefaultAction log,auditlog,deny,status:406,phase:2, t:lowercase, t:replaceNulls, t:compressWhitespace, t:urlDecode
  SecRule ARGS:msg "comment\d, http://\w"
</location>

大阪のDTPの勉強会や東京のDTPの勉強会などで、正規表現に関する講演が(ある|あった)ようなので、上記設定でも正規表現で指定している箇所がありますから、DTPの知識がWeb防衛に役立つわけなのでいいと思います。

あと、modsecurity_crs_49_enforcement.confが鬼門で、PukiWikiで発生する普通の書き込みでもスパム書き込みとスコアリングしてしまうので、25行目をコメントアウトしてみました。

実は、7月に設定してみたんですけれども、普通に書き込みしたのにFobiddenになってしまっていて、止めていたのでしたが、上記設定変更にて、普通に書き込みできるようになりました。

mod_security2は、設定が面倒くさいのですけれども、うざいボットネットからの攻撃を阻止できるので準備しておいて損はないと思いました。

2010.09.21 23:24 投稿　大野 義貴 [パソコン・インターネット] | 固定リンク |