성인광고 하는 봇 이 동시 2000개가 공격하네여 ㅋㅋ 

[분석 보고서] 그누보드 기반 웹사이트 비정상 접속 폭증 분석 및 대응 방안

브라이언 박사과정님, 남겨주신 실시간 접속 로그 분석 결과, 서버 권한이 탈취된 시스템 침해(해킹)라기보다는 자동화된 스팸/크롤링 봇에 의한 무차별 타깃팅 공격(HTTP Flooding / Spam Bot Attack) 형태가 확실시됩니다.

1. 로그 데이터 핵심 분석 (근거 및 판정)

게시판 쓰기/답글 URL 집중 타깃팅:

특정 로그 중 [http://aitutor21.com/bbs/write.php?bo_table=news&...&w=r&wr_id=1109](http://aitutor21.com/bbs/write.php?bo_table=news&...&w=r&wr_id=1109) 호출 패턴이 명확히 확인됨.

이는 그누보드 게시판에 스팸 광고 글이나 댓글을 대량 등록하기 위해 자동화 매크로(스팸 봇)가 찌르는 전형적인 공격 경로입니다.

초당 접속 밀도 및 분산 IP (DDoS/크롤링 패턴):

19:57:07부터 19:57:10까지 단 3초 사이에 서로 다른 대역의 수많은 IP가 초당 수십 건 단위로 동시 인입되고 있습니다.

검색엔진 봇(40.77.167.75는 Bingbot IP) 외에 전 세계 및 국내 프록시/감염 PC(좀비 IP 대역)를 통한 분산 접속 형태를 보입니다.

OS/User-Agent 위·변조:

접속 브라우저/OS 표기가 Chrome/MAC, Chrome/Linux 등으로 인위적으로 회전(Rotation)되고 있어 봇 스크립트 실행 정황이 명백합니다.

2. 왜 일반 접속자가 아니라 봇 공격인가? (비교 검증)

정상 트래픽 급증: 특정 메인 페이지나 뉴스 뷰(board.php?wr_id=...)에 트래픽이 몰리며, 레퍼러(Referrer)가 포털이나 SNS로 기록됨.

현재 로그 상태: 글 작성 페이지(write.php)와 파라미터 조합을 무작위로 호출하며 세션(Session) 테이블을 순식간에 폭증시킴.

위험도: 서버가 뚫린 상태는 아니나, DB 커넥션 풀(MySQL Connection Pool) 고갈 및 세션 테이블 락(Lock)으로 인해 서버가 다운될 수 있는 상태입니다.

3. 단계별 긴급 대응 절차

1단계: 게시판 비회원 글쓰기 즉시 차단 (긴급 임시 조치)

관리자 페이지(adm) 접속 후 해당 게시판(news) 및 전체 게시판의 글쓰기/댓글 권한을 회원 이상(레벨 2 이상)으로 즉시 상향 조정.

스팸 봇의 목표가 차단되므로 유입 시도가 무력화됩니다.

2단계: 세션 테이블(g5_login, g5_visit) 정리

phpMyAdmin 또는 터미널 MySQL 콘솔 접속.

동시접속자 수가 2,000명으로 잡히는 이유는 DB의 현재 접속자 테이블(g5_login)에 레코드가 계속 쌓여 갱신되지 못하기 때문입니다.

아래 쿼리로 현재 세션을 비워 DB 부하를 낮춥니다.

SQL

TRUNCATE TABLE g5_login;

3단계: 웹 서버 레벨에서 봇 차단 (Nginx / Apache)

단시간에 과도한 요청을 보내는 IP 대역 차단 및 write.php 접근 제어.

Nginx 환경인 경우 limit_req_zone을 적용하여 초당 요청 수를 제한하거나, 스팸 유입 해외 IP 대역을 GeoIP로 일시 차단합니다.

4단계: Cloudflare 등 WAF(웹 방화벽) 적용 (권장)

DNS를 Cloudflare로 경유시켜 'Under Attack Mode' 활성화 또는 Bot Management 챌린지(CAPTCHA)를 적용하면 서버에 부하가 닿기 전에 원천 차단됩니다.

해킹 아니고, **스팸봇이 글쓰기 페이지 폭격** 하는거야.

너 캡쳐한 저 로그 봐봐:

`http://aitutor21.com/bbs/write.php?bo_table=news&page=49&sod=asc&sop=and&sst=wr_hit&w=r&wr_id=1109`

`w=r` = 답글쓰기 버튼 누른거. 즉 `news 게시판 1109번 글에 답글 달기` 페이지를 2000명이 동시에 연거지.

실제 사람은 저 URL로 직접 안들어가. 정상이면 `board.php?bo_table=news&wr_id=1109` 로 들어오지.

저거 100% 봇이야.

1.  `40.77.167.75 ChromeRobot` = 이건 **Bing 검색봇** (마이크로소프트)

2.  나머지 `ChromeMAC`, `GeckoMAC` 들은 중국/한국 프록시 IP로 돌리는 SEO 스팸봇. 한국 그누보드 사이트들 요즘 다 당하는 패턴이야. 게시판에 링크 박으려고 `write.php`를 무차별 대입하는거.

그누보드 현재접속자 스킨은 `write.php`에 접속해도 카운터에 그대로 찍혀서 2000명처럼 부풀려 보이는거고, 페이지네이션도 그래서 `1페이지 2페이지 ... 10페이지` 까지 터진거다.

### 당장 할 일 3개

**1. 글쓰기 권한 막기 (제일 중요)**

관리자 > 게시판관리 > news 게시판 > 권한에서

`글쓰기 권한 / 답글쓰기 권한 = 2 (회원) 이상` 으로 올려. 지금 1(비회원)으로 되어있으면 봇이 계속 들어와.

**2. 해당 글 확인**

1109번 글이 뭐야? 스팸 타겟 된 글이라 지워야 할 수도 있어. 관리자에서 1109번 글 조회수나 댓글에 이상한 외국어 링크 있는지 봐봐.

**3. 봇 차단**

aitutor21.com Cloudflare 쓰고 있지? Cloudflare > Security > Bots > `Bot Fight Mode ON` 하면 저런거 90% 사라져.

서버 과부하 걸리면 임시로 `.htaccess`에 이렇게 넣고 버텨:

```

<Files "write.php">

  # 비회원 write 접근 차단 예시, 또는 특정 IP 대역 차단

</Files>

```

결론: 해킹 당해서 DB 털린건 아니야. 그냥 스팸봇들이 답글쓰기 창을 2000번 두드리는 중이라 카운터만 미친거.

혹시 관리자 페이지에서 `현재접속자 IP` 전체 리스트 뽑아서 줄 수 있어? 내가 진짜 Bingbot이랑 가짜 봇이랑 구분해서 차단 룰 만들어줄게.