【仕様】荒らし対策掲示板【実装】

**nobodyさん** · 03/08/22 02:57

考えないか？

**nobodyさん** · 03/08/22 03:10

基本

タグ・スタイルシート・JavaScriptのイベントハンドラは文字参照に置換する。
メソッドはPOST以外受けつけない。
イメダグ・自動投稿フォーム・類似フォーム等は
リファラーチェックしてはじく（不完全）

**nobodyさん** · 03/08/22 03:20

会員制にすればOK

**nobodyさん** · 03/08/22 03:24

文中の改行・空白を勝手に削除したりするのは
正規の投稿者の文面も崩れかね無いのであまり(・A･)ｲｸﾅｲ!!と思う。
改行数やバイト数制限は必要だけど
限られた条件の中で表現の自由は保守したい。AAとかね。

連続投稿の禁止も、レスの早い掲示板ではストレスがたまるので極力避けたい。

単純にIpではじくのもきりが無いし、ﾄﾞﾒｲﾝではじくのも
巻き添え食らう人が出て来るだろうし。

カル板系の画像チェックコードは、いちいち入力するのが('A｀)ﾏﾝﾄﾞｸｾ。
かといって、2chみたいにクッキーでチェックコード発行してる場合
普段クッキー切ってる人は、ON・OFFが('A｀)ﾏﾝﾄﾞｸｾ。
JavaScriptでいろいろやるのも、切ってる人には(ry

**nobodyさん** · 03/08/22 03:26

>>3
ｵｰﾌﾟﾝな場所で、多くの人が快適に利用できるような掲示板を目指します。
言い忘れた…ｽﾏｿ(´Д｀；)

1 · 03/08/22 03:32

ちなみに
>>2
>>4
>>5
は俺です。誰かщ(ﾟДﾟщ)ｶﾓｰﾝ。話し合おうZE！

1 · 03/08/22 03:46

誰も来ない…
時間が時間だからかなぁ…
もう寝るぽ(´・ω・｀)

**nobodyさん** · 03/08/22 04:31

>>1
プロキシ制限すればある程度は大丈夫だと思うが？

**nobodyさん** · 03/08/22 04:50

--------------------------end-----------------------------

1 · 03/08/22 05:07

>>8
だから、串制限したら
荒らしてる当人以外も弾かれる人がでてくるではないか(´Д｀；)

串制限しなくてもいい方法考えようZE！

**nobodyさん** · 03/08/22 05:10

>>10
荒らすつもりもないやつがなぜ串を使う？

1 · 03/08/22 05:12

それに正直、串制限やIP記録されてる掲示板は精神衛生上よろしくない。
せめてｽｸﾘﾌﾟﾄ上では廃止したいね。
本当に硬い掲示板ならそんなものは必要無いはずだ…と俺は思う。

1 · 03/08/22 05:14

>>11
串の本来の目的を忘れてないか？(´∀｀；)

**nobodyさん** · 03/08/22 05:46

俺の場合、proxy介さないと外部につなげないんだけど(´∀｀；)

1 · 03/08/22 05:47

最近考えてる
究極の連続書き込み対策だけど
チェックコード系でもなんでも、突破されたらログ流されちゃうから
被害を最小限に食い止めるためにプロテクトモードを作るのはどうかと。

書き込み手順・投稿間隔・内容を比較して
黒かったらカウントする。
一定時間でカウントが一定数まで達したら、攻撃を受けたと認識し
強制的にログファイルのパーミッションを変更して書き込めなくする。
一定時間たって、攻撃がやんだと認識したらログファイルのパーミッションを元に戻す。
カウント数も初期化。
とかかなり荒業。

復帰時のついでに、攻撃を受ける前のログ（バックアップ用）に巻き戻したりするのもいいかもしれない。

でも、これは判断基準が難しいよな。
しかもプロテクトモード時は一般の利用客に迷惑かかるし。
う～ん…。

**nobodyさん** · 03/08/22 05:50

>>4
あれもダメ、これもダメって制限多すぎ。

あとは、荒らされないような雰囲気の掲示板にするぐらいしか対策ねーんじゃね？

1 · 03/08/22 05:57

>>14
あぁ、そういう人もいるね。
全員分セーフリスト作るのにも限界あるし、串制限はやっぱりダメぽ。

>>16
>あれもダメ、これもダメって制限多すぎ。
既出の方法に頼れば、そこそこ硬い掲示板作れるけど
いろいろ制限出てくるから、何か画期的な方法は無いかと。

>あとは、荒らされないような雰囲気の掲示板にするぐらいしか対策ねーんじゃね？
それ言っちゃお終いだ(´Д⊂、
とりあえず、精神論は置いといて、技術的な対策考えたい(´∀｀；)

**nobodyさん** · 03/08/22 06:05

夢を追うのも悪くなかろう。まあがんばれや。

1 · 03/08/22 06:07

>>18
行っちゃやだ。協力してよ(´・ω・｀)

**nobodyさん** · 03/08/22 06:18

ポートスキャンまでして串規制するとはすごい根性だと思った。あ、2chのことね。

1 · 03/08/22 06:22

>>20
80番や8080番開いてたら、串とみなすってやつ？

**nobodyさん** · 03/08/22 06:24

>>1
掲示板なければ荒らされない

1 · 03/08/22 06:29

>>22
「荒らされない」っていう発想はどーでもいいんだよ。
攻撃される。
防御する。
知恵比べさ。
掲示板無かったら何も始まらんよ。

**nobodyさん** · 03/08/22 11:00

連投されたら掲示板が書き込めなくなるなんてのは論外
解除した時にまた連投されたら誰も利用できない板の出来上がり

**nobodyさん** · 03/08/22 11:51

既に荒らしシカト機能付き掲示板があったと思ったが
どこにあったか失念。

1 · 03/08/22 17:48

>>24
もちろん敵をかく乱する為
復帰時間はランダムで生成。なんにつけてもパターン化は避けたい。
荒らしつづけたくても、掲示板に貼りついて無いと
連続して荒らしつづけるのは難しい。

荒らしにくい掲示板なら諦めると思うのだが。どうだろう？

>>25
シカトって
ダミーログに飛ばして
気の済むまで書き込んでもらうとか？

**nobodyさん** · 03/08/22 17:49

サーバー側のデータ置き場は、今では、十分な量が確保できるんだから、
無駄な上限を外して、データを流れないようにすればいいのでは？

**nobodyさん** · 03/08/22 18:02

いやだから連投スクリプト動かして放置しときゃいいじゃない
ずっと復帰できない状態になるでしょ？

**nobodyさん** · 03/08/22 18:11

ＡＡを送信したら、恐喝メッセージを投稿者に返す罠

1 · 03/08/22 18:28

>>27
いくら大容量化が進んでも、ＨＤＤは有限だよ(´∀｀；)

>>28
永遠とｽｸﾘﾌﾟﾄぶん回しとくの？(ﾟДﾟ)
そんな事したら鯖が落ちて
荒らしてる香具師は鯖缶に訴えられてあぼーん。

>>29
ＡＡだと判断する基準が難しいよね。

**nobodyさん** · 03/08/22 18:31

ローカルから撃つならｻﾊﾞ問題ないだろ
ｻｰﾊﾞｰに置くにしても定期的にｽｸﾘﾌﾟﾄ起動する方法なんていくらでもある

1 · 03/08/22 18:36

>>31
ﾛｰｶﾙから撃っても、大量のﾘｸｴｽﾄが常に放たれてるんだから
被害元のｽｸﾘﾌﾟﾄは常にerror吐き出して負荷がものすごい事になるよ。
定期的にどっかから来るんだったら、ｱｸ禁にすれば解決すると思われ。

1 · 03/08/22 18:38

入力の必要無いｽｸﾘﾌﾟﾄ側だけで対応できる画像チェックコード思い付いた。

生成したランダムな数値を元に画像を連結するとこまでは従来の物と一緒。
ただ、記録する発行済みチェックコードリストには、
生成された連結画像のpack値をこれまたランダムに生成した種を元にcryptした値と、種を記録。

投稿時には、表示されてる画像のpack値を、記録されてる種でcryptして、記録されてる値と比較。
一致したら、投稿許可。

criptした値の桁数も、これまたランダムで生成した値を元に調整するとさらに頑丈かも。

どうだろう？

**nobodyさん** · 03/08/22 18:39

被害元のほうかよ
間隔あけてりゃ問題ない
もっといえばレスポンス見て間隔変えればいい
ｱｸ禁なんて串でどうにでもなる
串制限しないんだろ？

**nobodyさん** · 03/08/22 18:42

で、どうやって画像のpack値送るんだ？
いってみれ

1 · 03/08/22 18:45

>>34
そう言われてみると、粘着にやられたらおしまいなような気がしてきた(´Д⊂、

>>35
ぇ？普通に送れない？(´∀｀；)

**nobodyさん** · 03/08/22 18:50

hiddenフィールドで送るなら一緒だぞ
それ以外に方法あるならいってみれ

1 · 03/08/22 19:02

>>37
あらかじめ、hiddenに入れとくわけじゃないよ？
投稿時にﾘｱﾙﾀｲﾑで、表示されてる画像をpackして送るんだ。

**nobodyさん** · 03/08/22 19:03

へーどうやって送るの？

1 · 03/08/22 19:04

あー、なんか間違ってる。俺(´Д｀；)

1 · 03/08/22 19:08

本体側で全部処理しなきゃいいんでない？

**nobodyさん** · 03/08/22 19:12

とりあえずもっとわかるように書け

誰がどのようにして送るか
それをどうチェックするのか

**nobodyさん** · 03/08/22 19:13

ちょっとテスト。
これ、俺、ちゃんと書きこめてるよね?
見えてるしょ?
返事してください!

1 · 03/08/22 19:19

>>42
了解。自分でもわけわかんなくなってきたからまとめてみる。

>>43
見えてるぽ

1 · 03/08/22 19:30

bbs.cgi（掲示板本体）ｱｸｾｽ時
↓
code.cgi（チェック用）をreadモードで起動
↓
ランダム値（１）を生成
↓
ランダム値（１）を元に用意しておいた画像を連結して、連結画像を生成
↓
連結画像を元にpack値を生成
↓
ランダム値（２）を生成
↓
ランダム値（２）を種として、pack値をcrypt
↓
ランダム値（３）を生成
↓
ランダム値（３）を元にして、crypt値の桁数を調整し、コード（１）を生成
↓
コード（１）、ランダム値（２）、ランダム値（３）を記録。
↓
掲示板には連結画像を表示

1 · 03/08/22 19:30

bbs.cgi（掲示板本体）書き込み時
↓
code.cgi（チェック用）をwriteモードで起動
↓
掲示板の連結画像を元にpack値を生成
↓
記録されてるランダム値（２）を種として、crypt
↓
記録されてるランダム値（３）を元にして、crypt値の桁数を調整し、コード（２）を生成
↓
記録されてるコード（１）とコード（２）を比較
↓
一致したら、書き込み許可。一致しなかったらはじく。

**nobodyさん** · 03/08/22 19:34

あいかわらずpack値をどうやって投稿者が送るのかちっともわかりませんですよ・・・

1 · 03/08/22 19:38

>>47
書き込み時に、code.cgiが起動するので
そっちで送ります。
例え、画像を読みこんでpackするｽｸﾘﾌﾟﾄ書かれても
記録されてる、ランダム値（２）と（３）がわからないので
コード（１）と同じコード（２）を生成するのは不可能かと。

**nobodyさん** · 03/08/22 19:41

見た感じcode.cgiはbbs.cgiと別個であるようだが
そうだとするとcode.cgiに投稿者がアクセスするのはbbs.cgiの処理がおわった後になるわけだが・・・

1 · 03/08/22 19:46

>>49
code.cgiをライブラリみたいな感じでbbs.cgiから使えばいいんじゃないの？

**nobodyさん** · 03/08/22 19:48

連続投稿は文字数や行数を数えて±3ぐらいまでで一致したらはじいて
IP規制して数時間後に規制したIPを開放ってのはどうですか？

1 · 03/08/22 19:55

>>51
その場合、串規制も付けないと
いくらでも突破してくるかも～。

**nobodyさん** · 03/08/22 19:59

荒らしを晒しあげて懲らしめた実績を、架空でもいいから公開しておけば
プログラムレスで簡単な抑止力になるかとふと思った。

1 · 03/08/22 20:03

>>53
ハッタリは、本物の荒らしを食いとめられるかなぁ…

**nobodyさん** · 03/08/22 20:08

>>53
余計燃えるやつが居ると思われ

1 · 03/08/22 20:10

>>55
だよね。
下手な煽り入れて、神のような人が来ちゃったら
笑いながらﾎﾞｺﾎﾞｺにされると思われ。

**nobodyさん** · 03/08/22 21:21

２ｃｈのIDの仕組みってどんなの？
IP変わってもIDが変わらないんだったら
IP規制じゃなくてID規制にするとか

**nobodyさん** · 03/08/22 21:29

>>57
IP変わればID変わる
IDは･･･
$idnum = $ENV{'REMOTE_ADDR'};
$idnum =~ s/\./0/g;
$idcrypt = substr(crypt(substr($idnum,0,8),$mday), -8);
if ($iddagora > 0){
if ($iddagora == 1){
if ($in{'email'} eq ""){ $date = "$date ID:$idcrypt"; }
else { $date = "$date ID:???"; }
}
if ($iddagora == 2){$date = "$date ID:$idcrypt";}
}
こんな感じ？

1 · 03/08/22 21:44

>>58
そんな感じ。
日付が変わってもID変わるね。

**nobodyさん** · 03/08/22 21:48

日付、リモートアドレス、板ID

**nobodyさん** · 03/08/23 01:29

レベル低い…

**nobodyさん** · 03/08/23 01:36

>>50
とりあえず色々とわからん
組めるなら組んでみろ
そのほうがはやそうだ
・掲示板の連結画像を元に
連結画像はcode.cgiが作るのではないのか？
code.cgiが毎回ランダムな数字をだなら連結画像を元にすることはできないのではないか
・code.cgiをライブラリ
はじめからbbs.cgiにそのルーチンだけ組み込めばいいのではないか
・書き込み時にcode.cgiが起動するのでそっちで送る
どうやってcode.cgiにpack値を送らすのか？QUERYか？
ライブラリで読み出すならそれも不可能だろう
この部分がスッポリ抜けているのではないか

**nobodyさん** · 03/08/23 01:42

なぁ、画像をどうこうするのが荒らし対策なのか？
もっと他に荒らしと言える行為があるんじゃないか？

**nobodyさん** · 03/08/23 01:43

レベル高いのはなんだ
とうとう最後までXSS放置されてたｶﾙ板か？

**nobodyさん** · 03/08/23 02:31

>>64
>>27に書いたぞ。

1 · 03/08/23 02:34

>>62
>組めるなら組んでみろ
現時点で実現可能か不明なので(´∀｀；)

>連結画像はcode.cgiが作るのではないのか？
code.cgiが生成した連結画像を掲示板が表示するって事です。

>はじめからbbs.cgiにそのルーチンだけ組み込めばいいのではないか
これは途中から、移植を考えたら別ファイルの方がいい気がしてきたから；

>どうやってcode.cgiにpack値を送らすのか？QUERYか？
普通に処理したら値を返せばいいんじゃないの？？

>>63
具体的に言うと？

>>64
XSSって聞いた事なかったから調べたけどｽﾀｲﾙｼｰﾄ？
CSS荒らし？

**nobodyさん** · 03/08/23 02:39

つまりcode.cgiはどっかのディレクトリに画像を作るてことでいいのか？
code.cgi自体はContent-type:image・・・で表示しないんだな？

1 · 03/08/23 02:40

>>67
(・∀・)ｿﾚﾀﾞ!!
説明下手でｽﾏｿ(´Д｀；)

**nobodyさん** · 03/08/23 02:45

それならbbs.cgiで全部やらせとけていうか分ける意味ねー
ついでにpack値送る手段未だわかんねー
FORMの値以外送る手段ないだろ
それとも送るのは投稿者じゃないとかいうのか

1 · 03/08/23 02:51

>>69
じゃあ、分けない方向で。

よくよく考えたら
やっぱり、生成され、セットされたファイル名hiddenで送らないと
どの画像をpackするか判断できないんじゃ…？(・∀・；)

1 · 03/08/23 02:53

つーか、なんか根本的に間違ってる気がしてきた(´Д｀)
入力する必要ない数字画像が掲示板に表示されてても激しく謎だし……。

**nobodyさん** · 03/08/23 02:54

それにはやく気付けよ
複数の人間がアクセスしたら画像が複数できることなんて予想できたことだろ

XSSはttp://lovemorgue.org/xss.htmlでもみとけ

1 · 03/08/23 02:59

>>72
記録するコード数を増やせばいいんじゃないの？
投稿時にどれかとマッチすればOk、みたいな感じで。
正規の投稿者は、今見えてる画像付きの投稿ﾌｫｰﾑで書き込むんだし。

XSSありが㌧
読んで来る(´∀｀)

**nobodyさん** · 03/08/23 03:01

・・・まずは自分でいってる通り入力する必要ない画像が表示される意味を考えて教えてくれ

1 · 03/08/23 03:08

>>74
とりあえず、数字画像以外のものを連結して貼り付けると見栄えはグッドかもしれないと思った。
いっその事、背景画像に指定しちゃうとか？毎回背景画像が謎の連結画像…嫌過ぎるな…

誰かもっと自然で効率いい荒らし対策ｷﾎﾞﾝﾇヽ(｀Д´)ノ

1 · 03/08/23 03:12

あー、でもhiddenで送るんだったら
別に律儀に画像を表示しなくてもいいな。

**nobodyさん** · 03/08/23 03:14

hiddenで送るんだったら結局意味ないのでしゅーりょー

1 · 03/08/23 03:17

>>77
なんで？生のデータ送るわけじゃないし
読み取られてもOkじゃん？
送った後に、対象データをcryptするし。その種も記録されたランダム値だし。

**nobodyさん** · 03/08/23 03:19

連投スクリプトとブラウザは同じデータを送れます
連投スクリプトで読みとられて平気つーことは
ブラウザに読みとられても平気＝書けないてことです

1 · 03/08/23 03:21

>>79
あー、わかった！
俺、ｱﾌｫだ(´Д｀)

とりあえず画像チェックコードの改良は諦めるとして、
他の手を考えないとな(´・ω・｀)

**nobodyさん** · 03/08/23 03:35

長々とやったが結局よーくわからんかったよ・・・

連投防ぎたかったら画像使え（ものによっては破られるしめんどいがﾅｰ）
それがイヤなら串禁しとけ（関係ない人間も多少は巻き込まれるかもﾅｰ）

**nobodyさん** · 03/08/23 03:58

まあﾂｰﾙ厨くらいなら板をｱﾌﾟﾛﾀﾞにかえれば回避できるぞ
ﾏﾙﾁﾊﾟｰﾄには対応してないからな

1 · 03/08/23 04:33

>>82
なるほど。その手があったか！(ﾟ∀ﾟ)

**nobodyさん** · 03/08/24 01:55

もうネタぎれかよっ

1 · 03/08/24 02:24

>>84
悪いな。どうしても独りだとﾈﾀが尽きるしな。
考えてはいるんだが。

1 · 03/08/24 02:27

とりあえず、姉妹ｽﾚ？
http://pc2.2ch.net/test/read.cgi/php/991274614/l50

**nobodyさん** · 03/08/24 02:39

つかこの板人少ないのな・・・

**nobodyさん** · 03/08/24 02:57

よくぞ気付いた。
荒らし甲斐のないほど人の少ない掲示板。
それこそが究極の荒らし対策掲示板だ。

**nobodyさん** · 03/08/24 02:57

確かに人は多くないけど、このスレ自体が相手にされていないってのも

**nobodyさん** · 03/08/24 03:01

一部のスレ以外に人がいないのでは
半日以上放置して１０くらいしか下がってないし

1 · 03/08/24 03:10

人が少ないのは俺も思った。
はじめは、みんなsage進行なのかと思った。

1 · 03/08/24 03:12

ところで、姉妹ｽﾚの

掲示板にｱｸｾｽ時に
何らかの手段でｺﾈｸｼｮﾝ張らせて、生IP抜いておいて
投稿時にそれと一致しなかったらはじく
って考えは究極の串制限だと思った。

**nobodyさん** · 03/08/24 03:15

コネクションはる方法が限られてるがﾅｰ

1 · 03/08/24 03:19

>>93
抜けなかったら抜けなかったで不許可の方向で

**nobodyさん** · 03/08/24 03:26

いや・・・だからJAVAアプレットやら使わないとﾑﾘだから
それは>>4で否定したんじゃないのか？
つーか姉妹スレのもたぶん撃てるよ

1 · 03/08/24 03:36

>>95
>いや・・・だからJAVAアプレットやら使わないとﾑﾘだから
JAVAｱﾌﾟﾚｯﾄ以外にも
おなじみのtelnetでもいいし、メディアプレイヤーでもOEでも
ﾕｰｻﾞｰが持ってそうなｱﾌﾟﾘ起動しまくってGO！

>それは>>4で否定したんじゃないのか？
そもそも串制限自体否定してるからね
もしも串制限するんだったらって話。

>つーか姉妹スレのもたぶん撃てるよ
同意。あれだけじゃいくらでも穴あると思われ。

**nobodyさん** · 03/08/24 03:41

telnetて書き込む度にサーバーたてるんか・・・
しかもクライアントは書き込む度にtelnet起動させられるのか・・・
そんな鬱な板いるかっ

しかも串にアクセスさせるだけでいくらでも捏造可能・・・ナムー

1 · 03/08/24 03:45

>>97
だめか～

なんだか、下手に小細工すると
どんどんﾍﾝﾃｺな使いにくい掲示板になっていく(´Д｀)

ｼﾝﾌﾟﾙでいい方法は無いものか･･･…。

**nobodyさん** · 03/08/24 04:09

姉妹スレのちょっとやってみたら串使って書けたし
つか２月かよ・・・時が止まってるな

**nobodyさん** · 03/08/24 14:52

この板のどっかにあった7行掲示板使っとけ