ジュゲ(zyuge)からお知らせ

8/26 はお休みいたします。

8/24・25　の投稿をお休みいたします。

8/19　の記事はお休みいたします。

8/17・18　の　黒い砂漠ブログ　はお休みいたします。

8/10 と 11 の　黒い砂漠SSぶらり旅　はお休みします。

8/3 と 4 の　黒い砂漠SSぶらり旅　はお休みします。

7/27と28の　黒い砂漠SSぶらり旅　はお休みします。

攻撃は止まったのですが、対策が功を奏したというより単に攻撃が来ていないよう。

現在

前回の　Word of 辺りへの攻撃は終始続き、今も散発的に続いているのですが（アクセスを排除しているので影響はない）、今回は業者が違うようで（前回はアメリカから、今回は恐らく香港から）１日で終わったことになる。

DDOS攻撃

これだと思った対策は意味が無かったようで、本日更に調べると、既にWPで推奨されているあるプラグインに、特定機能を使ったDDOS攻撃の対策がVerUPで知らず組み込まれていた。防壁として重複していた。とすると問題は、「ではどのプログラムが攻撃の発信元として利用されたのか？」であり、踏み台元が解らなくなる。

結局は未可動テーマが踏み台に？

そうなると可能性として１つあるのは、使われていないテーマBordwalkが踏み台にされた可能性。更新されていないテーマが踏み台にされたことは実際にあるようで、あれらは使っていないだけで機能していなわけではないよう。ウィジェット並の機能を有するテーマの場合、付随する機能が踏み台にされるようだ。こうなると、やっぱり更新されていないテーマは地雷と考えた方が良いかも知れない。

怪しいIP

念のためにあからさまにおかしいIPはブロック処理しておく。もう一つグレゾーンのIPがあるのだが、それは暫く泳がせておこう。それにしてもプログラムの更新を怠っていたり管理をサボって攻撃されるならともなく、全く何も問題が無いのに攻撃されるとなると非常に厳しいなぁ。

公式課金サイトの利便性

本家のWordPressだったり、Bloggerだったり、そうしたサービスを使えばこうした問題はほとんど解消される。最も、あれらも攻撃はされるのだが、何せ管理者が何もしなくてもそのうち対応してくれる。日本開発のCMSも結局は有名になれば攻撃されるわけだから、サーバーインストール型は常にそうした危険と隣合わせと考えられる。そしてこれらは便利かつ高機能になるほど攻防はより激しくなってくるのは間違いない。増えることはあっても減ることはないのだ。実際、コンピューターが登場時、人の労働時間は劇的に減ると言われてきたが、それどころか劇的に増えていると言える。

そうなると　サイト管理で仕事をするつもり　がないのであれば、ワールドワイドのブログサービスにお金払って容量増やして大手の課金サービスを利用する方が賢いかもしれない。原因の究明や対策にかかる時間は膨大かつ労量で。IT技術を覚えたところで直ぐに陳腐化する。それは仕事でも無い限り意味はほぼ無い。

ITサービスとの向き合い方

結果的にこれらの出来事はいい勉強になっている。今度のサービスの行方と直結している気がするからだ。小さな楽しみとしてやる場合はローカルな技術を使った旧来のサービスが今度ますます安全になるだろう。逆に大きく開けた門戸におけるサービスは大手サービスに依存せざる終えなくなる。家電状態でITが使えるようなサービスじゃない限り、人の時間はただでさえ使える時間が減っているのに、そこへ来て更に無為な時間を過ごすことになる。問題はまだ過渡期であるが故、最終的にどこへ集約されるか読めない点にあるが、少なくともブログに関しては世界的なシェアを誇るWordPress本家が最も安全な気がする。

今年は既にこれで３回め？４回目？かの対応なので辟易した。

１日待ってアクセスログを見ました。
攻撃の大本が判明したため対抗措置を施しました。理論的にはこれで止まるはず。
これで止まらない場合はもう１手あります。

ここで判明したのは、前回もコレが根本原因だった可能性。
ただなぁ、あっちは止まっているんだよねぇ。

プラグインやテーマの脆弱性をついた攻撃かと思ったのですが、どうやら違うようです。
今回はプライベートサーバーからの攻撃でしたので防壁外の仕事だったよう。
もっと根幹的なWordPressの仕様を悪用されたケースと言えそうです。
さて、どうなるか。

テーマの問題かと思い、思いきってテーマ全部削除して、公式のにしちゃった。(；´∀｀)
結構気に入っていたのになぁ。
こうした攻防があると結局は公式になっちゃうよねぇ。安牌だし。
ただ、コレで完全に止まったならテーマはアレでも良かったんだとなるので、また　BordWalk　にしようかな。

本日１９時頃よりサイトがダウンしています。
アタックを受けていることが判明しましたが動作の元となるプログラムが特定出来ていません。
推測レベルですが、稼働していないテーマやプラグインの副機能を悪用された可能性が僅かにある為、削除等を対応し明日以後再度オープンし、様子を見る予定です。

当サイトに、ファイルアップローダー用ページ　”zyugeのデータ倉庫”　を設置しました。

目的

配布用データ置き場　兼　自分用のバックアップ。文字通りデータ倉庫代わり。
まずは　黒い砂漠　のキャラクターデータ置き場。
改造Verごとにストックすると何が何やらわからなくなるので。

zyugeのデータ倉庫　留意事項

・ジュゲから配布するデータを置く場合に使用しますが、フレンドの利用は許可してます。
・他の利用者は　”ジュゲの庵”　で事前に許可を受けた場合に限り許可します。それ以外は削除。
・botや業者防止の為に入室制限を設けてます。
・ID：guest　パス：00000　で入室可能。
・業者対策の為データにはパスワードを設定しています。カテゴリによってパスワードは固定です。サイト下の「使い方」をご一読下さい。

解決しました。

最終的には自力解決出来てました。今回ばかりはコレまでにない規模でしたので、万が一マルウェア等が仕込まれいてたら厄介だと思いサーバー会社に連絡をいれ最終確認していただきました。

結果は異常なし。サーバー上のデータはこっちから解析が出来ないので、せいぜい不審な更新がないかの次元で調べるしかないのです。更新が無かったことから恐らくは問題ないだろうと踏んでましたが、こればっかりは人力で確認しても確定とは至りません。

プラグインの脆弱性をつかれた

具体的に何があったかといいますと、海外から攻撃を受けてサーバーレンタル会社かペナルティとして強制停止。その原因なんですが、とあるプラグインにありました。ただし最新Verです。管理者側からはどうしようも出来ない。そのプラグインは攻撃を受けた後もアプデが２度ほどあり、それも即対応したにも関わらず再停止の措置をくらいます。脆弱性をつかれた。しかもシステムに深く介入するプラグインで、単純にプラグインフォルダを止めるだけでは対処出来ないものだっただけに事態が深刻化しました。２度止められたのはそれが理由です。（今年の１月と３月に止まった際はプラグインやテーマそのもののバグが原因だった）

月５０００ヒットあたり

今回かなり調べた感じですと、月に５０００ヒットする（botやクローラーを除く）サイト以上から狙われているという印象です。私が管理するサイトは仕事の兼ね合いもあり１０以上あるのですが、ヒット数が月５０００を越えていないサイトは同じプラグインを導入していたにも関わらず平穏無事でした。また、単にヒット数だけでもないようで「内容そのものが世界的に認知度が高いかどうか」というのもポイントに思われます。World of　が狙われたのもその辺りの所以なのでしょう。いずれにしても５０００ヒットからはデンジャーゾーン。油断したらアウトです。最も今回も脆弱性を突かれただけで管理において油断はしてなかったのですが。(；´∀｀)

ターゲットとなったサイトは現在更新が停滞しており、ヒット数で言うと　ゲームSS　の方が多いぐらいになってきてます。（ガンオンの認知度よｗ）また　黒い砂漠　の方が倍以上のアクセス数があるのに対して、優先的に狙われたのは　World of　で、極端に集中攻撃をくらいましたが、２度目にダウンした際は　黒い砂漠　も攻撃が始まったといった感じでした。上流から下流へという感じで、それらの防御が整うと他のサイトにも飛び火しましたが、その頃には既に対策済な為に被害は出ず。

PHPそのものの脆弱性

今回、PHPのVerも脆弱性に絡んでくると痛感しました。PHPはCMSを動かす際にベースになるプログラムですが、このVerが低いとSecurity上に極めて問題がある。現在、最新稼働中なのは7.1ですが、単純に上げればいいという話でも無いのが厄介なところ。というのも7.1には対応していないテーマやプラグインはあり、かなりSecurityレベルの高いVerですのでアプデするとサイトそのものが動かなくなる可能性を内包しています。その際に自力で設定等をいじる必要があります。また、サーバー会社や契約プランによってはデータベースから設定をいじる必要性があるようです。

World of　の方がまさにPHPのVer5.ｘで現在既にサポートが終了しているVerだったのです。なので単純にプラグインが悪い！といいきれない。ただし　黒い砂漠　はそのVerでは無かったのですが、念のためにVerに上げると、案の定、どっこい別なトラブルが起きました。ページが表示されなくなった。これはサイト全体のテーマデータがそのVerのPHPに対応していない現象でした。幾つか試しましたが「結構対応していないテーマがありました」、その結果、変えることに。また、その際に幾つかデータを直接弄る必要もあり、PHPの設定も変更を余儀なくなれました。

結果

プラグイン等が最新Verでも、バグじゃないけどトラブルはある！！PHPの脆弱性は盲点になりがち。出来る限り7.1へ対応が望まれるが、その際にブログに入れなくなったり表示されなくなったりのトラブルは覚悟しておくこと。大規模にとめられた際は、対策後には必ずサーバー会社へ安全確認をしてもらうこと。

全サイト共通のお問い合わせページを設置しました。
ジュゲのホームページ　総合トップメニューは既に置き換え済みです。
その他、ゲームサイトについても同じページに飛ぶように設定いたしました。
WordPressをはじめとしたCMS系のサイトにおけるフォームメールが案外脆弱性を突かれやすいことが今回わかり、これまで通りの技術の方が安全ではなかろうかと、実験的に実施いたしました。
フォームメールに抵抗がある方はゲストブック・ジュゲの庵に書き込んでいただいても構いません。

表題の通り　World of ジュゲのSSぶらり旅　および　黒い砂漠SSぶらり旅　の二つのサイトを復旧させました。

サーバー会社からのペナルティ解除後も自主的に「閲覧不可状態」を維持し、丸１日ほど原因究明のため対応、恐らくもう大丈夫だろうと判断しました。なお、本件トラブルは来場者側にとっては「閲覧出来ない」以外の影響は無い類ものです。ご安心下さい。原因を確実には特定出来なかった為、この２サイトは再度停止する可能性を内包しております。止む終えず現在レンタルサーバー会社の担当者に特定を依頼中です。

当サイトの障害情報は、このページ　ジュゲのホームページ　にて公開しております。RSSも出力してますので、何か「おや？アクセス拒否された」とか「表示されないぞ？」と思った際は閲覧下されば助かります。寸断レベルでは記事を上げませんが半日以上ダウンするような場合は書いていきます。

お問い合わせページ　の見直し

現在、各サイトに　お問い合わせ　ページを設けておりますが、このサイトや一部サイトでは実験的に閉鎖しております。今後、お問い合わせは「ゲーム情報交換広場」もしくは「ジュゲの庵」の掲示板で受け付けることをベースに考えております。何かありましたらそちらまでご一報いただけると助かります。

黒い砂漠SSぶらり旅　の見直し

今回障害の要因である大元がPHPの脆弱性による疑念がありVerを上げました。結果、　黒い砂漠　で使用しているテーマが対応していないようで正常に画面を描画出来ないことを確認した為、止む終えずテーマおよびレイアウトを全て見直すことにしました。（思えば今年の１月もこのテーマがバグっていた）見慣れていた方はすいません。私個人はあのスタイルがブログのテーマに合致しており、気に入ってもいたので残念です。

Wolrdof　のテーマは正常に動きましたので現状維持。ただ、このテーマには幾つか疑念を捨てきれないので唐突に変えるかもしれません。ご容赦願います。毎日閲覧くださった方にはご面倒をおかけいたしました。

World of ジュゲのSSぶらり旅　および　黒い砂漠SSぶらり旅　の二つのサイトが現在ダウンしております。一両日中には復帰予定ですが、再びダウンする可能性があります。現在サーバー運営会社に対応を問い合わせており、根本的な問題解決に取り組んでおります。ご面倒をおかけしますが今暫くお待ち下さい。

スパマーのせいでWebサーバーを介してのメールを全サイトで制限されております。明日に解除することは可能なのですが、そもそも当サイトで使われることが無かった部分でもありますので、このまま制限状態を保持しようと思います。何せスパマーに悩まされることは2度と無くなりますので。何かありましたら　ゲストブック　の　ジュゲの庵　にて書き込んで下さい。( ｰ`дｰ´)ﾉ ｼｭﾀｯ　ま～問い合わせなんて無いからｗ

World of ジュゲのSSぶらり旅　は現在もトラフィックオーバーのアクセス制限中ですが、ココも元々しばらくは放置予定でしたので、そのままにする予定です。今年頭のWordPress問題から全サイトのテキスト情報は全てバックアップしておりますので、いよいよ面倒になったら　World of　は潰して統合させるつもりです。

今朝方からアクセス集中によりダウンしております。
これは仕様であり正常なサーバー対応です。
昨夜対策済ですので一両日中にでも復帰すると思われますが・・・果たして。

スパマー・ウォーズ最新作

2018/4/3　21：30～　4/4　4：30　にかけこのサイトを利用して大量にメールが送られるという事態に気づきました。丁度、病み上がりでしてメール等をろくすっぽチェックしていなかったため寝る直前まで気づかず。まさかここからド深夜までスパマーとの遙かなる戦い。スパマー・ウォーズ　スピンオフ作品がお届け出来ることになるとは。

ハックされた！？

自己環境に異常は無いので問題ないはず。
念のためにマスターパスワードから何から何まで全て変更する。
ログイン履歴やサイト更新履歴等からも、アカウントがハックされたわけでも、サイト内に何か勝手に埋め込まれたわけでも無さそう。となると・・

メールを盗まれた！？

ところがこのサーバーにはメルアドが２つしかない。共にデフォで自動生成されるもの。
全く利用していないのだ。そもそも外部へ一切公開もされていないアドレス。
１つは全くメールが溜まっていないが、もう１つは何故かメールが沢山未読で溜まっていた。
スパムである。
このパスワードも変更。ただ、受信は制限出来ても送信というのは制限出来ない。この時点で面が割れている（ネールサーバー等の内部データを知られている可能性がある）としたら、メールアカウントそのものを削除しない限りどうしようも出来ないと判断。どうせ使うつもりがないアドレスだったので削除する。ところが・・・

WordPressのウィジェットがガンだった

まだ終わらない！！深刻な問題を上流から対処していって最後に残ったのはWordPress。今年２度のエラーで面食らったのは記憶に新しいが、そもそも常に最新の状態を保っている。しかも即アップするとバグでサイトが止まる恐れもあるので（黒砂漠がそれで苦労した）わざわざ２日ぐらい遅れてアップさせるという始末ｗ　ところが・・・調べてみて、寧ろ最初からその可能性が最も高かったと判明。

厄介なのは、この問題は特定のウィジェットによるトラブルではなく。かなり広範囲なウィジェットで起きているようだ。フォーム系のウィジェットを悪用され大量に送信されるものや、外部のSNSアカウントと同期させる系統のもので、その入口からサイトそのものを乗っ取られ改ざん、仕込みまでされるものまでと実に広範囲である。

後半の案件なら最悪。ただファイルのアクセス更新履歴からすると改ざんの傾向は見られない。慌ててウィジェットを調べてみると・・・「あ・・・ｗ」まさかの更新していないウィジェットがたった１つだけポツンと。(；´∀｀)　しかもコイツが「フォームメール系ウィジェット」。これまでの公式＝安全はまるで当てにならない時代となったことを再確認する。黒砂漠のトラブル時もテーマを開発している公式アプデだった。

アプデをかまし、念のために停止させてみる。恐らくこれで間違いないだろう。ネットにはキャッシュがどうしても残るので１日か数日はキャッシュを通してやられるかもしれないが以後は大丈夫だろう。その関係もありスパマー・ウォーズでアクセスが集中しており止められている。（スパム業者のプログラムがアタックを繰り返していると思われる）そんな顛末です。

震撼WordPress

今回ターゲットされたのは、恐らくこういう流れだろう。ウィジェットに抜け穴を見つける。このテーマをつかっているサイトを絞る。このウィジェットを使っているサイトを更に絞る。（サイトには張り込んでいなかったが、有効化している以上、同じフォルダに必ずある）無作為にプログラムでアタックをかける。既に対策がとられたプログラムなら無効化されるが、とられていないサイトには数千、数万のメールが発信される。というカラクリではなかろうか。

今年頭からWordPressを利用することに疑問を感じつつあったが尚の事濃厚となる。こんなことなら高速で安全、それでいて簡素な無料ブログサービスであるBloggerの方がよくないだろうか？BloggerはGoogleフォトと同一のフォルダーを使っているので以前は上限１GBに達するとTHE ENDだったが、たしか仕様が変更になり、容量の小さいファイルならカウントされないんじゃなかったかな？んー・・・。

理想はいぜんから書いているように公式WordPressサイトでの運用だが、これはこれで容量の天井が結構低いので困る。何れにせよ、昨年記事にしたように　テーマ毎にサイトを分ける　という方式でWordPressを使うのはリスクが上がることは間違いない。３つぐらいに絞った方が現実的だろう。少なくとも放置がいかに危険であるか改めて実感した。

ジュゲのURLナビ！　のカウント方法を変更し、１回クリック度に閲覧数が上がる仕様にしました。
これまでは１日でカウント出来る回数を１としておりました。

ユーザーフレンドリーは提供側の過労を促す

本日各サイトの微調整を行ったのですが・・・
サイトが多いと面倒くさいね！(´∀｀)うん
１サイトだったら確認も含め１時間もあれば終える作業だけど、幾つもあると３時間以上かかる。
全部レイアウトが違うし、内容も違うので些細な追加修正なのに自ずと作業時間が。

細分化するデメリット

改めてサイトを細分化するメリットは感じたのですが（見る側としては余計なモノを見せられないのでありがたい）でもメンテが面倒くさ過ぎる。Webデザインの会社が自ずと巨大化、分業化するのがわかる。力仕事だから物理的に時間とマンパワーが必要になる。昔からWebデザインやプログラマーはIT系ガテンと言われているけど、ほんと重労働だと改めて感じる。

折衷案

ユーザーフレンドリーなサイトを目指すと莫大な労力がかかるので、折衷案で、出来るだけ大きく分類し、嘗てのポータルのように１つに絞っていくのが労力対効果において必要なんだと自得しました。ユーザーと提供側双方の歩み寄りを求めるといいますか。これが仕事なら細分化をどこで止め、どこまでやるかが課題になるんだろうなぁ。

スクラップ＆ビルド

前回抱負として「新しいのは作らない！」と書きましたが、今回調整ながら「取り敢えず作ってみる」そして「面白くなくなったもの」や「止む終えず継続出来なかったもの」は統合してしまえばいいな。と思いました。スクラップ＆ビルドです。Google当たりはこれが神がかって凄いわけですよ。「こりゃダメだ！」と思ったら、積み上げたもの全てを無視して撤退する。

それと同じで「まずは作ってみる」そして「駄目だこりゃ」と思ったら、ポータルサイトへ吸収させる。吸収させる一手間はかかるのですが。「黒い砂漠」を弄りながら「これが”ゲームSSぶらり旅”にあったらカオスだな」と思いまして。恐ろしく読みづらくなるでしょう。

逆に、「やっぱり単品で扱いたいな！」と思ったら、また吸い出して分離させる。これは本家のWordPress等では無理なんですが、Serverインストール型なら割と容易。私等は構築段階でサイトをかなりブラッシュアップするのですが、そうすると作業時間が相当数かかるのでテストサイトは、テンプレ通りにし、プラグインも足さず、「いける」と思った段階でブラッシュアップしていくという感じもありかな～なぞと。

まとめ

・沢山サイトがあると無駄な時間が膨大に必要・
・ユーザーに極端にフレンドリーなサイトは提供側にはブラック、折衷案を考慮する。
・サイトのスクラップ＆ビルドでトータルで動的なサイト構築がよい？

微調整を施しました。
出来るだけ利用者視点で修正してみました。

・各サイトでRSSメニュー表示
今まではSSLで表示が死んでましたので、公式の機能に変更し記事の要約を表示されるようにしました。
ゲーム関係は相互に記事が表示出来るようにし、小説は小説関係と、関連性のあるものだけを表示。

・リンクの追加
リンクを追加しました。

・並び変更
メニューやサイドバーの並びを変更しました。

・ジュゲのURLナビ！について
少々実験していたのですが、ダウンバージョンのデータを上位へ互換させるにはかなり手間がかかると判明。
定期的に上位データへコンバートしようと思ったのですが、面倒なので止めました。(*´Д｀)
現在使用しているVerはバグったVerに比べ出来ることが狭いのですが、特に利用において大した不便もないことを鑑み、以後は本Verで継続的にURLを登録していこうと思います。かなり復活させました。