之前为了方便自用,买了一个短域名 2i.gs搭建了短网址程序。搭建完后用的感觉还不错,发送短信通知时网址好看多了。当时想着就开放公开使用吧,算是为互联网贡献一份自己的力量。

免费短网址
免费短网址

前几天忽然想到,如果有人滥用短网址程序,可能导致域名被DNS污染,在国内就没法正常使用了。赶紧登录后台查看有无不和谐的网址,结果让我大吃一惊:一日之间多出了4000多条短网址记录,指向两个国外色情约会的网站!

于是赶紧把这几千条记录清了,然后再排查怎么回事。

根据访问记录,这几千条短网址都是通过程序自动生成的,并且使用了代理IP,每次请求换不同IP;虽然多了四千多条记录,但指向域名只有两个,只是具体链接稍有不同;每个短网址访问次数少的一两次,多的三四十次。好消息是,由于目标网站是英文的,是被国外人滥用,不会在国内造成影响。

为防止后续还有类似的事情发生,目前短网址程序已停止创建新记录,之前创建的正常短网址仍会正常提供服务。

经过这次事故,更让我意识到提供公开服务时务必注意防范潜在风险。网站、博客等用户输入较少的,需注意是否有程序漏洞等导致被黑被挖矿;用户输入和交互较多的,更须加强访问控制,防止用户输入内容带来的不利影响。最后就是再三强调的:多备份!多备份!多备份!

参考

1. 做一个永不暴露IP的网站

2. 本站近期发生的几起安全事件

3. WordPress备份方案和备份脚本

4. 使用Mysql主主同步/Redis主从复制备份网站