Edit of blog/2010-12-05 - Epilogue/LogueWiki

#navi(../)
*今日日のスパマー [#v9933ed7]
VPSを使っていてふと思った。VPSはいうなれば、「ネットワーク越しに操作可能なパソコンを、まるまる１台借りている」ような物じゃないかと思う。つまり、その気になれば攻撃用のホストとしても利用可能なのではないだろうか？（その攻撃に使うサーバーマシンの負荷がどれくらいかかるかというのは抜きにして）ちょっとでも、Unix操作に慣れると誰でも考えそうなことである。cronで定期的にスパムメールなりスパムコメントを送信するプログラムは結構昔からあったし。（cronが使えない場合は、サイトを閲覧したタイミングで実行するようにすればいいし。例えばカウンタに連動させるとか）

一方、スパマーにとってもVPSはおいしいものである。わざわざバックドアをしかけたPCを用意するまでもなく、もともと自在に操れるPCがあるわけだから。自分のパソコンとVPS上のPCは、つながってないため匿名性も高い。定期的にVPSを変えれば足が付く可能性も減るだろう。ログを残さない匿名プロクシとして使うことも可能である。なんせ、「何でもできる」し。

よく良く考えてみると、最近の奇妙なアクセスやスパム更新は、なんとかhostingとかって名前が多いような。以下は、最近MabinogiのMMLを荒らしたホストである。
|1290082707|122.193.111.5|122.193.111.5||||Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1)|||
|1290750566|69.39.86.223|69.39.86.223.static.a2webhosting.com||||Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1)|||
|1291443817|173.208.107.177|173-208-107-177.rdns.squidproxies.com||||Mozilla/5.0 (Windows; U; Windows NT 6.1; en-US; rv:1.9.2.12) Gecko/20101026 Firefox/3.6.12|||
|1291478205|85.9.105.243|85.9.105.243||||Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1)|||
|1291456057|173.208.107.64|173-208-107-64.rdns.squidproxies.com||||Mozilla/5.0 (Windows; U; Windows NT 6.1; en-US; rv:1.9.2.12) Gecko/20101026 Firefox/3.6.12|||
|1291215289|72.43.50.131|route1.mlti.org||||Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1)||rckqloaz|
|1291172567|81.208.106.181|81-208-106-181.ip.fastwebnet.it||||Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1)|||
|1290944763|218.36.213.64|218.36.213.64||||Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1)|||
|1290644894|194.70.47.25|no-dns-yet.demon.co.uk||||Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1)||qktkvhbu|
|1290539771|193.52.26.211|login.hpclr.univ-montp2.fr||||Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1)|||
|1290126325|183.101.159.145|183.101.159.145||||Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1)|||
|1290044549|67.215.238.210|hosted.by.pacificrack.com||||Mozilla/5.0 (Windows; U; Windows NT 5.0; ru; rv:1.8.1.6) Gecko/20070725 Firefox/2.0.0.6|||
|1290089173|67.215.238.210|hosted.by.pacificrack.com||||Mozilla/5.0 (Windows; U; Windows NT 5.0; ru; rv:1.8.1.6) Gecko/20070725 Firefox/2.0.0.6|||
|1290089458|88.198.61.232|88-198-61-232.eurohost.md||||Mozilla/5.0 (Windows; U; Windows NT 5.0; ru; rv:1.8.1.6) Gecko/20070725 Firefox/2.0.0.6|||
|1290090313|67.215.238.210|hosted.by.pacificrack.com||||Mozilla/5.0 (Windows; U; Windows NT 5.0; ru; rv:1.8.1.6) Gecko/20070725 Firefox/2.0.0.6|||
|1290092239|67.215.237.98|client832.surehost.ru||||Mozilla/5.0 (Windows; U; Windows NT 5.0; ru; rv:1.8.1.6) Gecko/20070725 Firefox/2.0.0.6|||
|1290095368|67.215.237.98|client832.surehost.ru||||Mozilla/5.0 (Windows; U; Windows NT 5.0; ru; rv:1.8.1.6) Gecko/20070725 Firefox/2.0.0.6|||
69.39.86.223.static.a2webhosting.comは、アメリカの日本語学校のようである。公開プロクシリストに入っていることから、学生がサーバーをクラックしてバックドアを仕掛けたのだろうか？hosted.by.pacificrack.comは、サイトのcPanelにつながる。完全にスパム用ホストとしてサーバー会社から借りたが、うっかりApacheを起動したままになっているのだろう。興味深いのは、UAがいずれも、MSIE6.0かFireFoxの2.0という、レガシーブラウザになっているところである。レガシーブラウザを弾くだけでどうにかなりそうだが・・・。

FireFoxはともかくMSIE6.0にするメリットは無いはずである。北欧では締め出しが始まっているし、大手ポータルサイトでもサポート対象外にしているし。謎である。まぁ、管理する側からすれば弾きやすいわけだが。

*Stop Forum spam [#q5c3b604]
これらのホスト名でGoogleで検索すると面白いサイトがヒットする。[[StopForumSpam.com>http://www.stopforumspam.com/]]だ。最近頭を悩ますホスト名でだいたいこのサイトに掲載されていることが多い。マジオススメ。

ちなみに、この記事を書いている[[最近24時間のスパムの送信元として多い国>http://www.stopforumspam.com/topcountry]]は、
+ロシア
+ウクライナ
+アメリカ
+ノルウェー
+中国
+ドイツ
+イギリス（？）
+ポーランド
+ラトビア
+フランス
+インド

という順番だった。ウクライナとノルウェーの人口比のスパム率が高いのが気になる。中国は案外少ないようだ。（もっとも、日本ではこのサービスを使用している人が少ないからかもしれないが。）APIも公開されているので、そのうちPukiWiki Adv.にも組み込むとしよう。

*Iptables自動更新スクリプト [#nfb10666]
[[StopForumSpam.com>http://www.stopforumspam.com/]]では、[[ipリストを配布>http://www.stopforumspam.com/downloads/]]しているので、[[ファイアウォール構築(iptables) - Fedoraで自宅サーバー構築>http://fedorasrv.com/iptables.shtml]]を参考にスクリプトを組んでみた。

#sh(perl){{
#!/bin/bash

# ファイアウォール停止(すべてのルールをクリア)
service iptables stop
echo iptablesを初期化しています…。
iptables -F

#---------------------------------------#
# 設定開始								#
#---------------------------------------#

# インタフェース名定義
LAN=eth0

#---------------------------------------#
# 設定終了								#
#---------------------------------------#

# 内部ネットワークのネットマスク取得
echo 内部ネットワークの情報を取得中…。
LOCALNET_MASK=`ifconfig $LAN|sed -e 's/^.*マスク:$[^ ]*$$//p' -e d`

# 内部ネットワークアドレス取得
echo Get local network address.
LOCALNET_ADDR=`netstat -rn|grep $LAN|grep $LOCALNET_MASK|cut -f1 -d' '`
LOCALNET=$LOCALNET_ADDR/$LOCALNET_MASK

echo 内部ネットワークマスク　：$LOCALNET_MASK
echo 内部ネットワークアドレス：$LOCALNET_ADDR

# デフォルトルール(以降のルールにマッチしなかった場合に適用するルール)設定
echo デフォルトのルールを設定しています…
iptables -P INPUT   DROP   # 受信はすべて破棄
iptables -P OUTPUT  ACCEPT # 送信はすべて許可
iptables -P FORWARD DROP   # 通過はすべて破棄

# 自ホストからのアクセスをすべて許可
iptables -A INPUT -i lo -j ACCEPT

# 内部からのアクセスをすべて許可
iptables -A INPUT -s $LOCALNET -j ACCEPT

# 内部から行ったアクセスに対する外部からの返答アクセスを許可
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

# SYN Cookiesを有効にする
# ※TCP SYN Flood攻撃対策
sysctl -w net.ipv4.tcp_syncookies=1 > /dev/null
sed -i '/net.ipv4.tcp_syncookies/d' /etc/sysctl.conf
echo "net.ipv4.tcp_syncookies=1" >> /etc/sysctl.conf

# ブロードキャストアドレス宛pingには応答しない
# ※Smurf攻撃対策
sysctl -w net.ipv4.icmp_echo_ignore_broadcasts=1 > /dev/null
sed -i '/net.ipv4.icmp_echo_ignore_broadcasts/d' /etc/sysctl.conf
echo "net.ipv4.icmp_echo_ignore_broadcasts=1" >> /etc/sysctl.conf

# ICMP Redirectパケットは拒否
sed -i '/net.ipv4.conf.*.accept_redirects/d' /etc/sysctl.conf
for dev in `ls /proc/sys/net/ipv4/conf/`
do
	sysctl -w net.ipv4.conf.$dev.accept_redirects=0 > /dev/null
	echo "net.ipv4.conf.$dev.accept_redirects=0" >> /etc/sysctl.conf
done

# Source Routedパケットは拒否
sed -i '/net.ipv4.conf.*.accept_source_route/d' /etc/sysctl.conf
for dev in `ls /proc/sys/net/ipv4/conf/`
do
	sysctl -w net.ipv4.conf.$dev.accept_source_route=0 > /dev/null
	echo "net.ipv4.conf.$dev.accept_source_route=0" >> /etc/sysctl.conf
done

# フラグメント化されたパケットはログを記録して破棄
iptables -A INPUT -f -j LOG --log-prefix '[IPTABLES FRAGMENT] : '
iptables -A INPUT -f -j DROP

# 外部とのNetBIOS関連のアクセスはログを記録せずに破棄
# ※不要ログ記録防止
iptables -A INPUT ! -s $LOCALNET -p tcp -m multiport --dports 135,137,138,139,445 -j DROP
iptables -A INPUT ! -s $LOCALNET -p udp -m multiport --dports 135,137,138,139,445 -j DROP
iptables -A OUTPUT ! -d $LOCALNET -p tcp -m multiport --sports 135,137,138,139,445 -j DROP
iptables -A OUTPUT ! -d $LOCALNET -p udp -m multiport --sports 135,137,138,139,445 -j DROP

# 1秒間に4回を超えるpingはログを記録して破棄
# ※Ping of Death攻撃対策
iptables -N LOG_PINGDEATH
iptables -A LOG_PINGDEATH -m limit --limit 1/s --limit-burst 4 -j ACCEPT
iptables -A LOG_PINGDEATH -j LOG --log-prefix '[IPTABLES PINGDEATH] : '
iptables -A LOG_PINGDEATH -j DROP
iptables -A INPUT -p icmp --icmp-type echo-request -j LOG_PINGDEATH

# 全ホスト(ブロードキャストアドレス、マルチキャストアドレス)宛パケットはログを記録せずに破棄
# ※不要ログ記録防止
iptables -A INPUT -d 255.255.255.255 -j DROP
iptables -A INPUT -d 224.0.0.1 -j DROP

# 113番ポート(IDENT)へのアクセスには拒否応答
# ※メールサーバ等のレスポンス低下防止
iptables -A INPUT -p tcp --dport 113 -j REJECT --reject-with tcp-reset

echo デフォルトのルールを設定完了。

echo Stop Forum Spamのブラックリストを取得中…
# http://www.stopforumspam.com/downloads/listed_ip_1.zipから最新版IPアドレスリストを取得する
wget http://www.stopforumspam.com/downloads/listed_ip_1.zip
unzip listed_ip_1.zip
iptables -N FORUMSPAMHOST
rm ./listed_ip_1.zip

# 最新版IPアドレスリストが取得できなかった場合
if [ ! -f ./listed_ip_1.txt ]; then
	if [ -f /tmp/listed_ip_1.txt ]; then
		echo ブロックリストの取得ができませんでした。過去のバックアップから読み込みます。
		return
	else
		echo ブロックリストの取得ができませんでした。
		exit 1
	fi
else
	echo 古いブロックリストを削除しています。
	rm /tmp/listed_ip_1.txt
	echo ブロックリストを更新しています。
	mv ./listed_ip_1.txt /tmp/listed_ip_1.txt
fi

echo iptablesにブロックリストを反映しています。しばらくお待ちください…。
# update firewall
if [ -s /tmp/listed_ip_1.txt ]; then
	for ip in `cat /tmp/listed_ip_1.txt`
	do
#		echo $ip
		iptables -A INPUT   -s $ip  -j FORUMSPAMHOST
		iptables -A OUTPUT  -d $ip  -j FORUMSPAMHOST
		iptables -A FORWARD -s $ip  -j FORUMSPAMHOST
		iptables -A FORWARD -d $ip  -j FORUMSPAMHOST
	done
fi

iptables -A FORUMSPAMHOST  -j LOG  --log-level info --log-prefix "SPAMHOST -- DENY "
iptables -A FORUMSPAMHOST  -j DROP
echo ブロックリストの更新が完了しました。

#----------------------------------------------------------#
# 各種サービスを公開する場合の設定(ここから)			   #
#----------------------------------------------------------#

echo 各種サービス用のポートを開いています…

# 外部からのTCP22番ポート(SSH)へのアクセスを許可
# ※SSHサーバーを公開する場合のみ
iptables -A INPUT -p tcp --dport 22 -j ACCEPT

# 外部からのTCP/UDP53番ポート(DNS)へのアクセスを許可
# ※外部向けDNSサーバーを運用する場合のみ
#iptables -A INPUT -p tcp --dport 53 -j ACCEPT
#iptables -A INPUT -p udp --dport 53 -j ACCEPT

# 外部からのTCP80番ポート(HTTP)へのアクセスを許可
# ※Webサーバーを公開する場合のみ
iptables -A INPUT -p tcp --dport 80 -j ACCEPT

# 外部からのTCP443番ポート(HTTPS)へのアクセスを許可
# ※Webサーバーを公開する場合のみ
iptables -A INPUT -p tcp --dport 443 -j ACCEPT

# 外部からのTCP21番ポート(FTP)へのアクセスを許可
# ※FTPサーバーを公開する場合のみ
#iptables -A INPUT -p tcp --dport 21 -j ACCEPT

# 外部からのPASV用ポート(FTP-DATA)へのアクセスを許可
# ※FTPサーバーを公開する場合のみ
# ※PASV用ポート60000:60030は当サイトの設定例
#iptables -A INPUT -p tcp --dport 60000:60030 -j ACCEPT

# 外部からのTCP25番ポート(SMTP)へのアクセスを許可
# ※SMTPサーバーを公開する場合のみ
#iptables -A INPUT -p tcp --dport 25 -j ACCEPT

# 外部からのTCP465番ポート(SMTPS)へのアクセスを許可
# ※SMTPSサーバーを公開する場合のみ
#iptables -A INPUT -p tcp --dport 465 -j ACCEPT

# 外部からのTCP110番ポート(POP3)へのアクセスを許可
# ※POP3サーバーを公開する場合のみ
#iptables -A INPUT -p tcp --dport 110 -j ACCEPT

# 外部からのTCP995番ポート(POP3S)へのアクセスを許可
# ※POP3Sサーバーを公開する場合のみ
#iptables -A INPUT -p tcp --dport 995 -j ACCEPT

# 外部からのTCP143番ポート(IMAP)へのアクセスを許可
# ※IMAPサーバーを公開する場合のみ
#iptables -A INPUT -p tcp --dport 143 -j ACCEPT

# 外部からのTCP993番ポート(IMAPS)へのアクセスを許可
# ※IMAPSサーバーを公開する場合のみ
#iptables -A INPUT -p tcp --dport 993 -j ACCEPT

# 外部からのUDP1194番ポート(OpenVPN)へのアクセスを許可
# ※OpenVPNサーバーを公開する場合のみ
#iptables -A INPUT -p udp --dport 1194 -j ACCEPT

# VPNインタフェース用ファイアウォール設定
# ※OpenVPNサーバーを公開する場合のみ
#[ -f /etc/openvpn/openvpn-startup ] && /etc/openvpn/openvpn-startup

# 外部からのTCP5900/5901番ポート(VNC)へのアクセスを許可
#iptables -A INPUT -p tcp --dport 5900 -j ACCEPT
#iptables -A INPUT -p tcp --dport 5901 -j ACCEPT

# 外部からのTCP/UDP10000番ポート(Webmin)へのアクセスを許可
iptables -A INPUT -p tcp --dport 10000 -j ACCEPT
iptables -A INPUT -p udp --dport 10000 -j ACCEPT

# 外部からのTCP/UDP20000番ポート(Usermin)へのアクセスを許可
#iptables -A INPUT -p tcp --dport 20000 -j ACCEPT
#iptables -A INPUT -p udp --dport 20000 -j ACCEPT

echo 各種サービス用の設定が完了しました。

#----------------------------------------------------------#
# 各種サービスを公開する場合の設定(ここまで)			   #
#----------------------------------------------------------#

# 拒否IPアドレスからのアクセスはログを記録せずに破棄
# ※拒否IPアドレスは./deny_ip.txtに1行ごとに記述しておくこと
iptables -N DENIED_IP
if [ -s ./deny_ip.txt ]; then
	echo 拒否IPリストが見つかりました。iptablesに反映させています…。
	for ip in `cat ./deny_ip.txt`
	do
		iptables -A INPUT   -s $ip  -j DENIED_IP
		iptables -A OUTPUT  -d $ip  -j DENIED_IP
		iptables -A FORWARD -s $ip  -j DENIED_IP
		iptables -A FORWARD -d $ip  -j DENIED_IP
	done
	echo 拒否IPリストの反映が完了しました。
fi

# 上記のルールにマッチしなかったアクセスはログを記録して破棄
iptables -A INPUT -m limit --limit 1/s -j LOG --log-prefix '[IPTABLES INPUT] : '
iptables -A INPUT -j DROP
iptables -A FORWARD -m limit --limit 1/s -j LOG --log-prefix '[IPTABLES FORWARD] : '
iptables -A FORWARD -j DROP

# サーバー再起動時にも上記設定が有効となるようにルールを保存
service iptables save

# iptables 1.4.3.1バグ対処
iptables -V|grep 1.4.3.1 > /dev/null 2>&1
if [ $? -eq 0 ]; then
	sed -i s/"-s \!"/"\! -s"/g /etc/sysconfig/iptables
	sed -i s/"-d \!"/"\! -d"/g /etc/sysconfig/iptables
fi

# ファイアウォール起動
service iptables start

iptables-save > /etc/iptables.up.rules
}}
ちなみに、引用元の、[[ファイアウォール構築(iptables) - Fedoraで自宅サーバー構築>http://fedorasrv.com/iptables.shtml]]では、LOCALNET_MASKの取得部分が
 LOCALNET_MASK=`ifconfig $LAN|sed -e 's/^.*Mask:$[^ ]*$$//p' -e d`
になっていたが、日本語環境で使っている場合、コマンドの実行結果の「Mask」の部分が「マスク」になるため、
 LOCALNET_MASK=`ifconfig $LAN|sed -e 's/^.*マスク:$[^ ]*$$//p' -e d`
にしなければならなかった。結構はまった。環境によっては変える必要があるかも。

あと、注意したいのは、StopForumSpamへの同一ドメインからの１日のダウンロード回数が制限されていること。このスクリプトで使用している1時間ごとに更新されるリスト（listed_ip_1.zip）は、1日に24回しかダウンロード出来ない。スクリプトがエラーになるのを防ぐために、/etc/ディレクトリにバックアップを置くようにしてある。

*おまけ [#e8181912]
banned_ip.txt。とりあえず、amazonのVPSと、殿堂入り国内スパムホストのOCN丸の内、NTT-PC東京は弾いておこう。P2P用のキックリストの流用だが、amazonをのぞくこれらの国内のホストは過去にもスパムメールを送信していたことで有名である。&color(red){逝ってよし！};
#sh(plain){{
67.202.0.0/18
72.44.32.0/19
75.101.128.0/17
79.125.0.0/18
114.150.59.38/32
118.8.11.232/32
124.154.252.140/32
124.154.253.197/32
174.129.0.0/16
216.182.224.0/20
221.191.121.165/32

218.124.47.12
219.208.92.39
}}
ちなみに、最後の２行は、３０分にわたり５秒に１回という非常識なアクセスをしてきやがったYahoo BBのホスト。ark-westのようなリファラースパムも行っているようだ。

どうでもいいけど、ルーターに同じリストを入れたところ、''75.101.137.232:80から、明らかにポートスキャンされている''ようなログが出てきたんだが・・・。

#sh(perl){{
#!/bin/bash

# ファイアウォール停止(すべてのルールをクリア)
service iptables stop
echo iptablesを初期化しています…。
iptables -F

#---------------------------------------#
# 設定開始								#
#---------------------------------------#

# インタフェース名定義
LAN=eth0

#---------------------------------------#
# 設定終了								#
#---------------------------------------#

# 内部ネットワークのネットマスク取得
echo 内部ネットワークの情報を取得中…。
LOCALNET_MASK=`ifconfig $LAN|sed -e 's/^.*マスク:$[^ ]*$$/\1/p' -e d`