서버에 문제가 생기면 에러 로그부터 엽니다. 그런데 평소에 그 파일에 무엇이 쌓이는지는 들여다본 적이 없었습니다. 30일치 아파치 에러 로그 90,151줄을 한 줄씩 갈라 봤습니다. 결과는 예상과 달랐습니다. 내 서버가 잘못해서 남은 줄은 사실상 없었습니다. PHP가 죽거나 경고를 낸 줄은 0줄이고, 90,151줄 중 89,454줄은 밖에서 들어온 요청이 남긴 것이었습니다. 에러 로그라는 이름이 붙어 있지만 실제로는 공격…
워드프레스는 이미지를 하나 올리면 150×150, 300, 768, 1024 폭짜리 파일을 같이 만듭니다. 이 사이트의 업로드 폴더에는 원본 124개와 그렇게 만들어진 파일 387개, 모두 511개 74.6MB가 있습니다. 이 가운데 실제로 요청되는 파일이 무엇인지 30일치 접속 로그로 세었습니다. 150×150 파일 123개는 30일 동안 한 번도 요청되지 않았고, 300 폭 파일은 123개 중 83개가 요청됐지만 전송량은 전체의 0.6%였습니다….
지난 글에서 서버 요청의 16.7%가 .git 폴더를 뒤지는 요청이었고, 그중 4,917건은 실제로 파일을 내주고 있었다는 것을 확인하고 아파치 설정으로 막았습니다. 그 뒤 4일 동안 같은 로그를 다시 셌습니다. 차단 전 4일과 차단 후 4일을 같은 길이로 놓고 비교하면, .git을 건드린 IP 수는 178개에서 175개로 거의 같은데 요청 수는 27,997건에서 589건으로 97.9% 줄었습니다. 스캐너의 수는 그대로이고,…
워드프레스가 도는 서버의 접속 로그를 35일치(8월 9일~9월 12일) 모아 응답 코드별로 세어 봤습니다. 297만 7,553건 가운데 404가 106만 5,189건, 35.8%입니다. 정상 응답 200(49.2%)에 이어 두 번째로 많은 코드가 “없는 페이지”입니다. 그런데 이 404를 경로별로 나누자 절반에 가까운 49만 2,189건이 한 폴더를 향하고 있었습니다. /.git/입니다. 그리고 그 요청 가운데 4,917건은 404가 아니라 200이었습니다. 실제로 파일을 내준…
워드프레스는 예약 작업을 도는 크론(cron)을 서버의 시계가 아니라 방문자의 요청에 얹어서 돌립니다. 누군가 페이지를 열면 그 요청 안에서 “지금 돌릴 일이 있는가”를 확인하고, 있으면 자기 자신에게 wp-cron.php를 한 번 더 호출합니다. 그래서 “방문자가 없으면 크론이 늦는다”는 말을 자주 듣는데, 정작 누가 얼마나 늦게 띄우는지를 재본 적은 없었습니다. 이번에 이 서버의 접속 로그 33일치, 2,819,012줄을 전부…
서버에 fail2ban을 올려 둔 것은 2026년 4월 1일입니다. 설정 파일에는 “악성 User-Agent 봇 차단”, “취약점 스캔 차단”, “가짜 GoogleBot 차단” 같은 주석이 붙어 있었고, 저는 그동안 그 세 줄이 제 몫을 하고 있다고 믿었습니다. 오늘 상태를 처음으로 열어 봤습니다. 다섯 개 잼 가운데 웹을 지키는 세 개가 161일 동안 단 한 건도 잡지 않았습니다. 더…
어제 압축 설정을 고치느라 아파치 설정 파일을 열었다가, 그 김에 나머지 설정도 실제 응답과 하나씩 맞춰 봤습니다. 두 군데가 어긋나 있었습니다. 접속 로그는 모든 요청을 두 번 기록하고 있었고, 정적 파일에는 1년짜리 캐시가 걸려 있는데도 이미지 전송량의 36%가 재요청이었습니다. 설정 파일만 읽었을 때는 둘 다 정상으로 보입니다. 로그 쪽에는 “성능을 위한 로그 최적화”라는 주석까지 달려…
어제 이 블로그의 정적 파일을 재면서 두 가지를 찾았습니다. 업로드된 PNG 열 장이 압축되지 않은 채로 저장돼 있었고, 아파치가 타입을 가리지 않고 모든 응답을 gzip으로 누르고 있었습니다. 오늘 둘 다 고쳤습니다. 열 장은 12.7MB에서 2.6MB가 됐고, 이미지에 붙던 gzip은 사라졌습니다. 그리고 같은 주소들을 다시 재 봤더니, 실제 전송량은 2,540,730바이트에서 2,528,074바이트로 12,656바이트, 0.5% 줄었습니다. 파일에서 덜어낸…
브라우저가 글 한 편을 다 그리려면 파일 여러 개를 받아야 합니다. 이 블로그의 글 한 편은 그 파일이 23개, 압축을 풀었을 때 기준으로 5.8MB였습니다. 서버가 gzip으로 눌러 보낸 실제 전송량은 2.5MB였고, 줄어든 양은 3.2MB였습니다. 절반 넘게 줄었으니 압축이 잘 걸린 것처럼 보입니다. 그런데 3.2MB를 항목별로 갈라 보니 3.0MB, 그러니까 93%가 PNG 파일 세 장에서 나왔습니다….
워드프레스 글 한 편을 열면 데이터베이스에 몇 번이나 물어볼까요. 본문 한 번, 댓글 한 번 정도를 떠올리기 쉽지만 실제로는 그렇지 않았습니다. 이 블로그의 글 한 편을 여는 동안 나간 SQL 쿼리는 63개였습니다. 글 12편의 목록이 뜨는 홈 화면은 38개였습니다. 글 하나가 열두 편짜리 목록보다 데이터베이스를 더 많이 두드립니다. 쿼리마다 붙어 있는 호출 경로를 따라가서 63개가…
워드프레스가 무겁다는 말을 들으면 보통 플러그인을 의심합니다. 그러면 플러그인이 하나도 없는 사이트는 얼마나 가벼울까요. 이 블로그가 그 조건입니다. 활성 플러그인 0개, 테마는 Kadence 하나입니다. 글 한 편을 열 때 브라우저가 받는 파일을 전부 세어 봤습니다. HTML 하나에 CSS 8개, JS 5개, 인라인 스타일 6개였고, 압축 전 기준으로 520KB였습니다. 그리고 그 절반 가까이는 워드프레스도 테마도 아닌…
워드프레스는 설치만 하면 REST API가 켜집니다. 플러그인을 붙이지 않아도, 설정을 건드리지 않아도 그렇습니다. 그런데 이 API가 로그인하지 않은 사람에게 무엇까지 보여주는지는 대부분 확인하지 않고 넘어갑니다. 그래서 운영 중인 사이트에서 직접 세어 봤습니다. 라우트가 몇 개인지, 어떤 주소가 인증 없이 열리는지, 열리는 응답에 무엇이 들어 있는지입니다. 먼저 라우트 개수부터 REST API는 주소 하나가 아니라 여러 개의…