2ｃｈの動作報告はここで。パート19

**動け動けウゴウゴ２ちゃんねる** · NG

【まずhttp://www6.ocn.ne.jp/~mirv/accuse.htmを熟読してから】

２ｃｈの動作に関する質問、報告などはこちらにお願いします。

報告の際には、できるだけ詳しい情報をお願いします。
　　▽ 板、又はスレッドのURL
　　▽ プロバイダ名
　　▽ OS の種類・バージョン・SP
　　▽ ブラウザの種類・バージョン・SP
　　▽ PROXYの有無・HTTPヘッダの設定　　など

FAQは下記URLを参照
http://www6.ocn.ne.jp/~boyakkie/faq.html
2ch鯖勝手な監視所
http://users72.psychedance.com/
２ちゃんねるサーバ負荷監視所
http://ch2.ath.cx/load/
アクセス規制情報
http://qb5.2ch.net/sec2ch/
２ちゃんねるwiki
http://info.2ch.net/wiki/

前スレ
2ｃｈの動作報告はここで。パート18
http://qb5.2ch.net/test/read.cgi/operate/1131005961/

**動け動けウゴウゴ２ちゃんねる** · 2006/03/20(月) 16:43:34

>>453
鯖落ちスレのテンプレ読め
というか、まずは鯖落ちスレ行け

**動け動けウゴウゴ２ちゃんねる** · 2006/03/21(火) 19:43:48

即死問題はどうなったんでしょうか？

**動け動けウゴウゴ２ちゃんねる** · 2006/03/21(火) 21:01:37

神様、仏様、root▲ ★様
即死基準を元に戻してください。

**動け動けウゴウゴ２ちゃんねる** · 2006/03/21(火) 21:03:06

意図的に変えてるんだからここはスレ違いだと思います
さようなら

↑ · 2006/03/21(火) 22:27:06

野次馬には聞いていない
消えろ。

**動け動けウゴウゴ２ちゃんねる** · 2006/03/21(火) 22:56:11

日本語でおｋ

**動け動けウゴウゴ２ちゃんねる** · 2006/03/21(火) 22:56:35

>>451
テンプレ連投でバーボンにかかったらここにも入れなくなったのはそのせいか
sports2ね。

**動け動けウゴウゴ２ちゃんねる** · 2006/03/22(水) 20:38:22

ニー速調子わるいっす。
ヴィヘルミナカルメルなんたらのスレ全部壊れてます
http://ex13.2ch.net/neet4vip/

**動け動けウゴウゴ２ちゃんねる** · 2006/03/22(水) 20:43:32

全部じゃなかったっすすいません

**動け動けウゴウゴ２ちゃんねる** · 2006/03/22(水) 20:46:14

串使うと書き込めないのですか？

**動け動けウゴウゴ２ちゃんねる** · 2006/03/23(木) 23:17:18

で、即死は？

**動け動けウゴウゴ２ちゃんねる** · 2006/03/23(木) 23:56:00

神様、仏様、root▲ ★様
即死基準を元に戻してください。

**動け動けウゴウゴ２ちゃんねる** · 2006/03/24(金) 00:18:38

そうやって書けば書くほど放置されるってことに気づかないのか？
つうかわざとか。

**root▲ ★** · NG

即死判定ってどれをどういじるのか、きちんと知らなかったり。

**動け動けウゴウゴ２ちゃんねる** · 2006/03/24(金) 01:06:39

─- ､::::;;;;;;;;;｀ﾞﾞ''‐ ､　　 __,,,,......,,,,_／:::::::::/: !|　　　>>467 またまた　ご冗談を
　　. : : : : : : ｀ﾞ'ヽ､:::ﾞヾ´::::::::::::::::::::::｀ﾞﾞﾞ'''‐'､. l|
､､ . : : : : : : : : r'":::::::::::::::::::::::::,r':ぃ::::ヽ::::::::ヽ!　　　　　　　　　　　　　　　　　,､- ､
.ヽ:ﾞヽ; : : : : : :ノ:::::::::::::::::::::;;､-､､ﾞ::: 　　 rｰ-:'､　　　　　　　　　　　　　　／　　 }￢､
.　＼::ﾞ､: : : :./::::::::::::::;､-''"::::::::::　　　,...,:::,::.,　:::':､　　　　　　　　　　　　_,,/,,　 ,､.,/ 　 }
　　　ヽ:ヽ､ /:::::::::::::::::::::::::　　　_　　｀ﾞ''‐''"　 __,,',,,,___　　　　　　　／~　　ヾ::::ﾂ,､-/
　　　　｀ヽ､:::::::::;;;､､--‐‐'''''',,iﾆ-　　　 _|　　､-l､,},,　￣""'''￢-, '　 ''‐-､ .,ﾉ'ﾞ,i';;;;ﾂ
　　　_,,,､-‐l'''"´:::::::'　　,､-'" ,.X,_,,､-v'"''ﾞ''yr-ヽ / ﾞﾞ'ヽ､,　　　 ,.'　　　　 jﾞ,,, ´　7
,､-''"　　　.l:::::::::::;､-''"　 ,.-'　　ﾞ､""ヾ'r-;;:l　　冫、　　ヽ､ /　　 __,,.ノ:::::ヽ. /
　　　　　　　l;､-'ﾞ:　　 ,／　　　　ゞ=‐'"~ﾞﾞ')　./.　＼　　　　/　　'''"/::::;:::;r-''‐ヽ
　　　　　,､‐ﾞヽ:::::..,.r'ﾞ　　　　　　　　 ,,. ,r／ ./　　　ヽ.　　 ,'　　　 '､ノ''"　　　ﾉ

**動け動けウゴウゴ２ちゃんねる** · 2006/03/24(金) 01:46:12

tmp6で異常発生、負荷も上がってます

**root▲ ★** · NG

>>469
$ uptime
8:46AM up 50 days, 14:46, 1 user, load averages: 25.52, 27.79, 26.26

どうしたんだべ。

**root▲ ★** · NG

bbs.cgi 叩かれまくりか。

**root▲ ★** · NG

http://tmp6.2ch.net/test/read.cgi/download/1138682667/

このスレにすごい勢いで投稿が。

**動け動けウゴウゴ２ちゃんねる** · 2006/03/24(金) 01:56:36

新手のウィルス？
投稿内容の意図が全然見えない

**root▲ ★** · NG

なんか、ウイルスかな。

とりあえずここまで激しいと、バーボンにかかる予感も。

**動け動けウゴウゴ２ちゃんねる** · 2006/03/24(金) 01:57:40

ニュー速のイオナズンの方が速いな

**root▲ ★** · NG

ぴったり1時からか。
ウイルスかも。

http://ch2.ath.cx/load/tmp6.html

**動け動けウゴウゴ２ちゃんねる** · 2006/03/24(金) 02:01:10

　　　　　　ぐったり
　　　　　　　　　＿＿＿〆⌒つ＿＿＿　　　　
　　　　　　　／　　　 ∧∧／　　　／:||　　
　　　　　　／＿＿⊂(-д-,,)⊃＿／／||
　　　　　 || ２ちゃんの中の人||／　:::::||
　　　　　 ||￣￣￣￣￣￣￣￣||::::::::::::||
　　　　　 || 　　　　　　　　　 ||　　

　　　　　　　　　　　だら～ん　
　　　　　　　　＿＿＿＿＿＿＿＿＿_
　　　　　　.／　　　／　／　　／.||
　　　　　　／　　　／　／　　／／||
　　　　　 ||￣￣￣| |　| |￣￣￣||／::::||
　　　　　 || ￣￣ (-~- '' ) ￣￣ || ::::::::||
　　　　　 ||　　　　 ∨~∨　　　　.||　

**root▲ ★** · NG

一斉に数十箇所からってかんじみたい。

**root▲ ★** · NG

続々とバーボン入りか。
http://qb6.2ch.net/_403/c403.cgi

とりあえず、今は様子を見たほうがよさげ。

**動け動けウゴウゴ２ちゃんねる** · 2006/03/24(金) 02:11:32

ウィルスだとして、Rockは意味なさそうだし、bbs.cgi止めっぱなしってわけにも。
fusianasanしないから誰かが動かないと焼きもできないし。

これがその前スレかな。
【winny】ラジオ番組総合スレ 14KHz 【Share】
http://tmp6.2ch.net/test/read.cgi/download/1137953730/

>>475
鯖のキャパが違うからなぁ。
雪だるまでは平気でもbananaではひとたまりもないこともしばしば。

**root▲ ★** · NG

ううむ。

2xx 3xx 4xx 5xx URL
279 0 0 0*/test/bbs.cgi
179 151 0 0 /download/subject.txt
156 152 0 0 /download/SETTING.TXT
14 1 0 0 /download/dat/1143132060.dat
9 0 0 0 /mog2/subject.txt
6 0 0 0 /download/dat/1142418021.dat
5 0 0 0 /download/dat/1142954068.dat
5 3 0 0 /download/dat/1143107622.dat
4 0 0 0 /download/dat/1143112573.dat
4 0 0 0 /test/read.cgi/download/1138789268/
4 0 0 0 /download/dat/1138682667.dat
3 0 0 0 /download/dat/1142766486.dat
3 0 0 0 /download/dat/1143040813.dat

**root▲ ★** · NG

たぶん、一番上のスレとかをめがけて来るんじゃないかなと。(直感)

**root▲ ★** · NG

subject.txt 拾っているのと、SETTING.TXT 拾っていることからも、
それがうかがえますね。

**root▲ ★** · NG

とりあえず緊急に、BBS_BE_TYPE2=checked にしてみた。< download
でも、叩かれるのは直らない予感。

**root▲ ★** · NG

しばらく様子見。

負荷が変わらなければ、>>484 は意味がないんで、戻すかんじで。

**root▲ ★** · NG

だめすね。

bbs.cgi を起動される前に何とかしないと。
元に戻します。

◆Reffiz2Zh. · 2006/03/24(金) 02:20:05

バーボン見ると国内からがたい半ですねぇ
これは時限発動式のウィルスかも

**root▲ ★** · NG

運営系・質雑スレの人が馴れ合うスレ Part110
http://tmp6.2ch.net/test/read.cgi/mog2/1142258384/796-797

なるほど、重くはないのか。
SpeedyCGIでよかったってかんじ。

**root▲ ★** · NG

>>487
そんな気がしますね。

**ｒｅｆｆｉ@報告人 ★** · 2006/03/24(金) 02:22:13

緊急事態なので帽子を被ります。
投稿した文字列を見て気がついたのですがこれってwinnyとかで検索しようとしている
文字列をひたすら投稿するプログラムになっているかも

**root▲ ★** · NG

幸いにもスワップが起こりまくる感じではないし、
サーバが機能しなくなるほどではなさそう。

で、たんたんとバーボン行きになっていると。

**root▲ ★** · NG

>>490
なるほど、新手のウイルスですか。

**ｒｅｆｆｉ@報告人 ★** · 2006/03/24(金) 02:26:16

>490
winny検索文字列を投稿してると判断した決定的な証拠はにハッシュをそのまんま
投稿していることです。

**動け動けウゴウゴ２ちゃんねる** · 2006/03/24(金) 02:26:44

爆撃跡のあるスレタイ見ても共通点はさっぱり。
適当に上or下から爆撃してるわけでもないし、新しいor古いスレからってわけでもない。

投稿内容はこれでビンゴだろうけど、これだけわかっても意味なす。
＞ユーザー名・Download.txt・検索単語をランダムっぽいで（´・ω・）ｽﾈ

**root▲ ★** · NG

この1時間でtmp6で1000回以上bbs.cgiを起動したIPアドレスは、
とりあえず焼き依頼します。

こちらで。

■ウィルス爆撃相談所＆焼き処【RockBBQ】
http://qb5.2ch.net/test/read.cgi/sec2chd/1140878994/

**root▲ ★** · NG

しかし、いたちかも。
しかもこの頻度だと「起動されること」自体がいまいちなわけで。

しかも新種のウイルスだとすると、今後広まる可能性が大きいし。

**root▲ ★** · NG

あとは、観察かな。

とりあえずサーバが完全につぶれるほどではないわけで。

**動け動けウゴウゴ２ちゃんねる** · 2006/03/24(金) 02:51:28

http://tmp6.2ch.net/test/read.cgi/download/1143095397/l50
このスレに前々からexeクリックする度に投稿すると予想されてる物とは別物？

**root▲ ★** · NG

試してみたところでは効果ありそうなので、

■ウィルス爆撃相談所＆焼き処【RockBBQ】
http://qb5.2ch.net/test/read.cgi/sec2chd/1140878994/764

のアドレスは、緊急にdenyします。

**root▲ ★** · NG

deny しました。
LA 下がってきた模様。< tmp6

**動け動けウゴウゴ２ちゃんねる** · 2006/03/24(金) 02:58:41

>>498
空の軌跡SCまだぁ～とは別。挙動が全然違う。
ウィルス自体の解析はダウソに該当スレがあるのでそっちで。

**root▲ ★** · NG

完全にシャットアウトすると、たぶん対策もできなくなる気がするので、
事態が大きく変化するまでは、緊急対応はまずはここまでということで。

**動け動けウゴウゴ２ちゃんねる** · 2006/03/24(金) 03:00:31

ふむ

**root▲ ★** · NG

現状までのまとめ:

1) ２ちゃんねるのダウンロード板に向けて高頻度の投稿(というかbbs.cgiの起動)
を行う、新種のウイルスが現れた模様
2) このウイルスは、subject.txt や SETTING.TXT を(も?)、強烈に触る模様
3) 感染すると、Winny の検索文字列? を、ダウンロード板の特定のスレッドに投稿し続ける模様
4) 新種のウイルスは、2006年3月24日 1:00 JST に、一斉に発動しだした模様
5) 既に数十台のPCに感染している模様

結果、tmp6 サーバは LA=20 超えがずっと続く高負荷な状態に。
緊急に bbs.cgi を叩きまくっている IP アドレスをdenyし、高負荷な状態は脱した。

しかし、今後については予断を許さない状況。

**動け動けウゴウゴ２ちゃんねる** · 2006/03/24(金) 03:14:03

>>504
ところでお前いつ寝てるの?

**root▲ ★** · NG

>>505
機能は狭い機内で爆睡してました。
今日はもう寝る予定で。ぐーぐー。

**root▲ ★** · NG

機能 => 昨日

**動け動けウゴウゴ２ちゃんねる** · 2006/03/24(金) 03:35:26

rootﾀｿいつも遅くまでありがとうね(´；ω；｀)

**root▲ ★** · NG

で、今後の対応をすすめる際のメモというか、情報共有をしておきます。

今後の対応の際にはいったん
.htaccess の該当箇所をはずすことになると思います。
(山田ウイルスの時と同じ)
ということでその旨がわかるように、.htaccess にコメントを書いておきます。

deny したアドレスからは、
あいかわらず subject.txt と SETTING.TXT への超高速アクセスが続いています。
deny して以降、 bbs.cgi の起動数は一段落し、高負荷状態はいったんおさまっています。

でもたぶん、全部の爆撃が止まったわけではないです。
小規模な爆撃はたぶん続いているんではないかなと。
とりあえず、今はあえて残しておきます(>>502)。

**root▲ ★** · NG

寝る前に、管理人と関係者に >>469- からの流れをメールしておこうと。

**root▲ ★** · NG

>>510 done.

**生姜焼き ★** · 2006/03/24(金) 05:04:10

お疲れ様です

今はこの辺ですかね

BenQ DW1650 DW1655系専用スレ part1
http://tmp6.2ch.net/test/read.cgi/download/1142808085/
【Winny】騎乗位動画part3【share】
http://tmp6.2ch.net/test/read.cgi/download/1139344805/

**生姜焼き ★** · 2006/03/24(金) 06:30:51

【winny】ｲﾝﾃﾞｨｰｽﾞ音源総合!!Part4【share】
http://tmp6.2ch.net/test/read.cgi/download/1139402525/

もうすぐ埋まるけどここもか

**生姜焼き ★** · 2006/03/24(金) 07:53:48

>>513
【winny】フェラ動画part5.1【イラマ・手コキ】
http://tmp6.2ch.net/test/read.cgi/download/1141389731/
ここへ移動

**動け動けウゴウゴ２ちゃんねる** · NG

>>514
そこ埋まりました
今ココっぽい

【ny】お笑いバラエティ動画総合Part16 【share】
http://tmp6.2ch.net/test/read.cgi/download/1139757423/

**動け動けウゴウゴ２ちゃんねる** · NG

ageｽﾏｿ

こっちも爆撃
【winny】　時代劇すれ　拾参　【 ('A`) 】
http://tmp6.2ch.net/test/read.cgi/download/1141996991/

**ひろゆき＠どうやら管理人 ★** · NG

いやぁ、なんかすごいっすねぇ。

**七宝焼 ★** · NG

今北産業
どうやらさんより遅れるとはorz

**root▲ ★** · 2006/03/24(金) 11:19:31

>>517
メールのとおりですね。

とりあえず32個ほど .htaccess で denyしてありますが、
もっと増える傾向の模様。

さて、どうすべきか。

**root▲ ★** · 2006/03/24(金) 11:21:29

tmp6 ログインしましたが、感染PCは増えているみたい(想定の範囲内だけど)。

**動け動けウゴウゴ２ちゃんねる** · 2006/03/24(金) 11:22:56

>>516
【】が共通してる爆撃対象？

● ◆ANGLERlqvM · NG

春休み＋週末で、一気に感染PCが増えそうですね。

**ｒｅｆｆｉ@報告人 ★** · 2006/03/24(金) 11:23:52

う～む、予想通りの展開ですか。。。。。
rockも不可能に近いのでバーボンを超厳しくするしか打つ手無しですね

**動け動けウゴウゴ２ちゃんねる** · NG

>>521
対象が分らない…
BenQ DW1650 DW1655系専用スレ part1
http://tmp6.2ch.net/test/read.cgi/download/1142808085/
ここは【】が無いしいｎｙやreも無い

**動け動けウゴウゴ２ちゃんねる** · 2006/03/24(金) 11:33:43

集中しているのだから条件があるっぽいけど、複合条件で中間を選ばれたら...
ブツを捕らえて解析しないと挙動は判明しないでしょうね。

**動け動けウゴウゴ２ちゃんねる** · 2006/03/24(金) 11:37:34

>>524
"part"が怪しいという説がありました

**動け動けウゴウゴ２ちゃんねる** · 2006/03/24(金) 11:39:07

BOT軍団だったら最悪ですね
山田オルタナティブみたいにネットワークを形成し、どこかからの指令で集中攻撃なんて・・・

**４７紙** ◆AIKOeeeEzw · 2006/03/24(金) 11:39:54

ひろゆきめっけ( ﾟдﾟ )

**動け動けウゴウゴ２ちゃんねる** · 2006/03/24(金) 11:40:02

ny もしくは ar って感じかな…？

**動け動けウゴウゴ２ちゃんねる** · 2006/03/24(金) 11:41:13

>>526
例外
【winny】　時代劇すれ　拾参　【 ('A`) 】
http://tmp6.2ch.net/test/read.cgi/download/1141996991/ ;

あと
【ｹﾂﾒﾄﾞ】winnyで拾えるアナル物 Part9【菊門】
http://tmp6.2ch.net/test/read.cgi/download/1138682667/l50
【ｹﾂﾒﾄﾞ】winnyで拾えるアナル物 Part9【菊門】
http://tmp6.2ch.net/test/read.cgi/download/1143133214/l50

同一でなのに上は埋められ、下はあらされていない。（1000に気づかずスクリプトが攻撃し続けてるのかもしれないが）

**root▲ ★** · 2006/03/24(金) 11:45:11

%uptime
6:44PM up 51 days, 43 mins, 1 user, load averages: 8.27, 6.10, 4.88

LA、上がってきましたね。< tmp6

**動け動けウゴウゴ２ちゃんねる** · NG

>>526 >>529
>>530
今までとは索敵が違うんだよな…
例えば
ID:HVetDKcR0は
【ny】お笑いバラエティ動画総合Part16 【share】
http://tmp6.2ch.net/test/read.cgi/download/1139757423/
と
BenQ DW1650 DW1655系専用スレ part1
http://tmp6.2ch.net/test/read.cgi/download/1142808085/
と
【winny】　時代劇すれ　拾参　【 ('A`) 】
http://tmp6.2ch.net/test/read.cgi/download/1141996991/
に爆撃してるけど、3つのスレタイに共通項が無い

**動け動けウゴウゴ２ちゃんねる** · 2006/03/24(金) 11:49:55

arでしょ。

**動け動けウゴウゴ２ちゃんねる** · 2006/03/24(金) 11:50:26

ｎ

**動け動けウゴウゴ２ちゃんねる** · 2006/03/24(金) 11:51:09

>>532
あえて共通というなら「ｎ」か。

**root▲ ★** · 2006/03/24(金) 11:51:17

ny と ar の両方かな。

**動け動けウゴウゴ２ちゃんねる** · 2006/03/24(金) 11:51:26

強いて言えば、"a"OR"A"だな

**動け動けウゴウゴ２ちゃんねる** · 2006/03/24(金) 11:51:56

変態紳士とえろげすれ1690
http://tmp6.2ch.net/test/read.cgi/download/1143155121/
このスレのID:YZxIXePP0はどうでしょ？

**動け動けウゴウゴ２ちゃんねる** · 2006/03/24(金) 11:53:03

そんなアバウトに爆撃対象絞るなら
一番上とか書き込みが新しいとことかでいい気がするが、、、

**root▲ ★** · 2006/03/24(金) 11:53:08

というかもはやどんな亜種が出ても、想定の範囲内かと。

◆AIKOeeeEzw · 2006/03/24(金) 11:53:44

どれも「ｎｙ」か「Part」がｽﾚﾀｲに入ってるけど
【】の入ってるスレが多いのを見ると
3つのキーワードのどれかがあると反応するんじゃ？

**動け動けウゴウゴ２ちゃんねる** · NG

>>535-537
となるともっと他ｽﾚに爆撃ありそうなもんですが…
現状は爆撃するスレがある程度固定してる

>>540
だすなｗ

**動け動けウゴウゴ２ちゃんねる** · 2006/03/24(金) 11:54:23

対象条件変えるなんて簡単にできるしね。

**動け動けウゴウゴ２ちゃんねる** · 2006/03/24(金) 11:55:14

>>538
他に変なのいないから、スクリプト荒しじゃないかな

**動け動けウゴウゴ２ちゃんねる** · 2006/03/24(金) 11:56:11

nyとかならいっぱいスレがあるのでスレの順位を含めた総合で判断しているかと思います
もしくは頭がいて命令を出しているんでしょかね

**(^-^)犬** ◆VET4349ZB. · NG

(w|i|n|y|W|I|N|Y)　　かなーと勝手に予想。

今回はやる事なさそうだから野次馬野次馬。

**root▲ ★** · NG

さて、どうするかですが、、、。

bbs.cgi を起動されたら負けなので、
起動される前に止めるしかないかんじですね。

単位時間あたりのCGI実行回数を制限するようなしくみを
httpd 的に入れるとか。

**動け動けウゴウゴ２ちゃんねる** · 2006/03/24(金) 12:03:40

放置でええやん。
潰れたほうがいい板なんだし。

**外野ｧｧﾝ** · 2006/03/24(金) 12:05:37

板はつぶれてもいいけどサーバはつぶれられると困るわけです

**動け動けウゴウゴ２ちゃんねる** · 2006/03/24(金) 12:05:38

Samba24:180

**stream** ◆PNstream2s · NG

ウイルスの書き込みってきちんと書き込み成功してるんですかね？
もしウイルスがきちんと作られてなかったら、bbs.cgiの起動回数のわりにバーボンに行きにくい。

今の書き込みバーボンって、書き込まれないとバーボンにならないし(BBSを使ってるから。)
読み込みバーボンはdatとかread.cgiを想定してるからbbs.cgi起動という観点としては閾値が高いし。

**動け動けウゴウゴ２ちゃんねる** · 2006/03/24(金) 12:12:09

>>549
困ったもんだな。

● ◆ANGLERlqvM · NG

> 単位時間あたりのCGI実行回数を制限するようなしくみを
> httpd 的に入れるとか。

そして、感染している事を分かるようなページを作って飛ばしちゃうとか。
とか、適当に言ってみるテスト。

2ｃｈの動作報告はここで。 パート19

2ｃｈの動作報告はここで。パート19