2ch特化型サーバ・ロケーション構築作戦 Part54

[1 動け動けウゴウゴ２ちゃんねる 2010/07/05(月) 14:34:10 ID:pIwOoE/t0]

2ch特化型サーバ・ロケーション構築作戦のスレッドです。

・２ちゃんねるのサーバロケーション、PIEに関する関連作業・調整事項
・DNS登録・変更関連の各種作業や調整事項
・２ちゃんねるのサーバで採用しているOS、FreeBSDに関する情報・調整事項
・各種作戦・プロジェクトとの連携、プロジェクト間の連携

等を取り扱います。

前スレ:2ch特化型サーバ・ロケーション構築作戦 Part53
http://qb5.2ch.net/test/read.cgi/operate/1277829326/

[423 未承諾広告※ ◆Rock54hC3G0C 2010/07/06(火) 22:08:22 ID:MfHiaUZg0]

yakitori
BBQもBBMもRock54も全部一緒にしちゃえー♪

[424 [´・ω・｀] EATcf-165p202.ppp15.odn.ne.jp 2010/07/06(火) 22:18:44 ID:VqLvRB/D0]

be.2ch.net対処されたみたい?
データベースパス漏れてたようだけど大丈夫なのかな?

[425 未承諾広告※ ◆Rock54hC3G0C 2010/07/06(火) 22:25:05 ID:MfHiaUZg0]

さてと、勇気を振り絞ってポチっとな。。。@Adobe CS2→CS5-DS

[426 動け動けウゴウゴ２ちゃんねる 2010/07/06(火) 22:26:09 ID:+eXqguKz0]

鶏の唐揚げ

[427 動け動けウゴウゴ２ちゃんねる 2010/07/06(火) 22:26:24 ID:PPuvuMe30]

鵺

[428 動け動けウゴウゴ２ちゃんねる 2010/07/06(火) 22:30:58 ID:bNLWIjqSP]

Be鯖、落としたの？

[429 未承諾広告※ ◆Rock54hC3G0C 2010/07/06(火) 22:31:19 ID:MfHiaUZg0]

の啼く夜は恐ろしい。。。

[430 動け動けウゴウゴ２ちゃんねる 2010/07/06(火) 22:34:20 ID:POJUHMUB0]

怪鳥

[431 動け動けウゴウゴ２ちゃんねる 2010/07/06(火) 22:34:55 ID:gY6//12V0]

どうなってんのよ

[432 ◆TIGOI/DrzHH9 2010/07/06(火) 22:47:39 ID:sRQCxFrrP]

また、センス悪い2次元曲好きでお馴染みのモペキチの仕業か

[433 [´・ω・｀] EATcf-165p106.ppp15.odn.ne.jp 2010/07/06(火) 23:07:42 ID:I2mKyTv00]

>>428
運営側がディレクトリをリネームしたんだと思ったが、その割には発表が無いのが気になる。
クラッカーがやったんじゃないかなぁ。

[434 動け動けウゴウゴ２ちゃんねる 2010/07/06(火) 23:13:46 ID:trhljLrM0]

BIG-server.com 七夕の願い事
1/5のサーバー台数で２ちゃんねる全体を動かす事に挑戦
http://www.maido3.com/server/news/20100706.html

[435 動け動けウゴウゴ２ちゃんねる 2010/07/06(火) 23:17:32 ID:bIwUrZyW0]

1月5日って鯖なんだいあったっけ？

[436 動け動けウゴウゴ２ちゃんねる 2010/07/06(火) 23:20:14 ID:fNqaE5fh0]

２２時ごろに変なピークがあるけど何だろう？

2ch合計
http://traffic.maido3.com/VLpv/rTU0/h1Od/

[437 [´・ω・｀] EATcf-27p11.ppp15.odn.ne.jp 2010/07/06(火) 23:21:52 ID:HhnzdpTw0]

>>436
be停止の辺りだな。
総当たりや辞書攻撃じゃなければ良いが。

[438 動け動けウゴウゴ２ちゃんねる 2010/07/06(火) 23:26:20 ID:oggpLAlF0]

個別グラフに影響出てるのはこの辺か
jfk　ttp://traffic.maido3.com/qafH/Xnom/bRiB/
anchorage　ttp://traffic.maido3.com/h8Ec/R74B/s6Ln/

[439 動け動けウゴウゴ２ちゃんねる 2010/07/06(火) 23:29:07 ID:rvC37xJZ0]

>>438
共にスイッチはXO-200-48-5
PIEでなにか作業でもしてたんじゃないかな

[440 [´・ω・｀] EATcf-27p11.ppp15.odn.ne.jp 2010/07/06(火) 23:29:10 ID:HhnzdpTw0]

beデータベースの2chpassabc的なパスワードを見て、他のところも辞書攻撃で行けるんじゃね? って思って攻撃した奴が居るに一票。

[441 動け動けウゴウゴ２ちゃんねる 2010/07/06(火) 23:31:31 ID:miNDTt7V0]

sagiがいい
「鷺」にも「詐欺」にも使える

[442 動け動けウゴウゴ２ちゃんねる 2010/07/06(火) 23:33:29 ID:adVcOAq60]

なんでこれだけ鳥の名前が出てて「クジャク」がないんだw

[443 [´・ω・｀].dy.bbexcite.jp 2010/07/06(火) 23:33:43 ID:efJR7SDw0]

>>438
Speedが100Mbpsなのに突破してますね
いつの間にか1Gbpsになってたか
それとも回線を完全に食い潰すほどの通信をして表示が狂ったか
はてさて

[444 動け動けウゴウゴ２ちゃんねる 2010/07/06(火) 23:34:09 ID:nd8e9PKJ0]

>>441
既に防犯・詐欺対策板の略称や削除議論板の俗称として使われてるから混乱の元になるようなのはやめてくれたまえ

[445 動け動けウゴウゴ２ちゃんねる 2010/07/06(火) 23:37:00 ID:miNDTt7V0]

>>444
混乱するならますます面白いｗ

[446 動け動けウゴウゴ２ちゃんねる 2010/07/06(火) 23:51:46 ID:cLJyjByi0]

シロサギを食らう　kurosagi　がいいかな？ｗ

[447 動け動けウゴウゴ２ちゃんねる 2010/07/06(火) 23:53:28 ID:07Or0bVL0]

>>440
おい

[448 動け動けウゴウゴ２ちゃんねる 2010/07/07(水) 00:00:14 ID:bIwUrZyW0]

sekirei
akashoubin

[449 動け動けウゴウゴ２ちゃんねる 2010/07/07(水) 00:07:36 ID:VubVViLF0]

kakko

[450 動け動けウゴウゴ２ちゃんねる 2010/07/07(水) 00:16:15 ID:m3bFA0uV0]

次の鯖名は「鳩（Pigeon）」じゃないのか？

[451 動け動けウゴウゴ２ちゃんねる 2010/07/07(水) 00:16:30 ID:YvOarTxL0]

hitagi
hototogisu
ニューイングランドソウゲンライチョウ
ハジロアカハラヤブモズ

[452 動け動けウゴウゴ２ちゃんねる 2010/07/07(水) 00:17:07 ID:cz09eBNq0]

ラーミア

[453 動け動けウゴウゴ２ちゃんねる 2010/07/07(水) 00:17:15 ID:YvOarTxL0]

u　鵜

[454 動け動けウゴウゴ２ちゃんねる 2010/07/07(水) 00:21:32 ID:NkNWW7D10]

u.2ch.net
これいいんじゃね

[455 動け動けウゴウゴ２ちゃんねる 2010/07/07(水) 00:23:43 ID:UFgagCwC0]

junishicho
shocho
mocho
kaicho
chokucho
dacho
hakutsuru
kamotsuru
tosaduru
tsuhage

[456 動け動けウゴウゴ２ちゃんねる 2010/07/07(水) 00:24:17 ID:FAA/2j5j0]

mockingbird モッキンバード・マネシツグミ・ものまね鳥
　hayabusaやkamomeのものまねさん♪

[457 動け動けウゴウゴ２ちゃんねる 2010/07/07(水) 00:42:23 ID:VEUNzIlDP]

jushimatsu
mofukucho
aum

[458 動け動けウゴウゴ２ちゃんねる 2010/07/07(水) 00:59:12 ID:yp/8vk0r0]

ubume 姑獲鳥（うぶめ）

[459 動け動けウゴウゴ２ちゃんねる 2010/07/07(水) 01:05:30 ID:Fs6tzuwY0]

カグー
ツノメドリ

[460 root▲▲ ★ 2010/07/07(水) 01:12:57 ID:???0]

きたく。

とりあえず、
Beサーバは各関係者が全力で対応中＆被害状況確認中ということで。

[461 動け動けウゴウゴ２ちゃんねる 2010/07/07(水) 01:15:15 ID:Bb5c32Yg0]

おつかれさまです

[462 動け動けウゴウゴ２ちゃんねる 2010/07/07(水) 01:16:37 ID:t2a/ov4l0]

損害賠償請求までやるんかいな

[463 [´・ω・｀] EATcf-57p159.ppp15.odn.ne.jp 2010/07/07(水) 01:17:14 ID:aBCzKl1E0]

取りあえずchkrootkit置いときますね。
http://www.chkrootkit.org/

[464 動け動けウゴウゴ２ちゃんねる 2010/07/07(水) 01:24:09 ID:HDSXLm270]

>>460
全力対応って具体的にどういう状態？
ひろゆきとサザンに連絡取ってるの？

[465 動け動けウゴウゴ２ちゃんねる 2010/07/07(水) 01:25:57 ID:Qup10fJX0]

さくらに連絡してサーバ止めるってことは出来ないのかね？

[466 [´・ω・｀] EATcf-160p206.ppp15.odn.ne.jp 2010/07/07(水) 01:29:31 ID:DdaZmXNe0]

パスワードが漏れてなきゃ良いけどなぁ。個人的にはそれだけが心配。

[467 動け動けウゴウゴ２ちゃんねる 2010/07/07(水) 01:33:16 ID:moG0cg/F0]

この機会だから、ひろゆき直轄サーバを廃止した方がいいと思う。

[468 動け動けウゴウゴ２ちゃんねる 2010/07/07(水) 01:35:37 ID:ycif8o6N0]

乙です

[469 動け動けウゴウゴ２ちゃんねる 2010/07/07(水) 01:38:04 ID:HDSXLm270]

>>466
とりあえずMySQLのパスとかが漏れたのは確実

[470 動け動けウゴウゴ２ちゃんねる 2010/07/07(水) 01:39:54 ID:/niVQuB10]

きちんとメンテナンスされて無い鯖はな・・・。

[471 動け動けウゴウゴ２ちゃんねる 2010/07/07(水) 01:43:29 ID:pSY3MC8g0]

きじ
うずら
う
うみねこ
やんばるくいな
やませみ
あかげら
かっこう
ちゃぼ
しちめんちょう

[472 未承諾広告※ ◆Rock54hC3G0C 2010/07/07(水) 01:43:50 ID:U2BWfWRb0]

DB_Fileで困り中。。。@hack72.2ch.net
http://qb5.2ch.net/test/read.cgi/operate/1268473561/201-202

[473 [´・ω・｀] EATcf-160p206.ppp15.odn.ne.jp 2010/07/07(水) 01:46:30 ID:DdaZmXNe0]

>>469
MySQLのパスが漏れても、外部から接続不可なら問題ない。が、アクセスできた臭いなぁ。
今はbeデータベースにはアクセスできなくなっているようだけど。

[474 動け動けウゴウゴ２ちゃんねる 2010/07/07(水) 01:53:05 ID:HDSXLm270]

>>473
できなくてもbe鯖に侵入できるからそこの上でやられたら一緒なきがする
それとももう全体から切断されたの？

[475 [´・ω・｀] EATcf-160p206.ppp15.odn.ne.jp 2010/07/07(水) 02:06:24 ID:DdaZmXNe0]

>>474
webminの脆弱性はあくまで読めるようになるだけ。
まぁMD5でハッシュ化された鯖パスワードは漏れてるらしいし(未確認)、それを割るのもレインボーテーブルとか使えば簡単だろうけども(未確認)。

[476 [´・ω・｀] EATcf-160p206.ppp15.odn.ne.jp 2010/07/07(水) 02:09:30 ID:DdaZmXNe0]

他のソフトウェアも更新されてなく脆弱性が多いだろうことを考えれば、beユーザのパスワードが漏れてない確率の方が低いか。

[477 動け動けウゴウゴ２ちゃんねる 2010/07/07(水) 02:10:32 ID:HDSXLm270]

>>475
実際この状態だとrootパスが漏れてるとして問題ないでしょ
被害でているわけだし

[478 root▲▲ ★ 2010/07/07(水) 02:11:42 ID:???0]

ちなみに今現在既にわかっている被害状況（実害）って、
何があるのかしら。

[479 動け動けウゴウゴ２ちゃんねる 2010/07/07(水) 02:14:10 ID:JhMIl2KRP]

株やbeポイントがリセットされてる?

[480 動け動けウゴウゴ２ちゃんねる 2010/07/07(水) 02:14:38 ID:HDSXLm270]

>>478
・全ファイルが世界中から読み放題、マスターパスワードのMD5暗号化されたrootパスも読める
・もちろんMySQLパスは漏れた
・誰かがMD5ハッシュを突破してログイン、PHPとHTMLファイルを削除
・MySQLも被害を受けている可能性あり

[481 動け動けウゴウゴ２ちゃんねる 2010/07/07(水) 02:14:53 ID:2SB8nysb0]

ポイントを書き換えたやつがいるっぽい（ニュー速
3000000ポイントとかになってたり

[482 動け動けウゴウゴ２ちゃんねる 2010/07/07(水) 02:15:08 ID:JhMIl2KRP]

あと株ガチャ等のphpが削除されてます

[483 動け動けウゴウゴ２ちゃんねる 2010/07/07(水) 02:16:04 ID:JhMIl2KRP]

>>481
その人は元々3000000ポイントの人です

[484 動け動けウゴウゴ２ちゃんねる 2010/07/07(水) 02:16:16 ID:4CAqNmZx0]

>>478
be鯖に接続できない
be表示で２ｃｈに書き込みができない
beを使う系の板が全ストップ

[485 動け動けウゴウゴ２ちゃんねる 2010/07/07(水) 02:16:29 ID:HDSXLm270]

あ、ログイン用PHPが死んだのでbeにログインできない状態
ν速のスレタテ、面ν、朝生などへの書き込みができません

[486 動け動けウゴウゴ２ちゃんねる 2010/07/07(水) 02:18:49 ID:2SB8nysb0]

>>483
ろぐみてきた
まちがえたすまんこ

[487 動け動けウゴウゴ２ちゃんねる 2010/07/07(水) 02:19:07 ID:HDSXLm270]

rootタンは今どういう状態？
まだbe鯖へログインできてないみたいだけど

[488 動け動けウゴウゴ２ちゃんねる 2010/07/07(水) 02:20:47 ID:Bb5c32Yg0]

BE_TYPE2使ってるところはきついな

[489 root▲▲ ★ 2010/07/07(水) 02:24:09 ID:???0]

1) be.2ch.netで動いていたWebminに脆弱性があり、
ディレクトリトラバーサルができる状態だった

というのが、まず確実にあった話ですね。

で、

2) 1) により、be.2ch.net 内の全ファイルが見られる状態になっていた

3) 2) により、MySQLのアカウント情報も見られる状態だったので、
DBの中身をいじられる状態だった

ここまで確実と。

[490 動け動けウゴウゴ２ちゃんねる 2010/07/07(水) 02:26:40 ID:HDSXLm270]

>>489
3)　はSQL鯖が全体からの接続を許可していたら、という条件でですね
その可能性が高いのですが

[491 動け動けウゴウゴ２ちゃんねる 2010/07/07(水) 02:30:42 ID:HDSXLm270]

それよりもほとんどのphpが404な状況からパスがわかって
外部から侵入された可能性の方が高いかと。
SQLも誰かが違法に覗いてみればどういう状態かわかることですが

[492 root▲▲ ★ 2010/07/07(水) 02:31:21 ID:???0]

で、

>>480
> ・誰かがMD5ハッシュを突破してログイン、PHPとHTMLファイルを削除
>>482
> あと株ガチャ等のphpが削除されてます

が起こったかどうかで、だいぶ違いますね。

つまり、このサーバに実際にログインできたやつがいたのか、
ということになります。

とりあえず、表(普通にsshなどで入る)からログインできた、
つまり普通に /etc/passwd にあるアカウントを突破された形跡は、
私が今見た範囲では、どうやら、なさそうです。

他の脆弱性突かれてバックドアをしかけられた、とか、
ログインの履歴も含めて巧妙に消されたとか、
そういう可能性がまったくない、とは言えないですが、
普通にログインした履歴は残っているので、
この可能性(普通にログインされた)は、とりあえず薄いだろうと見ています。

[493 root▲▲ ★ 2010/07/07(水) 02:32:47 ID:???0]

>>491
そういうの(他の脆弱性を突かれて普通のログインではない方法で、
権限をとられた)、というのは、むろん、ありえますね。

[494 動け動けウゴウゴ２ちゃんねる 2010/07/07(水) 02:33:43 ID:WFmRQ4g1P]

たぶんきっと「普通にログインした履歴は残っていない」のミス

[495 root▲▲ ★ 2010/07/07(水) 02:34:22 ID:???0]

>>494
そですね。

[496 動け動けウゴウゴ２ちゃんねる 2010/07/07(水) 02:34:30 ID:XGgAGkje0]

え、結局まだ原因不明なの？

[497 動け動けウゴウゴ２ちゃんねる 2010/07/07(水) 02:34:39 ID:HDSXLm270]

>>492
まっとうなログインはなかったと
でもファイルはそこからきえてるんですよね？

あと先に10000ポート閉じるのが先では？

[498 △ ◆garnetGnNk ＠garnet ★ 2010/07/07(水) 02:36:42 ID:???0]

あらあらまぁまぁ。

[499 [´・ω・｀] EATcf-160p206.ppp15.odn.ne.jp 2010/07/07(水) 02:37:59 ID:DdaZmXNe0]

>>492
ログイン履歴の削除は簡単な予感。デーモン送り込んで起動させて、ログアウト後にログイン履歴を削除させて、自己消滅させれば良いだけ。

[500 root▲▲ ★ 2010/07/07(水) 02:38:11 ID:???0]

>>496
原因は >>489 の 1) でほぼ確定かと。

>>497
私はbeサーバのrootパスワードを持っていません。

というかrootではないユーザでのログインも、数時間前にしたばかり。

[501 動け動けウゴウゴ２ちゃんねる 2010/07/07(水) 02:38:23 ID:NdqHUVzn0]

これからはBEやモリタポはすべて書面申請にして
サーバ上には一切データをのせないようにすべきだな

[502 root▲▲ ★ 2010/07/07(水) 02:39:05 ID:???0]

>>499
そこまで(= デーモン送り込んで起動させて)できてしまってたら、
もう何されてもわかんないですね。

[503 動け動けウゴウゴ２ちゃんねる 2010/07/07(水) 02:39:53 ID:HDSXLm270]

>>500
じゃあこのまま対策せずに脆弱性は放置ですか・・・

[504 動け動けウゴウゴ２ちゃんねる 2010/07/07(水) 02:40:40 ID:IqWNbq8O0]

beサーバーを物理的に電源引っこ抜いて停止させるのは・・・ダメか

[505 動け動けウゴウゴ２ちゃんねる 2010/07/07(水) 02:41:02 ID:OzHD7+/j0]

負の遺産も大量に残してるなぁ、元管理人は

[506 動け動けウゴウゴ２ちゃんねる 2010/07/07(水) 02:41:18 ID:HDSXLm270]

まあ不正ログインでphp削除までする奴なら十分有り得る気がしないでもない

SQLの法の確認はできませんか？

[507 動け動けウゴウゴ２ちゃんねる 2010/07/07(水) 02:42:02 ID:HDSXLm270]

>>504
さくらのレンタル鯖だからな
SQLが無事ならいいけど・・・

[508 未承諾広告※ ◆Rock54hC3G0C 2010/07/07(水) 02:47:42 ID:U2BWfWRb0]

webmin ならアクセスログがあると思うけれども、、、
/var/log/webmin/miniserv.log みたいな。
0600 root bin ... な属性なので、最終書き込み時刻ぐらいは判るかな。

[509 root▲▲ ★ 2010/07/07(水) 02:48:41 ID:???0]

>>498
本業忙しいのに、いろいろおつです。
とりあえず今できる範囲のことは概ね為した、
というかんじなんでしょうか。

>>503
たぶん、サーバごとあれする方向性なんじゃないかなと。

>>506
MySQL方面は、できる人たちができることを既に(やっている|やった)模様です。

[510 動け動けウゴウゴ２ちゃんねる 2010/07/07(水) 02:50:46 ID:IQTfe34w0]

ディレクトリトラバーサル じゃ、ファイルとか削除できてるの答えになってないような。

[511 動け動けウゴウゴ２ちゃんねる 2010/07/07(水) 02:51:08 ID:HDSXLm270]

>>509
ならばbeは廃止確定ですね
be系とν速系はどうなるのか・・・

＞MySQL方面は、できる人たちができることを既に(やっている|やった)模様です。
それは全部消されたりとかはしてないってことなのかな・・・
多少のポイント改ざん程度かな

[512 動け動けウゴウゴ２ちゃんねる 2010/07/07(水) 02:52:48 ID:HDSXLm270]

>>510
その脆弱性でパスのMD5を見つけてそこからパス出してログインか、他の脆弱性を使ったか

[513 動け動けウゴウゴ２ちゃんねる 2010/07/07(水) 02:53:39 ID:OzHD7+/j0]

be系は特色なくなるけどbe関係をすべてはずしてしまえばとりあえず
で、ν速がまた糞スレで埋まるのも一興

[514 root▲▲ ★ 2010/07/07(水) 02:55:51 ID:???0]

>>511
202.222.31.214 という IP アドレスが現在ついているサーバをどうするかということと、
be.2ch.netという名前のサーバを今後どうするか、
Beという機能を今後どうするかということは、
全く別の問題かと。

[515 △ ◆garnetGnNk ＠garnet ★ 2010/07/07(水) 02:56:29 ID:???0]

＞509
うひょ。
実際どこまで被害がでているかはわからないですが、
想像できる範囲で対処と調査を(したと&&すると)。
で、beサーバはまるごとあれする方向で。

[516 動け動けウゴウゴ２ちゃんねる 2010/07/07(水) 02:57:39 ID:lAyrT1vD0]

まあ今日は遅いから寝た方がいい

[517 動け動けウゴウゴ２ちゃんねる 2010/07/07(水) 02:57:59 ID:HDSXLm270]

ああ別鯖でやる可能性もありますか・・・

[518 root▲▲ ★ 2010/07/07(水) 02:59:47 ID:???0]

>>516
私まだ、リモートログインして本業(今日昼が〆切)やってたりして。
(だいぶ片付いたから、たぶんあと1時間しないで終わるだろうけど)

[519 動け動けウゴウゴ２ちゃんねる 2010/07/07(水) 03:00:18 ID:IQTfe34w0]

侵入・改ざんが無いなら別サーバーで元通りにするのが一番だからな。

[520 動け動けウゴウゴ２ちゃんねる 2010/07/07(水) 03:01:16 ID:HDSXLm270]

とりあえずν速とかBe系の板はどうします？
とりあえず明日までは放置？

[521 動け動けウゴウゴ２ちゃんねる 2010/07/07(水) 03:01:30 ID:LaEYuujc0]

警察にトゥーホーしないんすか

[522 動け動けウゴウゴ２ちゃんねる 2010/07/07(水) 03:02:59 ID:Bb5c32Yg0]

嫌儲でテストしてみてニュー速で実行っていうのはどうでしょ