和注册机器人的战斗

帮朋友代管一个问答站点。这个站点常常被发垃圾广告的盯上，而且使用注册发帖机器人，潮水般地往上冲。最近一次大规模攻击出现在10月15日晚上到16日早晨，总共产生了43000多条垃圾。

因为只是代管，所以我并不能接触到后台代码和数据库，只能使用网页管理界面来清理垃圾。而这些网页界面又有点残疾，例如，删除垃圾问题时，虽然提供了多选勾框，却只能删除顶头一个。

汇总一下，手边能用的抵抗工具有：

• 关闭新用户注册。
• 删除垃圾用户的网页界面（每次只给删20个）。
• 删除垃圾问题的网页界面（每次只给删1个）。

好在我还是个程序员，虽然并不穿格子装。当天下午，我用JavaScript写了个网页，把垃圾用户/问题的编号范围输入之后，点一下“清理用户”，它就会循环往复地按照原站点期望的格式生成form，并提交删除。按照每秒清理10个用户的速度，很快就干干净净了。

这个清理工具有点小花样：提交删除表格时，会在新窗口打开（否则退不回来，就没法循环执行），打开的新窗又要在5秒钟后关闭（否则任务一多，浏览器的窗口就密密麻麻了）。这样，浏览器不停地弹出新窗又关掉，忙得不亦乐乎的样子，煞是好看。

写好这个清理工具之后，把它往自己的网站上一丢，就可以放心地出去玩了。即使问答站点再遭攻击，我也可以从手机上远程清理了。执行清理代码的权限依赖于事先在问答站点上成功登录，所以也不担心链接泄露被网络爬虫乱点按钮。

接下来我又想：事后发现并清理，终究显得有点被动。当我忙着做图写东西时，还得随时盯着站点，就太分心了。JavaScript在读取外域网页时功能有限，所以我用PHP写了个新版本，能代刷网页，发现出事时，能自己清理。不过，本质上，这个工具就和注册机器人一样了，这大概就是传说中的“终于活成了自己讨厌的人的样子”。

自动防御工事的逻辑是：

• 每隔一段时间，读取主页上的注册用户数目。
• 如果突然出现不合常理的激增，则判定为注册机器人攻击。
• 判定攻击后，首先关闭新用户注册功能，掐断垃圾源头。
• 接下来，向站点提交表格，删除在此期间出现的所有新用户。
• 静候半小时后，重新开放注册功能，但半分钟后回来检视一下，看看攻击是不是还在继续。
• 如果攻击还在继续，再次关闭新用户注册，清理这半分钟产生的小垃圾，如此循环往复。

刚刚写好新工具，一个小机器人就吹着喇叭发动了祭旗式的攻击（上图的UNDER ATTACK指的就是它），攻击从当天傍晚6点持续到次日凌晨零点。刚才说过，每次检测出批量攻击时，程序会先关闭用户注册半小时，然后打开，半分钟后再杀回来重新看一眼。对面这个小机器人在这每次间隔半小时的半分钟缝隙里，急急忙忙地创建垃圾用户，几个小时过去，它用掉了将近一百个帐户编号，也算是相当执着了。

今天早晨出了个巧之又巧的小意外。在网页刚刚启动，进行30秒热身刷新时，放在本站的服务器突然跳表，时间戳从23:01:32跳回23:00:20，呛死了我的防御工事。

它的判断逻辑是“假如新注册的用户数乘以某比率，大于刚才流逝的秒数，则判断是注册机器人攻击。”而这里，虽然新注册用户为零，但“刚才流逝的秒数”是个负值……万幸的是，我从做JavaScript版时，就设了个保险杠，此杠以内的老用户无论如何不能碰。所以虽然代码走进了“删除某些用户”的那一块，却立刻被驳回了。

感谢这个服务器提供的意外test case，这部分代码已加固，不会再被弄死了。

后记：晚上在本站服务器上把玩这个程序时，跳表现象又出现了。不禁大感兴趣，细细研究一下这个现象的来源。它发作得如此频繁，使我无法相信有个系统管理员坐在那里没事调时钟。更像是有多台负载均衡服务器，它们的时钟不一致。

写了个小网页，每5秒输出一次系统时间，在完美世界里，应该获得一条单调上升的直线。然而我实际得到的，是剧烈颠簸的数据。使用Excel画出来就更加一目了然，共有三条直线，说明至少有三台负载均衡，其中两台差异不那么大，而第三台慢了许多。如果拿中间一条线做参照的话，最上面的时钟快了23秒，最下面的则慢了108秒。