当サイトもお陰さまでスパムコメント(163data.com.cn)ラッシュ頂きました

2014/09/23 2014/12/23

最近なんかサイトが遅い時間帯があるなぁ、、、GWMTがたまにエラー吐くなぁ・・・
そんな風に漠然と感じていて、でも原因は不明。
極端にアクセスが増えた時なんてないのに、共用サーバーだからか？
そんな風に思っていましたが、どうやらスパムコメントの攻撃を受けていたようです。
自分のサイトがそんな対象になる規模だとは思っていませんでした。

当サイトもお陰さまでスパムコメントラッシュ頂きました

いや、ホント、冗談じゃなくて。

スパムの対象になるということは、
そもそも「コメントすることがメリットになる」サイトであるとか、
何かしらのリストに加わっていたりと、

サイトが少なくとも世に認識されているってことだったりもします。

だってねぇ、これまでのAkismetのスパム検出も、
こんな感じに静かだったわけですが、９月に入ってから987件のスパム判定です。

スパムコメントの嵐

いや、ブロックしてるからいいだろって感じではあるのですが、
これ、Akismetのブロックが効いてるからってレベルではないんですよ。

なお、Akismetプラグインについては以下でご紹介しています。

Akismetプラグイン(コメントスパムブロック)

スパムを受ける頻度が痛い

その頻度が・・・数分間おきに次々にスパム投稿してくるんですね。（Akismet調べ）

サイトの表示であれば特にDBに書き込みも発生しないのですが、
コメントとなりますと、相応に書き込みが発生しますので若干なりとも負荷が高くなるわけですよ。

2014年9月23日 2:33 AM
2014年9月23日 2:32 AM
2014年9月23日 2:32 AM
2014年9月23日 2:25 AM
2014年9月23日 2:23 AM
2014年9月23日 2:21 AM
2014年9月23日 2:20 AM
2014年9月23日 2:16 AM
2014年9月23日 1:59 AM
2014年9月23日 1:52 AM
2014年9月23日 1:49 AM
2014年9月23日 1:41 AM　（延々と987件　続く・・・）

日別の件数を見てみると・・・

9/13辺りから、調子に乗り始めてます、本当にウザったいね。

日付	件数
2014/9/7	7
2014/9/8	4
2014/9/9	6
2014/9/10	9
2014/9/11	4
2014/9/12	3
2014/9/13	33
2014/9/14	116
2014/9/15	72
2014/9/16	60
2014/9/17	115
2014/9/18	55
2014/9/19	102
2014/9/20	134
2014/9/21	107
2014/9/22	77
2014/9/23	41

スパム元のIPは大半が中国

スパム投稿を行ってきているIPアドレスからの国名を調べてみると、
やっぱり大半が中国です（IPアドレスの重複をなくしIPのみの件数にサマリ）

IP国	国名	件数
CN	中国	141
US	アメリカ	3
UA	ウクライナ	1
JP	日本	2
	合計	147

せっかくサーバーを引っ越したのにね

当サイトでは旧サーバーがちょいちょいGWMTでクロールエラーを出すようになってきたので、
8/28にサーバーを移転しています。
※DNS反映期間を考えて公式には2014/09/01　としてます。

サーバーをXSERVERへ移転しました(お名前SD-01プランより)

しばらく、全くエラーもなかったこのサーバーで急にエラーが出るようになって、
一体どういう事なんだろうと不可思議だったわけです。

サーバー業者さんに聞いちゃったじゃないか。
結局は、うちの問題でした・・・。

これだけが原因かというと、そうとも言えないのかもしれませんが、
スパムを受けた時間と、Googleのクローラが重なった時にエラーになるということになるので、
タイミングが重ならなければGWMTエラーにはならないとも言えます。

ただ、サイトにアクセスしてくれた人には、
5xxエラーとかが発生していたことになると推測はできます。

ごめんなさい。

新サーバーに移行してやっと、静かになったと思ったら、
急にバンバンエラーが出るようになったのだから、焦りますよ。

GWMTクロールエラー

一応、コメントの数とGWMTのエラーをグラフにしてみると、
件数の多い日でもエラーにならないこともあるのですが、
一応は影響しているかなと考えられなくもない感じです。

スパム件数とエラー件数

そんなことはもうどっちでも良くて、
GWMTのエラーよりもスパムを排除してしまうことの方が重要です。

結果、エラーがなくなればスパムが原因だったというだけですから。

どう排除するか

どう排除するかという点ではIPブロックしてしまうくらいしかできませんが、
基本的には国名を見て、中国であればIPのレンジ指定でもいいかもしれませんね。

IP排除の設定についてはまた後日ご紹介します。

2014/09/24追記

その後、自身のスパムコメントからIPアドレスを抜き出しリストを作成しました。
.htaccsessに対して取り急ぎ設定しました。

以下のサイトでリストアップして下さっているIPアドレスも参考にさせて頂きました。

コメントスパムな 163data.com.cn を何とかする、です # ＩＴサポーターズの仲間たち

163data.com.cnの拒否IPリストを自動生成(deny) : ハードディスクメンテナンスブログ

とりあえずは数日は大丈夫かなとも思ったのですが、
早速、スパムコメントが付けられてしまいました。

他の方がスパムIPにしていなかったIPでした。
これはいたちごっこになりそうな様相でしたので、
試験的に以下サイトからリストを拝借し「中国・韓国・香港・マカオ・北朝鮮」を拒否指定しました。

少しエリアが広いようにも思いますし、
他国のサーバーを介すれば同じですがこういう結論に至りました。

中国・韓国のIPアドレスとの通信を遮断　（引用抜粋）

.htaccessファイル

CNKR版

CNKR版

中国・韓国・香港・マカオ・北朝鮮に割り当てられたIPアドレスを拒否します。

リストを丸飲みさせて頂いているので、
自己責任になりますが、今のところは大きな影響はないような印象です。

できれば、iptableでDROP設定と行きたいところですが、
ちょっとまだ手を出せなそうなので暫定対応です。

ちなみに、2014/09/24に日付が変わってから、
スパム投稿をしてきたIPとして以下を参考までリストしておきます。

36.248.162.215(*1)
36.248.166.87(*1)
36.248.164.143(*1)
27.159.208.28(*2)

(*1)はCNKR版の「Deny from 36.248.0.0/14」に該当の印象です。
(*2)は「Deny from 27.152.0.0/13」とセグメントの開始位置で設定されているようですね。

たぶんこの戦いはまだまだ終わりそうにないですね・・・。
たぶん日本のIPをころころ使って来たりするんでしょうし。

2014/09/24追記

CNKR版によるコメントスパム対策を行ってから概ね8時間程度が経過しました。
今のところ新たにスパムコメントの被害は受けてない印象です。

CNKR版適用前の個別IPリストには、
日本、US、ウクライナIPが含まれていましたので、現在も残しています。

すこし範囲が広すぎるので影響はあるかなと思っていた部分はありますが、
当サイトは日本語で日本からのアクセスが99%です。
海外在住の日本人もいることとは思いますが、
中・韓・香・マ・北に在住の日本人が、当サイトにアクセスする可能性は、
もの皆無に等しいという判断でこのままいきます。

一応はうまくいってます。

2014/09/25追記

スパム排除後２日目を経過しましたが、継続して排除できています。
ですから、概ね効果があるといった感じです。

ただ、韓国からの収益が９月は全体の1%程度出ていましたので、
一定の収益低下の影響は出てくるかもしれません。

とは言え、今月の収益低下が著しく大きいので、
スパムによるマイナス影響の方が圧倒的に大きいと言えます。

今月は全体で前月比12%程度の収益の低下がみられる中、
韓国からの収益減が1%程度に収まるので、
ブロックした結果として10%程度の収益増が見込めるという結果になりそうです。

2014/09/30追記

スパム排除後安定してスパム排除が行えていましたが、
新たにスパム投稿が行われましたので以下を排除対象に追加しました。

68.64.169.78　（US）
195.211.153.56　（UA：ウクライナ）

USからのアクセスは少し気になります。
実際にはこのスパムを行っているIPから接続しているサービス全体が、
ブロックされてしまうわけで、万が一にもプロバイダIPなどの場合には、
アクセスが急減したりする可能性もあります。

USをブロックした場合などには経緯をしっかりとみていく必要があると思います。

2014/10/09追記
その後、ほぼ排除できていたスパムですが、新たに１件Akismetによってブロックされていました。

195.211.155.207　（UA：ウクライナ）

またウクライナですか、しかし中国にしてもウクライナにしても、
基本的にはどこかを踏み台にしてスパムしてきてるんだろうから、国はあてになりませんよね。

ちなみに私の楽天IDが不正ログインされた原因は、
OCNのルーターファームウェアバグでした。

(不正アクセス確認)楽天サービスへのログイン履歴を確認する

この場合、もしスパマーの踏み台になていたなら日本としてブロックすることになります。
そうなると、OCNプロバイダの同一IPから接続しているユーザーからのアクセスは、
すべてブロックしてしまうことになるんですよね・・・。

本来は無関係な人達を、IPで拒否してしまうのもちょっと残念ですね。

とりあえず、Akismetは15日間でスパムコメントが削除されます。
その結果として900件近くあったスパムコメントも、4件が表示されているだけになりました。

大半は15日が経過して削除され、新たにスパムコメントされたのが1件です。
概ね順調に排除できています。

WordPressはWordPress Foundation の登録商標（第５０４９９６５号）です。
WordPressロゴ、アイコンその他のマーク等はWordPress Foundation の商標であり、
WordPress Foundation の著作物です。
WordPress.comはWordPress Foundation が管理運営を行うドメインならびにサービスの名称です。

WordPress.com、WordPress.net、WordPress.org、WordPress.tv、
WordPressFoundation.orgはWordPress Foundationが
管理運営を行なう正式なトップレベルドメインであるとともに、
WordPress Foundationが運営を行うサービスの名称です。

wordpressはFree Software Foundation, Inc.によってGPL2+でライセンスされています。

- WordPress WordPress

: LinkedIn™への共有をJetpack by WordPress.comで行う動作

Google or AdMax Promotion(it) 禁断の機能がau公式 …

: RSS購読ボタンをサイドバーウィジェットにJetpackを利用して表示する

Google or AdMax Promotion(it) 禁断の機能がau公式 …

: 投稿IDなどの各種IDの確認を簡単にしてくれるShowID for Post/Page/Category/Tag/Commentの利用

Google or AdMax Promotion(it) 禁断の機能がau公式 …

: Gravatarアカウントに外部プロフィールやWordPress（XML-RPCのAPI）を認証する

Google or AdMax Promotion(it) 禁断の機能がau公式 …

: 16.WP.me 短縮 URL－Jetpack by WordPress.com

Google or AdMax Promotion(it) 禁断の機能がau公式 …

: Jetpack by WordPress.comはユーザーごとに連携が必要

Google or AdMax Promotion(it) 禁断の機能がau公式 …

: VaultPressのSiteURLを変更したらエラーメッセージ(code: VP07)の対処法

Google or AdMax Promotion(it) 禁断の機能がau公式 …

: wordpressがエラーとなった場合に最初に確認すべきこと

Google or AdMax Promotion(it) 禁断の機能がau公式 …

: headタグ挿入にAdd Text To Head(Add Code to Head)－wordpressプラグインを利用

Google or AdMax Promotion(it) 禁断の機能がau公式 …

: WordPress投稿本文中にTwitter™タイムライン(timeline)ウィジェットを表示する

Google or AdMax Promotion(it) 禁断の機能がau公式 …

PREV: JetPack統計情報は復旧できる！見えていないだけだから大丈夫
NEXT: (復旧可能)私はこうして「JetPackのサイト統計がリセットされた」