Drupal で作っている会社のブログに、パソコンの作業手順の記事を投稿しようとしたときのことです。プレビューのボタンを押すと「501 Not Implemented」というエラーの画面になり、アイキャッチの画像を選ぶと「Oops, something went wrong.」というメッセージが何度も出るようになりました。
原因は、サーバーの故障でも Drupal の不具合でもなく、エックスサーバーの WAF（ウェブアプリケーションファイアウォール）が、記事の本文を攻撃と判断して止めていたことでした。どうしてそう判断できたのかも、あわせて紹介します。
この記事では、実際に起きたことの画面とともに、原因を突き止めた根拠、エックスサーバーの WAF の6つの対策の役割とメリット・デメリット、記事を保存できないときの3つの対処法をまとめます。
投稿しようとしたのは、PowerShell の手順を載せたパソコンの記事です。本文を貼り付けてプレビューを押すと、次の画面になりました。
画面には「対応していないメソッドを使用した」と書かれていますが、特別な操作をしたわけではありません。
エックスサーバーでは、WAF がアクセスを止めたときに、このようなエラーの画面が表示されます。
記事の作成の画面に戻り、アイキャッチの画像を選ぶと、今度は「Oops, something went wrong.」というメッセージが出ました。
ブラウザの開発ツールで通信を確かめると、アイキャッチの画像のアップロードの通信が 501 で止められていました。
Drupal は、画像をアップロードするときにも、入力中のフォームの中身（本文を含む）をまとめて送るしくみです。そのため、画像そのものではなく、本文の中のコマンドが原因で止められていました。
「WAF が原因」と判断したのは、次の5つの理由からです。
| 根拠 | 内容 |
|---|---|
| 1. 公式マニュアルの説明 | エックスサーバーのマニュアルには、WAF が検知した場合はアクセスが拒否され、エラーページが表示されると書かれている |
| 2. ブラウザの開発ツールの記録 | 開発ツールのネットワークの画面で、アイキャッチのアップロードの通信が、サーバーから 501 で返されていることを確認した（上の画面） |
| 3. 止められた操作の共通点 | 止められたのは、プレビュー・保存・画像のアップロードといった本文をサーバーへ送る操作だけで、記事の一覧を開く、別の記事を表示するといった操作は問題なかった |
| 4. 本文の中身による違い | これまでの記事では一度も起きず、コマンドの手順を本文に入れた記事でだけ起きた |
| 5. 設定を変えたあとの結果 | 「XSS対策」と「コマンド対策」を OFF にして反映を待ったところ、同じ本文でアイキャッチのアップロードとプレビューができた（下の画面） |
5つ目の根拠の画面です。反映が終わり、kinfuu.co.jp の XSS対策とコマンド対策が OFF になった状態です（「反映待ち」の表示が消えています）。
この状態で同じ本文の記事を開き直すと、さきほど 501 で止められていたアイキャッチのアップロードが通り、エラーのメッセージも出なくなりました。
プレビューも、501 の画面にならずに表示できました。
なお、今回は XSS対策とコマンド対策の2つを同時に OFF にしたため、どちらが反応したかまでは切り分けていません。
本文に書いた内容から、主にコマンド対策が反応したと考えています。
WAF は、ホームページやブログの仕組み（Web アプリケーション）の弱点をねらった攻撃から、サイトを守る仕組みです。サイトに送られてくる内容を調べ、攻撃に使われる文字の並びを見つけると、そのアクセスを止めます。
エックスサーバーでは、サーバーパネルの「WAF設定」から、ドメインごとに6つの対策を ON・OFF できます。マニュアルでは、WAF はあくまで最低限の予防策で、不正アクセスを100%防ぐものではなく、アプリケーションを最新に保つことが根本の対策だと説明されています。
それぞれの対策の役割と、メリット・デメリットをまとめます。止められやすい記事の具体的な文字の例は、図の中に載せています。
| 見ているもの | スクリプト（プログラム）を動かすためのタグが埋め込まれた内容 |
|---|---|
| 防げる攻撃 | クッキーを盗んでなりすます、偽のページへ誘導する、など |
| メリット | お問い合わせフォームやコメント欄など、他人が入力した内容を表示する仕組みを守れる |
| デメリット | 記事に埋め込みのコードや計測用のタグを書くと、管理画面からの保存でも止められることがある |
| 見ているもの | データベースへの命令（SQL）の書き方に当てはまる文字の並び |
|---|---|
| 防げる攻撃 | データベースの情報の漏えい・書き換え・破壊 |
| メリット | 会員サイトやお問い合わせの記録など、データベースを使う仕組みを守れる |
| デメリット | SQL の書き方を解説する記事を投稿すると止められることがある |
| 見ているもの | サーバーの設定ファイルの名前を含む内容 |
|---|---|
| 防げる攻撃 | パスワードや設定のファイルを書き換えて、サイトを乗っ取る |
| メリット | 画像のアップロードなど、ファイルを扱う仕組みを守れる |
| デメリット | サーバーの設定ファイルの書き方を解説する記事を投稿すると止められることがある |
| 見ているもの | メールの宛先などの項目名を含む内容 |
|---|---|
| 防げる攻撃 | お問い合わせフォームを悪用した、第三者への迷惑メールの大量送信 |
| メリット | メールを送るフォームを、迷惑メールの踏み台にされにくくなる |
| デメリット | メールの送り方や設定を解説する記事で止められることがある |
| 見ているもの | サーバーへの命令（コマンド）の名前を含む内容 |
|---|---|
| 防げる攻撃 | プログラムを通してサーバーに命令を実行させ、情報を盗む・踏み台にする |
| メリット | サーバーを直接操作されるという、被害の大きい攻撃を防げる |
| デメリット | パソコンやサーバーの操作の手順を載せる記事が止められやすい（今回はこれ） |
| 見ているもの | ファイル操作など、弱点になりやすい PHP の関数の名前を含む内容 |
|---|---|
| 防げる攻撃 | 管理者になりすます、不正なファイルを置いてサーバーを乗っ取る |
| メリット | WordPress や Drupal など、PHP で動く仕組み全般を守れる |
| デメリット | PHP のプログラムを載せる記事で止められることがある |
WAF は、誰が送ったかではなく、何が書かれているかを見ています。
ログインしている管理者でも、本文に攻撃と同じ文字の並びがあれば止められます。
一方で、公開した記事を読者が見るときは、本文がサーバーへ送られるわけではないので、止められることはありません。
止められるのは、本文を送る操作（プレビュー・保存・画像のアップロード）だけです。
今回はこの方法で投稿しました。サーバーパネルの「WAF設定」で、kinfuu.co.jp の「XSS対策」と「コマンド対策」だけを OFF にし、ほかの4つは ON のままにしました。
注意したいのは、切り替えてもすぐには反映されないことです。
サーバーパネルでは「反映待ち」と表示され、説明には最大1時間ほどかかると書かれていました。
| 手順 | 操作 |
|---|---|
| 1 | 反応している対策だけを OFF にする（全部は OFF にしない） |
| 2 | 「反映待ち」の表示が消えるまで待つ |
| 3 | 記事の作成の画面を開き直して、投稿・保存する |
| 4 | 保存できたら、すぐ ON に戻す（戻すときも反映まで時間がかかる） |
本文の HTML を SSH でサーバーへ送り、Drupal の記事をサーバーの上のコマンドで作る方法です。
ブラウザから本文を送らないので、WAF を ON のまま投稿でき、待ち時間もありません。
コマンドを載せる技術記事が多いなら、この方法がいちばん手間がかかりません。
手順を画像で見せる、コピー用のテキストファイルを別に置いてリンクする、といった方法です。
WAF の設定は変えずに済みますが、読者が手順をそのままコピーしにくくなります。
| 気をつけること | 理由 |
|---|---|
| 全部の対策を OFF にしない | 止められた対策だけを OFF にすれば、ほかの攻撃は防ぎ続けられる |
| OFF にしたら、必ず ON に戻す | 戻し忘れると、守りが弱いままになる。戻すときも反映を待つので、予定に入れておく |
| どの対策が反応したかを記録しておく | 次に同じ種類の記事を書くときに、OFF にする対策が分かる |
| WAF だけに頼らない | WAF は最低限の予防策。CMS やプラグインを最新に保つ、管理画面のログインを守る、といった対策と組み合わせる |
見られなくなりません。止められるのは、本文をサーバーへ送る操作だけです。読者が記事を表示するときは、本文を送らないので影響はありません。
エックスサーバーのアクセスログには、止められたアクセスがエラーとして残ります。ただし、アクセスログは1日1回まとめて作られるため、確かめられるのは翌日以降です。急ぐときは、反応しそうな対策（コマンドを書いたならコマンド対策、など）から順に OFF にして試すのが早いです。
おすすめしません。WAF は、サイトの弱点が見つかってから修正されるまでのあいだも、攻撃を止めてくれる仕組みです。止められるのは、特定の内容を送るときだけなので、そのときだけ対処するのが安全です。
金風株式会社では、ホームページのセキュリティの設定の見直しや、WAF などの守りの仕組みについてのご相談を承っています。サイトの弱点を確かめる「Webセキュリティ診断」もご用意していますので、お気軽にお問い合わせください。