荒らし対策や隠しサイトを作る方法です。高度なスキルを要求する物もありますのでご注意ください。

秘密サイトを作る

更件名 内容
- 隠しとは?

マニアックなサイトやPC中級者以上の人のみを対象にしたい場合に用いる手段です。質問無い質問が殺到したら管理者も嫌気がさすでしょうから。基本的には入り口を隠して初心者を弾きます。方法はバックと同じ色の文字でリンクを貼る、他のリンクに連結して隠す。点などにリンクを隠す。クイズの答えをURLにする。右のようにしてソースに隠す。<!-- URL -->。故意に文字化けを起こさせる。画像に他のファイルを埋め込むソフトを使ってそこにURL情報を入れるなんて方法もあります。他にも方法はあると思います。
- リファラー漏れに注意。 自分のサイトのhttp://をリンク状態にしておくと外にリファラーが漏れる事があるのでttp等リンクせずに記入し するとか間接リンクにするとかJavaScriptのリンクにするとかにした良いかも。
- 検索エンジン回避。 METAタグを使って検索エンジンがヒットするのを防ぎます。これは基本中の基本です。
- 探り当て防止 親ページ以外を直リンなどをされた場合、index.htmlがトップページだとアドレスを短くしてディレクトリを掘ることで探り当てられてしまいます。これを防止するためにはダミーのindexを置き、他のページをトップにする事です(index2等)。 ついでに他のページ用とトップページやフレーム用のディレクトリに分けましょう。
- ジャンプ先を偽装or隠す。 左下のステータスバーに表示されるジャンプ先URLは偽装可能です。またメッセージを流しつづけて隠す事もできます。要：JavaScript。
- 転送アドレスで隠す。 これを取る事によりアドレスの手動入力や万が一サイトが消されたり長期間使用できなくなってしまった時の対応が楽になります。これはmetaタグで飛ばすタイプと親フレームになるタイプがあ ります。転送先を先をフレームページにするとどのページを開いても転送アドレスが固定表示されれ誘導がスムーズに行きます。ただしソースを覗いて転送先を探す相手には効果が無い。 その場合は右クリック禁止やソース暗号化を。★欠点①、アクセス解析の方法によってはリファラーが空白になったり転送アドレスの物になったりする場合がある★欠点②、転送広告が出ることがある。これは消すのが難しい。★欠点③海外の転送サービスは日本語のタイトルが表示できないものが多い。
- ドメイン名偽装(DDNS登録) 自サーバーのURLがhttp://123.123.123.123だったとします。場合によっては自分のIPがバレますし、数字では覚えにくいでしょう。PCがネット上の住所を判断する時には、http://www.abc.comの"www.abc.com"の部分を判断しています。判断しているといっても、その単語を理解しているわけではなく、"www.abc.com" = "123.123.123.123"とドメインネームサーバー(DomainNameServer)に定義づけしているだけです。しかし、固定IPではない場合、使えません。そこでDDNS(DynamicDomainNameServer)を使いますです。例えば、http://abc.netというアドレスがあったとしましょう。そのサーバーのグローバルIPアドレスが111.222.333.444の場合、手入力でabc.com = 111.222.333.444と登録しておけばよいわけです。そういうサービスが存在します(無料も)。これは自サーバー交換や和サーバーをやむなく使う場合やチクリ対策に有効です。 転送アドレスとの違いは右クリックしてプロパティで見た場合も適応されます。また、トップページだけでは無く登録したサーバーそのものに別の名前を付けることができるということです。元の名前は無くならないのでバレたら終わりですが…★欠点①、 アクセス解析の方法によってはリファラーが空白になったり転送アドレスの物になったりする場合がある★欠点②、転送広告が出ることがある。これは消すのが難しい。★欠点③元々、自宅サーバー用のサービスなので非固定ＩＰページにしか対応していない場合がある。★欠点④物によってはただフレーム表示するだけの物もあるのでその場合は転送アドレスと変わらない。
- DDNSや転送アドレスを使わないサーバー名偽装方法 条件の良いサーバーを見つけるのは難しいものです。時には自宅サーバーを使いたいこともあるでしょう。しかし、自宅サーバーは狙われやすいので相手に知られない方が良いです。そんな時有効なのがこの技。まず親フレームからしか飛べないようにする、右クリック禁止やソース暗号化、 書庫ファイル等は別のサーバーに置く、フレームに細工をしてジャンプ先のURLを表示しないようにする等の技を組み合わせてアドレスをを特定できないようにします。ただし親フレームのURLだけは隠すことが出来ません。そ こで他のサーバーに親の親のフレームを置き、ソースの暗号化をします。これで別サーバーに用意した親の親のフレームのアドレスが使用サーバーだと相手を騙す事ができる訳です。
- JavaScriptによるパスワード認証(2種類あり) この方法はCGI等が使えないサーバーでも使えることが長所です。しかしそのURLを見つけてDLして、メモ帳で開くか「view-source:http://そのURL｣で パスがばれます。フォームのソースにパスを書かない方法もあります。しかしこれはジャンプ先のURLがパスになるだけなので気休めレベルです。前者は初心者はじきにいいかも(^_^;) 。しかしソースを暗号化すればそれなりに役に立つ方法です。
　

掲示板荒らし対策

更件名 内容
- 別途スクリプトを用意。 これは本体とは他の場所に同じスクリプトを置いておき、それをメールで知らせてそこから投稿できるようにする作戦です。常連と荒らしのプロバ地域が重なってどうしても制限が掛けれない場合 有効な手段です｡
- ソース&アドレスを隠蔽せよ。 自宅サーバーやページのソースを見られたくない場合があります。それは攻撃の下準備として荒らしがソースを覗くことが多いからです。方法としては★JavaScript強制★フレームやinフレームを使う。★完全な右クリ ック禁止★キャッシュを無効にする★制御の効かない場合があるネスケやオペラ等を弾いてしまう(9割以上がIE利用者ですし)。★ツールバー&アドレスバー&ステータスバー無しウインドウ(全画面)で開く 入り口をトップに貼る。★厄介なキーコードを無効 ★ステータスバーメッセージを流しジャンプ先のURLを見え難くする。もしくは表示しないタグを使う 。★ソースを暗号化する等です。最初のページは必ずアドレスがバレるのでできるだけ高性能な暗号化ソフトを使い暗号化すれば直ぐには解読できません。殆どの荒らしはソースを見ることが出来ない、または諦めることでしょう。
- リファラーやアクセスログは必ず取る これはサイトのURLが荒らし依頼の掲示板等に勝手に晒された際、どこから晒されたか探知する為です。運がよければ犯人も特定可能です。カウンター置くだけでも効果があります。訪問者が急増したら感知可能だからです。ちなみにカウンターをリロードすて回す荒らしもいます(笑。
- CGIによるアクセス制限&パスワード認証 これが一番楽でお勧めです。パスワード認証だけのものもありますが、ID&PASSがあり、自動登録、ログ、アクセス制限の機能があるものが良いでしょう。フリーで配布されてるサイトが幾つもあります。
- タグ・リンク禁止。 あなたの掲示板はタグやURLのリンクがONになっていませんか？。タグを許可すると荒らしやすくなりますし、リンクをONにするとリファラーが漏れる事があります。忘れてはいけないのがスタイルシートです。タグがOFFになっていてもメールの欄でこれを使って荒らせることがあります。心配なら禁句ワードにするなり、他の板に変えましょう。
本文ではタグ禁止でもメールやリンクの欄から無理矢理使用できたりする場合もあるのです。普通に投稿した後と、荒らしに投稿された時のhtmlソースを見比べればhtmlに詳しい人なら直ぐに分かると思います。対策はそのタグを禁句ワードするか掲示板そのものを改造するか他の掲示板に乗り換えましょう。
-- 肉眼でProxyかどうか判別する方法。 Proxy制限を潜り抜けているのにいまいち生だと思えない場合はまずCyberSyndrome等で同じProxyが無いか検索してみましょう。それが出来ないならProxyっぽい文字列を検索するサービスを利用しましょう。それでもProxyのような気がするなら8080,3128,80等のポートをスキャンしてみましょう。ただし、 ポートスキャンは攻撃と見なされる場合があるので注意してください。
- 連続投稿対策。 同IPによる連続投稿を弾いたり、外部からの投稿を弾いたり毎回ランダムに変わるGIFの数字を入力させたりすると連続荒らしを防ぐことができますが自分たちも使いにくくなる上、手動荒らしは防御できないのである程度の妥協は必要です。またGIFを解析して連続投稿するツールもありますので微妙に違うものを用意するなりパターンを増やす必要もあるかもしれません。
- 成りすまし対策。 IPや投稿パスワード等からIDを作成したり利用者がトリップ使用して成りすましを判断できる掲示板を利用すると良いでしょう。また、人が不愉快になる発言をHNやメールを使って書き込んでいくが荒らしいますが大抵それは 他人のメールアドレスを無断使用しているだけなので 無視しましょう。また、IPやUSER_AGENTを表示するタイプもありますがこれはProxy制限が無いと あまり意味がありませんし、あまり気持ちの良い物じゃないのでお勧めできません。
- エラー画面でログ取り。 ただ弾くだけではなくて、できればエラー画面に飛ばしてログ取りした方が良いです。飛ばされる人があまり多いようなら荒らしや誤爆を疑っても良いでしょう。Proxy制限にしても拒否ログを取ると誤爆が対処しやすいです。
- htmlソースやCGH、PHPの暗号化。 これは右クリック禁止の次の策として有効です。タグなどを処理可能な状態で暗号化するソフトがフリーや市販などであるはずです。ただ、ネスケやopera等でも暗号化された状態で表示されるか確認しましょう。暗号化には幾つか種類があるので 高性能なソフトを選べば直ぐには解読できません。ただ全て暗号化したhtmlは検索エンジンに拾われます。検索エンジン回避のMETAタグは暗号化せず外に書きましょう。CGIやPHPもhtmlを吐く 物があるのでそれも暗号化すると良いでしょう。
- 全ページCGI・PHP化 これは若干のスキルとサーバーを選びますがリファラー制限やログ取得が非常に効率よく行えます。高度な表現にも向いています。トップをCGI・PHPにして直接アクセスログや制限のスクリプトを結合させてしまうのも外部スクリプトを呼び出して行うより確実です。
- 全ページFLASH化 これは面倒かもしれませんが完全に素材やソースを取られない為にはこの方法が良いかも知れません。録音やキャプチャまでは防げませんが完全な状態で取られることは無いでしょう。
- アクセス制限について Proxyを許可したのではアクセス制限など意味がありません。また生でも荒らしたり直林したりする奴もいるので大手プロバイダでも地域を特定し容赦無く弾きましょう。肉眼ではなくホスト名から地域等を特定する無料サービス等もございます。 ただ大手のプロバイダですと同じ地域の人もいる可能性もありますので慎重に。その人用に別スクリプトを用意する等の方法もあります。サイトの為に諦めてもらうのも一つの手です。
- 漏れIP偽装について。 刺しても本来のIPがバレてしまう漏れ串と言う物が存在しますが偽のIPを漏らすProxyもありますし漏れ串の変数は比較的簡単に偽装可能なので 油断しない方が良いかもしれません。
- キーコード無効 これはJavaScriptで出来ます。これを禁止すればF5などのリロードや別窓で開く等と言ったサーバーに負担が掛かる行為を防ぐことが出来ます。
- ブラウザ制限。 これはJavaScriptで古いブラウザや特殊又は古いなブラウザを弾いてしまう方法です。これは思い通りの処理がでないからです、USER_AGENTを偽装している訪問者にも有効な スクリプトも存在します。
- ログは全てのページで。 ログはトップだけで取れば十分とか考えていませんか？。いや、そうではありません。他のページに直接アクセスされる可能性もあります。問題の起きそうななページ全てでリファラー制限や右クリック禁止やログ 収得等の対策をお勧めします。
- 別途スクリプトを用意。 これは本体とは他の場所に同じスクリプトを置いておき、それをメールで知らせてそこから投稿できるようにする作戦です。常連と荒らしのプロバ地域が重なってどうしても制限が掛けれない場合やUPのみProxy可能でDLする人はProxy制限ありにしたい時、有効な手段です。
- Java強制 JavaでIP抜き等をしている場合、無効かどうか調べOFFなら飛ばす方法 もあります。これにはJavaScriptで行います。またJava自体でページを表示するようにする方法も…
- リロード対策1 リロードを繰り返す荒らしが増えると転送制限の厳しいサーバーでは脅威となる場合があります。実はF5ボタンによるリロードを防ぐJavaScriptがあります。当然JavaScript強制にしなければ意味がありません。またMETAタグでリロードするスクリプトを使われると防げません。 しかし攻撃者を減らすことに意義があります。
- リロード対策2 実はJavaScriptによる警告ダイアログやパス入力画面などのホップアップはリロードを防ぐことができます。METAタグによるリロードにも効果あります。手動で消すまで何もできないからです。またページ数が多いサイトや同じページを何度も開くサイトではこのまま使うのは不便すぎます。フレームを使い警告ダイアログがメニュー(サブ)のフレームにこのタグを仕込むと良い感じになります(始めの一回のみになる)。 そして多くのサイトにリンクを張っているサイトでは必ず別窓で開くようにしましょう。そうしないとリンク先から戻るたびにフレームを 開き直すことなり不便です。 ダミーのパス入力画面を使う場合は親フレームの出来るだけ上に記述しましょう。下のほうに書くと効果が半減します。
- リロード対策3 クッキーでその日の閲覧回数を調べ多すぎる場合はJavaScriptで飛ばしてしまう方法もあります。これはリロード対策のされたカウンタを参考にするといいでしょう。ただしクッキーを送信するのにCGIかPHPが必要になるので手間が掛かりますし負荷も増えます。飛ばす先は警視庁(リファ漏れに注意→METAタグが良い)やブラクラ等。
- Proxy制限の極意1 IPの範囲 20*、21*と61で始まらない物はProxyが多いです。これのみ許可するとある程度Proxyを弾けますが21*と61で始まるProxyも結構あるので効率悪いです。誤爆もあるし。 この方法のみで制限するのは困難です。 最近はもっと増えていますので古いやり方です。
- Proxy制限の極意2 ホスト範囲 日本のプロバイダのホスト名の語尾はおそらく、aol.com、bbtec.net、ne.jp、NE.JP、ad.jp、co.jp、or.jp、 だと思いますのでこれのみ許可すれば殆どのProxyを弾けます。
- Proxy制限の極意3 環境変数 診断君等でProxy判定されるのは殆どProxyと判断して良いでしょう。しかしサーバーによって吐き出す環境変数が多少違いますので注意です。例えば あるサーバーでは常にHTTP_X_FORWARDED_FORを吐き、逆にHTTP_CONNECTIONを吐かないのです。つまりこの変数で判定すると生でもProxy扱い されてしまいます。これを解決するには自分のアカウントに診断君等を置き誤爆が無いかチェックすることです。 診断君をそのまま改造してProxy制限スクリプトを作るのも良いです。
- Proxy制限の極意4 文字列判定 squid、firewall.*、proxy、cache、delegate、dns.*、keeper、mail.*、www.*、^ns\d{0,2}\.、の文字列やus、uk、edu、com、org、net、at、au、ca、ch、de、dk、fi、fr、it、il、kr、nl、pt、twドメインはProxyと見なして良いでしょう。しかしybbのようにjpでは無いプロバに注意してください。 またホスト名に変換できないのもProxyの可能性が高いです。
- Proxy制限の極意5 プロバ登録 これは全てのIPを弾き、新規会員(会員制の場合)のプロバイダのみを登録して許可するという方法です。htaccess以外にCGIやPHPでも出来ます。Proxyを弾くより、楽で確実な方法です。 しばらくアクセスを解析をしてそこから登録するホストを決めるのも手です。
- Proxy制限の極意6 匿名Proxyの対処 Proxy特有の変数を感知して弾くシステムの場合、変数を全く吐かないProxy=高匿名Proxyは弾けません。これはホストのみ許可を混ぜれば殆ど対策できます。数少ないjpのProxyの中にはなかなか高匿名Proxyはありません。それも対策したいなら検診君等のツールを使い一括して匿名Proxy探してみても良いかもしれません。
- Proxy制限の極意7 プロバProxyの対処 プロバイダのホスト名とまったく同じProxyもたまにあります。これを対処するためには変数チェックもミックスさせ下さい。殆ど弾けます。
- Proxy制限の極意8 Proxyポートスキャン Socketの使えるサーバーではProxyポートスキャンによる匿名ProxyやプロバProxy弾きが出来ます。80,3128,8080等のポートが開いている物は大抵Proxyです。これは補助的に使う手段です。2chという掲示板サイト等でも使われている方法です。
- Proxy制限の極意9 ルールの明記 強力なProxy制限を掛けるとどうしても外してくれとか生でも弾かれるという人も出てきます。それで制限を解除したのではセキュリティーが下がりますのでマイナープロバイダ等の人は個別にProxy制限を回避させると良いです(その機能を持ったスクリプトはあります)。また大手プロバイダは必ず誤爆を対処しましょう。特に制限をかけ始めの頃は誤爆や抜け道がある可能性があるので十分実験しましょう。サイトにも明記すると良いです。また、Proxyを何度も変えて侵入を試みる行為は堅く禁止した方が良いです。
- リファラー偽装について1。 参照元の変数リファラーは実は偽装可能なのです。 例えばhttp://a/を閲覧や投稿するためにhttp://b/から参照する必要があるとしましょう。これはhttp://b/にリファを偽装されてしまうと本来以外の場所から入れてしまいます。これはアクセス制限やログ収得や連続投稿防止等 に悪影響を及ぼします。投稿フォームが本体と同じUP板や掲示板でしたら尚更侵入しやすいです。これらの掲示板は構造上リファラーをスクリプトのURLに合わせるだけで侵入できてしまいます。
- リファラー偽装について2。 これを防ぐにはフレームで隠したり右クリック禁止やhtmlの暗号化ですが確実なのはクッキーです。ゲートを板ごとに認証を入れるのが面倒な管理者はオートコンプリートを呼びかけるか他のサーバーとクッキーを共有できるようにすると良いです。同じアカウントじゃ今度は負担が問題になりますから。またパスワード制限以外にもクッキー制御は可能です。 ちなみにCGI以外リファラー制限は仕組みが違うめ偽装しても無効になることもあります。
- リファラー偽装について3。 上手く工夫してリファラー制限を同時に二つ掛けるようにしましょう。これなら偽装はできません。何故なら基本的にリファラーは一つしか偽装できないからです。
- 生IP抜きその1 診断君を見れば分かるようにと漏れ串と言うものが存在します。普通はそれを使う間抜けはいないのですが念のためその変数を修得できるようにしましょう。 運が良ければ生が分かります。 その変数は偽装が可能なので完全には信用できる情報ではありませんが。
- 生IP抜きその2 以前に「他のﾌﾟﾛﾄｺﾙによるIP抜き」というのが流行りました。hypermart等のサーバーでportを開けておき、下記のようなﾀｸﾞを読み込ませます。
<frame src="telnet://******.hypermart.net:21170">
<frame src="ftp://******.hypermart.net:21170">
<frame src="news://******.hypermart.net:21170">
すると、telnetｸﾗｲｱﾝﾄなどが勝手に起動して ******.hypermart.net:21170にｱｸｾｽしてしまい、ﾌﾟﾛｸｼを経由しないので生IPが漏れてしまうのです。ただ、この方法だとtelnetをPCから削除されたり、他のプロトコルにもProxyを刺されたり、接続許可を求める防火壁が入ってる場合は回避されてしまいます。しかもやり過ぎるとブラクラみたいになってしまいます。他にもsecure、gopher、wais、pnm、rlogin、tn3270等があります。
- 生IP抜きその3 JavaApplet(当然OFFなら飛ばす)やCGIを使ってSOCKで経由させ生IPを抜く方法です。これはサーバー側がSOCK経由を許可していない と駄目です。しかしこれはプロトコルごとに個別設定でProxyを刺してしまうと回避されてしまうかもしれません｡
- 生IP抜きその4  「他のﾌﾟﾛﾄｺﾙによるIP抜き」というと telnet,ftp,等がありますが、SSL(https)を使う方法が一番簡単です。ハイマ等のSSLが使えるサーバーにxxx.cgiを置き、https://*****.hypermart.net/xxx.cgi　とします。これなら面倒なスクリプトは必要ありません。そして何より自然です。後はhttp経由を禁止してやればOKです。