2ch特化型サーバ・ロケーション構築作戦 Part54

**動け動けウゴウゴ２ちゃんねる** · 2010/07/05(月) 14:34:10

2ch特化型サーバ・ロケーション構築作戦のスレッドです。

・２ちゃんねるのサーバロケーション、PIEに関する関連作業・調整事項
・DNS登録・変更関連の各種作業や調整事項
・２ちゃんねるのサーバで採用しているOS、FreeBSDに関する情報・調整事項
・各種作戦・プロジェクトとの連携、プロジェクト間の連携

等を取り扱います。

前スレ:2ch特化型サーバ・ロケーション構築作戦 Part53
http://qb5.2ch.net/test/read.cgi/operate/1277829326/

[´・ω・｀] EATcf-165p106.ppp15.odn.ne.jp · 2010/07/06(火) 23:07:42

>>428
運営側がディレクトリをリネームしたんだと思ったが、その割には発表が無いのが気になる。
クラッカーがやったんじゃないかなぁ。

**動け動けウゴウゴ２ちゃんねる** · 2010/07/06(火) 23:13:46

BIG-server.com 七夕の願い事
1/5のサーバー台数で２ちゃんねる全体を動かす事に挑戦
http://www.maido3.com/server/news/20100706.html

**動け動けウゴウゴ２ちゃんねる** · 2010/07/06(火) 23:17:32

1月5日って鯖なんだいあったっけ？

**動け動けウゴウゴ２ちゃんねる** · 2010/07/06(火) 23:20:14

２２時ごろに変なピークがあるけど何だろう？

2ch合計
http://traffic.maido3.com/VLpv/rTU0/h1Od/

[´・ω・｀] EATcf-27p11.ppp15.odn.ne.jp · 2010/07/06(火) 23:21:52

>>436
be停止の辺りだな。
総当たりや辞書攻撃じゃなければ良いが。

**動け動けウゴウゴ２ちゃんねる** · 2010/07/06(火) 23:26:20

個別グラフに影響出てるのはこの辺か
jfk　ttp://traffic.maido3.com/qafH/Xnom/bRiB/
anchorage　ttp://traffic.maido3.com/h8Ec/R74B/s6Ln/

**動け動けウゴウゴ２ちゃんねる** · 2010/07/06(火) 23:29:07

>>438
共にスイッチはXO-200-48-5
PIEでなにか作業でもしてたんじゃないかな

[´・ω・｀] EATcf-27p11.ppp15.odn.ne.jp · 2010/07/06(火) 23:29:10

beデータベースの2chpassabc的なパスワードを見て、他のところも辞書攻撃で行けるんじゃね? って思って攻撃した奴が居るに一票。

**動け動けウゴウゴ２ちゃんねる** · 2010/07/06(火) 23:31:31

sagiがいい
「鷺」にも「詐欺」にも使える

**動け動けウゴウゴ２ちゃんねる** · 2010/07/06(火) 23:33:29

なんでこれだけ鳥の名前が出てて「クジャク」がないんだw

[´・ω・｀] 126.26.138.58.dy.bbexcite.jp · 2010/07/06(火) 23:33:43

>>438
Speedが100Mbpsなのに突破してますね
いつの間にか1Gbpsになってたか
それとも回線を完全に食い潰すほどの通信をして表示が狂ったか
はてさて

**動け動けウゴウゴ２ちゃんねる** · 2010/07/06(火) 23:34:09

>>441
既に防犯・詐欺対策板の略称や削除議論板の俗称として使われてるから混乱の元になるようなのはやめてくれたまえ

**動け動けウゴウゴ２ちゃんねる** · 2010/07/06(火) 23:37:00

>>444
混乱するならますます面白いｗ

**動け動けウゴウゴ２ちゃんねる** · 2010/07/06(火) 23:51:46

シロサギを食らう　kurosagi　がいいかな？ｗ

**動け動けウゴウゴ２ちゃんねる** · 2010/07/06(火) 23:53:28

>>440
おい

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 00:00:14

sekirei
akashoubin

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 00:07:36

kakko

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 00:16:15

次の鯖名は「鳩（Pigeon）」じゃないのか？

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 00:16:30

hitagi
hototogisu
ニューイングランドソウゲンライチョウ
ハジロアカハラヤブモズ

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 00:17:07

ラーミア

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 00:17:15

u　鵜

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 00:21:32

u.2ch.net
これいいんじゃね

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 00:23:43

junishicho
shocho
mocho
kaicho
chokucho
dacho
hakutsuru
kamotsuru
tosaduru
tsuhage

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 00:24:17

mockingbird モッキンバード・マネシツグミ・ものまね鳥
　hayabusaやkamomeのものまねさん♪

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 00:42:23

jushimatsu
mofukucho
aum

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 00:59:12

ubume 姑獲鳥（うぶめ）

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 01:05:30

カグー
ツノメドリ

**root▲▲ ★** · 2010/07/07(水) 01:12:57

きたく。

とりあえず、
Beサーバは各関係者が全力で対応中＆被害状況確認中ということで。

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 01:15:15

おつかれさまです

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 01:16:37

損害賠償請求までやるんかいな

[´・ω・｀] EATcf-57p159.ppp15.odn.ne.jp · 2010/07/07(水) 01:17:14

取りあえずchkrootkit置いときますね。
http://www.chkrootkit.org/

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 01:24:09

>>460
全力対応って具体的にどういう状態？
ひろゆきとサザンに連絡取ってるの？

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 01:25:57

さくらに連絡してサーバ止めるってことは出来ないのかね？

[´・ω・｀] EATcf-160p206.ppp15.odn.ne.jp · 2010/07/07(水) 01:29:31

パスワードが漏れてなきゃ良いけどなぁ。個人的にはそれだけが心配。

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 01:33:16

この機会だから、ひろゆき直轄サーバを廃止した方がいいと思う。

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 01:35:37

乙です

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 01:38:04

>>466
とりあえずMySQLのパスとかが漏れたのは確実

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 01:39:54

きちんとメンテナンスされて無い鯖はな・・・。

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 01:43:29

きじ
うずら
う
うみねこ
やんばるくいな
やませみ
あかげら
かっこう
ちゃぼ
しちめんちょう

**未承諾広告※** ◆Rock54hC3G0C · 2010/07/07(水) 01:43:50

DB_Fileで困り中。。。@hack72.2ch.net
http://qb5.2ch.net/test/read.cgi/operate/1268473561/201-202

[´・ω・｀] EATcf-160p206.ppp15.odn.ne.jp · 2010/07/07(水) 01:46:30

>>469
MySQLのパスが漏れても、外部から接続不可なら問題ない。が、アクセスできた臭いなぁ。
今はbeデータベースにはアクセスできなくなっているようだけど。

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 01:53:05

>>473
できなくてもbe鯖に侵入できるからそこの上でやられたら一緒なきがする
それとももう全体から切断されたの？

[´・ω・｀] EATcf-160p206.ppp15.odn.ne.jp · 2010/07/07(水) 02:06:24

>>474
webminの脆弱性はあくまで読めるようになるだけ。
まぁMD5でハッシュ化された鯖パスワードは漏れてるらしいし(未確認)、それを割るのもレインボーテーブルとか使えば簡単だろうけども(未確認)。

[´・ω・｀] EATcf-160p206.ppp15.odn.ne.jp · 2010/07/07(水) 02:09:30

他のソフトウェアも更新されてなく脆弱性が多いだろうことを考えれば、beユーザのパスワードが漏れてない確率の方が低いか。

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 02:10:32

>>475
実際この状態だとrootパスが漏れてるとして問題ないでしょ
被害でているわけだし

**root▲▲ ★** · 2010/07/07(水) 02:11:42

ちなみに今現在既にわかっている被害状況（実害）って、
何があるのかしら。

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 02:14:10

株やbeポイントがリセットされてる?

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 02:14:38

>>478
・全ファイルが世界中から読み放題、マスターパスワードのMD5暗号化されたrootパスも読める
・もちろんMySQLパスは漏れた
・誰かがMD5ハッシュを突破してログイン、PHPとHTMLファイルを削除
・MySQLも被害を受けている可能性あり

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 02:14:53

ポイントを書き換えたやつがいるっぽい（ニュー速
3000000ポイントとかになってたり

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 02:15:08

あと株ガチャ等のphpが削除されてます

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 02:16:04

>>481
その人は元々3000000ポイントの人です

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 02:16:16

>>478
be鯖に接続できない
be表示で２ｃｈに書き込みができない
beを使う系の板が全ストップ

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 02:16:29

あ、ログイン用PHPが死んだのでbeにログインできない状態
ν速のスレタテ、面ν、朝生などへの書き込みができません

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 02:18:49

>>483
ろぐみてきた
まちがえたすまんこ

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 02:19:07

rootタンは今どういう状態？
まだbe鯖へログインできてないみたいだけど

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 02:20:47

BE_TYPE2使ってるところはきついな

**root▲▲ ★** · 2010/07/07(水) 02:24:09

1) be.2ch.netで動いていたWebminに脆弱性があり、
ディレクトリトラバーサルができる状態だった

というのが、まず確実にあった話ですね。

で、

2) 1) により、be.2ch.net 内の全ファイルが見られる状態になっていた

3) 2) により、MySQLのアカウント情報も見られる状態だったので、
DBの中身をいじられる状態だった

ここまで確実と。

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 02:26:40

>>489
3)　はSQL鯖が全体からの接続を許可していたら、という条件でですね
その可能性が高いのですが

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 02:30:42

それよりもほとんどのphpが404な状況からパスがわかって
外部から侵入された可能性の方が高いかと。
SQLも誰かが違法に覗いてみればどういう状態かわかることですが

**root▲▲ ★** · 2010/07/07(水) 02:31:21

で、

>>480
> ・誰かがMD5ハッシュを突破してログイン、PHPとHTMLファイルを削除
>>482
> あと株ガチャ等のphpが削除されてます

が起こったかどうかで、だいぶ違いますね。

つまり、このサーバに実際にログインできたやつがいたのか、
ということになります。

とりあえず、表(普通にsshなどで入る)からログインできた、
つまり普通に /etc/passwd にあるアカウントを突破された形跡は、
私が今見た範囲では、どうやら、なさそうです。

他の脆弱性突かれてバックドアをしかけられた、とか、
ログインの履歴も含めて巧妙に消されたとか、
そういう可能性がまったくない、とは言えないですが、
普通にログインした履歴は残っているので、
この可能性(普通にログインされた)は、とりあえず薄いだろうと見ています。

**root▲▲ ★** · 2010/07/07(水) 02:32:47

>>491
そういうの(他の脆弱性を突かれて普通のログインではない方法で、
権限をとられた)、というのは、むろん、ありえますね。

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 02:33:43

たぶんきっと「普通にログインした履歴は残っていない」のミス

**root▲▲ ★** · 2010/07/07(水) 02:34:22

>>494
そですね。

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 02:34:30

え、結局まだ原因不明なの？

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 02:34:39

>>492
まっとうなログインはなかったと
でもファイルはそこからきえてるんですよね？

あと先に10000ポート閉じるのが先では？

△ ◆garnetGnNk **＠garnet ★** · 2010/07/07(水) 02:36:42

あらあらまぁまぁ。

[´・ω・｀] EATcf-160p206.ppp15.odn.ne.jp · 2010/07/07(水) 02:37:59

>>492
ログイン履歴の削除は簡単な予感。デーモン送り込んで起動させて、ログアウト後にログイン履歴を削除させて、自己消滅させれば良いだけ。

**root▲▲ ★** · 2010/07/07(水) 02:38:11

>>496
原因は >>489 の 1) でほぼ確定かと。

>>497
私はbeサーバのrootパスワードを持っていません。

というかrootではないユーザでのログインも、数時間前にしたばかり。

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 02:38:23

これからはBEやモリタポはすべて書面申請にして
サーバ上には一切データをのせないようにすべきだな

**root▲▲ ★** · 2010/07/07(水) 02:39:05

>>499
そこまで(= デーモン送り込んで起動させて)できてしまってたら、
もう何されてもわかんないですね。

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 02:39:53

>>500
じゃあこのまま対策せずに脆弱性は放置ですか・・・

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 02:40:40

beサーバーを物理的に電源引っこ抜いて停止させるのは・・・ダメか

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 02:41:02

負の遺産も大量に残してるなぁ、元管理人は

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 02:41:18

まあ不正ログインでphp削除までする奴なら十分有り得る気がしないでもない

SQLの法の確認はできませんか？

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 02:42:02

>>504
さくらのレンタル鯖だからな
SQLが無事ならいいけど・・・

**未承諾広告※** ◆Rock54hC3G0C · 2010/07/07(水) 02:47:42

webmin ならアクセスログがあると思うけれども、、、
/var/log/webmin/miniserv.log みたいな。
0600 root bin ... な属性なので、最終書き込み時刻ぐらいは判るかな。

**root▲▲ ★** · 2010/07/07(水) 02:48:41

>>498
本業忙しいのに、いろいろおつです。
とりあえず今できる範囲のことは概ね為した、
というかんじなんでしょうか。

>>503
たぶん、サーバごとあれする方向性なんじゃないかなと。

>>506
MySQL方面は、できる人たちができることを既に(やっている|やった)模様です。

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 02:50:46

ディレクトリトラバーサルじゃ、ファイルとか削除できてるの答えになってないような。

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 02:51:08

>>509
ならばbeは廃止確定ですね
be系とν速系はどうなるのか・・・

＞MySQL方面は、できる人たちができることを既に(やっている|やった)模様です。
それは全部消されたりとかはしてないってことなのかな・・・
多少のポイント改ざん程度かな

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 02:52:48

>>510
その脆弱性でパスのMD5を見つけてそこからパス出してログインか、他の脆弱性を使ったか

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 02:53:39

be系は特色なくなるけどbe関係をすべてはずしてしまえばとりあえず
で、ν速がまた糞スレで埋まるのも一興

**root▲▲ ★** · 2010/07/07(水) 02:55:51

>>511
202.222.31.214 という IP アドレスが現在ついているサーバをどうするかということと、
be.2ch.netという名前のサーバを今後どうするか、
Beという機能を今後どうするかということは、
全く別の問題かと。

△ ◆garnetGnNk **＠garnet ★** · 2010/07/07(水) 02:56:29

＞509
うひょ。
実際どこまで被害がでているかはわからないですが、
想像できる範囲で対処と調査を(したと&&すると)。
で、beサーバはまるごとあれする方向で。

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 02:57:39

まあ今日は遅いから寝た方がいい

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 02:57:59

ああ別鯖でやる可能性もありますか・・・

**root▲▲ ★** · 2010/07/07(水) 02:59:47

>>516
私まだ、リモートログインして本業(今日昼が〆切)やってたりして。
(だいぶ片付いたから、たぶんあと1時間しないで終わるだろうけど)

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 03:00:18

侵入・改ざんが無いなら別サーバーで元通りにするのが一番だからな。

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 03:01:16

とりあえずν速とかBe系の板はどうします？
とりあえず明日までは放置？

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 03:01:30

警察にトゥーホーしないんすか

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 03:02:59

嫌儲でテストしてみてニュー速で実行っていうのはどうでしょ

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 03:03:33

>>521
しようにも削除したりした奴は侵入した痕跡がないみたい
今回の脆弱性じゃログに残ってないらしいから無理らしいし

**root▲▲ ★** · 2010/07/07(水) 03:04:30

>>520
今後の方針がまだ何も明確にされていない現時点に於いては、
何もしないのが一番よさげかと。

>>521
少なくとも私がすることではなさげな予感。

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 03:04:39

また2ch大敗北かよ

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 03:04:56

運金でテストしよー

**あひるちゃん** ◆z0WvbsWRgg · 2010/07/07(水) 03:07:49

>>524
乙
ν速の設定だとbe12000無いとスレが立てられない
beが壊れてるから順番に埋まって行く。
埋まった後そのままほったかしで大丈夫なん？

このままだとスレが書き込みで埋まって行くカウントダウン。
beの設定切り離して、立てすぎ値キツメにしてスレ立て祭りか
止めてしまうとかやらなくて平気？

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 03:08:58

無理なのかぁ
面白くないですな

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 03:09:34

>>527
わざわざ止めなくてもほっといたら埋まって止まるから一緒だろｗ

be一時解除してほしいけど・・・

**root▲▲ ★** · 2010/07/07(水) 03:10:07

>>527
今後の方針が出れば、それをたんたんと実装することになるかと。

で、いつごろまで今のままで引っ張れそうなかんじなのかしら。

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 03:11:56

ν速はともかく、その他のBE_TYPE2導入板が一斉に荒らされるよりは現状維持の方がマシ。

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 03:12:19

>>530
一時的なスレ立てbe解除はrootさんの権限では出来ないのですか
ニュー速と嫌儲は9日までにすべてのスレがdat落ちしてしまうのでどうにかならないものかと