Jeans & Development コンピューターのことなどを綴ったメモ (旧：目から鱗 w/SQLite)

　NP_JSEncode, NP_ProtectByMD5 に続く、スパム対策シリーズ第三弾。半分洒落のつもりで作ってみた（半分本気）。NP_JSEncodeでは、スパムロボットに読み込まれたくない部分をurl_encodeして記事に直接埋め込んでいたが、このNP_ProtectByAjaxではAjaxを用いて当該部分を別途読み込む形式。なので、より硬い防御が期待される。
　使用方法はNP_JSEncodeとほとんど同じであるが、プラグイン編集オプションからキャッシュデータ（スパムロボットに対して隠蔽しているHTMLを保持する）を消去する機能が追加されている。
　私のブログは人気があまり無いおかげで、NP_JSEncode と NP_ProtectByMD5 でスパムコメントを完全にブロックできている。が、将来これらの方法でブロックできなくなるケースに対処するため、作ってみた。もともとは、NP_JSEncodeの次期バージョンに組み込む予定にしていたが、ちょっと思うところあって別プラグインとして開発。

　１２月１２日、午前６時３分（ＧＭＴ）から午前６時１２分までの９分間の間に、妻のブログ（Nucleusで構築）へのコメントスパムの連続攻撃だと思われるアクセスがあった。ログを見て分かったことのメモ。

　NP_0TicketForPluginがアップグレードされて、バージョンが1.2.8.1aになりました。今回のアップグレードでは、CSRF攻撃のみならず管理画面への直接攻撃に対する脆弱性対策が盛り込まれています。

　脆弱性があるためアンインストールしてあるプラグインでも、ファイルを消去せずに残したままにしてあると脆弱性が残ったままになっている場合があります。新しいバージョンのNP_0TicketForPluginではそういった脆弱性も解消するような機能が組み込まれてあります。

　詳しくは、Nucleus(JP) フォーラムの当該トピックをご覧ください。Nucleus を使用しているすべての方に、強くインストールをお勧めします。

　なお、Nucleus-SQLite をご使用で、NP_0TicketForPluginをアップグレードされる方は、新しいバージョンのNP_0TicketForPlugin.phpを上書きでアップロードした後に、プラグイン管理画面で一度NP_0TicketForPluginを削除して再インストールしてください。この作業を行わずに『登録リストのアップデート』だけですませると、NP_SQLite を含めたすべてのプラグインの管理画面に入ることが出来ません。