또다시 스팸 폭탄 공격이 기승을 부리네요.

textcube 홈페이지 공지사항을 보니 플러그인이 계속 개선중인거 같습니다만,

이번에 공격을 받으면서 곰곰히 생각해보니 이런 식으로 textcube 기능이 개선되면

스패머들의 공격을 피할 수 있지 않을까 하는 생각이 들어서 글을 한번 써 봅니다.

우선 다들 잘 아시겠지만 다시 한번 스패머들이 스팸 댓글을 남기는 방식을 정리해보겠습니다.

뭐 복잡한 얘기는 다 빼고 자동으로 대량의 스팸 댓글을 남기는 원리는...

댓글을 작성하는 URL 을 분석을 통해 알아내서 자동으로 생성된 HTTP 요청을 계속 보내는 방식이겠죠.

그렇다면, HTTP 요청을 보내는 쪽의 IP주소라든가, 파라미터를 분석해서 이 요청을 막는 방식으로도

스팸 댓글 공격을 피할 수도 있겠지만 (현재 EAS 플러그인의 방식이겠죠.)

이런 식으로도 공격을 피할 수 있지 않을까 하는데요...

바로 댓글을 작성하기 위해 보내는 HTTP 요청의 URL을 동적으로 생성하게 하는 것이죠.

어차피 사용자들이 댓글을 남길때 URL을 직접 쳐서 남기는 사람은 없고, 다들 textcube에서 생성한

페이지에서 버튼을 클릭해서 댓글을 남기니까 말이죠... 댓글 작성 URL의 뒷부분 (도메인 뒤에 붙는 부분)

을 랜덤이라든가 passwd 만드는 식으로 (정확하게는 message digest 같은 거겠죠) 동적 생성해서

데이터베이스에 기록해놓고 댓글 작성시에 들어온 문자열이 데이터베이스에 저장된 문자열과 같으면

댓글을 저장하도록 하는 것이죠.

그리고 이 문자열을 일정 시간 간격으로 재생성하게 하는 겁니다. 일주일이라든가 보름 간격으로...

그렇게 하면 우선 자동화된 스팸 댓글 작성기를 만들 수가 없습니다. 같은 textcube 를 사용하는 사이트들이라도

댓글 작성 URL은 제각각이 되니까요. 또 같은 사이트라도 일정 주기로 계속 바뀌기 때문에 독하게 맘먹고

매일 매일 사이트를 분석하는 놈이 아니라면 (이건 경제성이 없으니까 그런 놈은 아마 없을 테죠.) 아예

스팸 댓글 작성기를 만들 수 없겠죠.

뭐 잠깐 생각한 거라서 깊게 따지다보면 다른 문제가 발견될 수도 있겠지만....

기본 원리는 유효하리라 생각됩니다.

제작자 분들이 한번쯤 고려해봐 주셨으면 좋겠네요.

^^

그럼 이만.