【レンタルサーバー：503エラー頻発時の対策】xmlrpc.phpが踏み台！？（例：サクラとエックスサーバー）

友人のサイトで503エラーが頻発していたらしく、相談を受けたのでチェックしてみたところ、WordPressの「xmlrpc.phpが踏み台」にされておりサーバーが高負荷状態になっていた様子。

攻撃というか…
ウィルスというか…

この手のトラブルはサーバーを借りてサイトを運営していると一度くらいは巻き込まれることになる…と思います。対処法はググれば幾つか出てくるのですが分かりにくい記事が多かったので一番ベタな対処法を紹介します。

503エラーが発生する原因

「Service Temporarily Unavailable(503エラー)」っていうのは「HTTPステータスコード」の一つ。細かいことは端折りますが「サイトに高い負荷がかかっていて表示できない場合」に出やすいエラーです。※レンタルサーバーの種類/状態によっては、同様の症状でも「Internal Server Error(500エラー)」が表示されることもあるよ。

私たちがホームページを見るという行為は「データを受信」して見ているわけですが、逆にサーバー側はホームページを見せる為に「データを送信」する役割を担っています。データをやり取りするキャパシティーを「転送量」と呼んだりするのですが、そのキャパシティーをオーバーしてしまった場合などに、こういったエラーが発生することになります。

このエラーが出る原因は幾つかあるのですが
原因となるベタなものを紹介してみると…

原因１：記事がバズって大量アクセス

嬉しい悲鳴？？

記事がSNSで大量シェアされるなど「バズった場合」に、短時間のうちに大量のアクセスが流れ込む場合があります。こういった場合に503エラーが出ることがあります。芸能人や議員が炎上し、サイトが503エラーで閲覧不可になったりするのも同様の理由。

基本的には「安いサーバー・安い料金プラン」ほど転送量が低く設定されているため、ちょっとしたバズでも503エラーが出ることがあります。サイトが攻撃されているわけでもないのに503エラーが頻発する場合は「レンタルサーバーを引越しするタイミング」ですね。

ちなみにこの場合だと、アクセス解析にデータとして現れるので気付きやすい。※スパムによる攻撃はアクセス解析が設置されていないページ/ファイルを対象としていることが多いので知らないと見逃す可能性がある。

管理人オススメのサーバー
⇒ エックスサーバー

原因２：サイトをいじったことによる不具合

自爆？？

サイトを改良しようと色々といじった結果…
サイトが閲覧不可になってしまったケース。

こちらに関しては自爆かな。

デザインをいじる程度ならそこまでの事態には陥らないとは思いますが、phpなどのプログラム的な部分を適当にコピペするなどして魔改造すると、稀に不具合が発生してサイトが表示されなくなったりします。謎の無限ループが発生する可能性も微レ存。

実際にサイトがぶっ壊れた…という相談を受けたことがあります。phpに関係する部分をいじる際は、自信の無い方はバックアップを取った上で作業するようにしましょう。

背景やヘッダー画像など、人が来るたびに読み込む必要がある画像リソースが巨大すぎてもサイトへの負荷は高くなります。そういった点もご注意を。

…

あとはWordPressなどの場合は、相性の悪いプラグインを入れると変な挙動を取ることが稀にあります。特定のプラグインを導入した後からサイトの調子が悪くなってしまった場合は削除してみよう。※キャッシュ関係のプラグインの場合は削除しただけでは直らない場合もあるので注意。

原因３：サイトが攻撃を受けた

サイトは狙われている？？

一個前の記事で「荒らしスパム対策」という記事を書きましたが、その記事のAkismetによるブロックしたスパムコメントの数からも分かるように、サイトっていうのはスパム/荒らしみたいなのに割と簡単に狙われます。

その中でも特に悪質なのが「DoS攻撃/DDoS攻撃」などの攻撃行為。1秒間に100回を超える大量アクセスなどによって高い負荷がかかりサイトがおかしくなってしまいます。

特に心当たりがないのに急にサイトで503エラーが頻発し始めたら、これ系の攻撃を受けてる可能性が非常に高いです。今回、友人のサイトにおいて「xmlrpc.phpが踏み台」にされたのもコレに該当します。

サイトが攻撃された場合のベタな解決法

解決するには幾つかの方法があるのですが…
一番簡単なのが攻撃者のIPを特定して拒否する方法。

• 攻撃者のIPを特定する
• アクセス拒否する

この方法に欠点があるとすれば…
攻撃されるたびに同じ設定を毎回しなければいけない点。

…とは言え、、普通にサイト運営していれば、攻撃されるってのは多かったとしても年に数回だと思います。なので取りあえずはこの方法を覚えておくとイイかも。

今回はメジャーなレンタルサーバーの「さくらインターネット」と「エックスサーバー」での設定方法を紹介します。

さくらインターネットの場合

まずは攻撃元を特定するためにアクセスログを確認します。コントロールパネルの「アクセスログの設定」から確認方法が分かるようになっています。

さくらインターネットの場合は「/home/ユーザー名/log/access_log_日付」というパスにアクセスログが保存されるように設定されています。

さくらインターネットのアクセスログの確認にはFFFTP等のFTPクライアントというソフトが必要になります。※仕様によりファイルマネージャーからアクセスログが確認できないみたいです

さくらインターネットにおけるFFFTPの設定は公式ヘルプを参照：FFFTPのFTP設定

FFFTPよりサーバーにログイン。
503が多発した日のログを取得＆確認しましょう。

ちなみにログの確認方法ですが適当でOK。

というのも仮に攻撃を受けていた場合は一目瞭然。似たようなログが「数万行」と並ぶことになるので明らかに犯人のIPを特定することができます。

ちなみに友人のサイトが攻撃を受けた際のログだと、トータルで51万4千件を超えるログが残っており、そのうちの「3分の2」程が同一IP（攻撃者）からのアクセスになります。

IPが特定出来た後はアクセス拒否設定を施します。
さくらインターネットの場合は「ファイルマネージャー」画面へ。

• URLを選択
• 表示アドレスへの操作
• アクセス設定

と進みます。

個別にアクセス制限をかけられる画面に進みます。

• 接続元アクセス制限
• 拒否するアクセスのリスト
• IPアドレスを入力

でOK。

攻撃を受けていた場合は…
これで503が殆ど出なくなるはず…たぶんね。

エックスサーバーの場合

エックスサーバーの場合は…

• ログファイルにてアクセスログを取得
• アクセスログから攻撃元IPを特定
• アクセス拒否設定にて拒否IPを入力

でOK。

さくらインターネットの項で説明した感じでログをチェックして攻撃元IPを特定して、拒否設定すれば大丈夫なはずです。

***

ちなみにエックスサーバーの場合は外部からのxmlrpc.phpへのアクセスを防ぐシステムが入ってた気がします。詳細までは把握してないけども。

オススメ
：エックスサーバー