2ch特化型サーバ・ロケーション構築作戦 Part54

**動け動けウゴウゴ２ちゃんねる** · 2010/07/05(月) 14:34:10

2ch特化型サーバ・ロケーション構築作戦のスレッドです。

・２ちゃんねるのサーバロケーション、PIEに関する関連作業・調整事項
・DNS登録・変更関連の各種作業や調整事項
・２ちゃんねるのサーバで採用しているOS、FreeBSDに関する情報・調整事項
・各種作戦・プロジェクトとの連携、プロジェクト間の連携

等を取り扱います。

前スレ:2ch特化型サーバ・ロケーション構築作戦 Part53
http://qb5.2ch.net/test/read.cgi/operate/1277829326/

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 00:42:23

jushimatsu
mofukucho
aum

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 00:59:12

ubume 姑獲鳥（うぶめ）

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 01:05:30

カグー
ツノメドリ

**root▲▲ ★** · 2010/07/07(水) 01:12:57

きたく。

とりあえず、
Beサーバは各関係者が全力で対応中＆被害状況確認中ということで。

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 01:15:15

おつかれさまです

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 01:16:37

損害賠償請求までやるんかいな

[´・ω・｀] EATcf-57p159.ppp15.odn.ne.jp · 2010/07/07(水) 01:17:14

取りあえずchkrootkit置いときますね。
http://www.chkrootkit.org/

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 01:24:09

>>460
全力対応って具体的にどういう状態？
ひろゆきとサザンに連絡取ってるの？

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 01:25:57

さくらに連絡してサーバ止めるってことは出来ないのかね？

[´・ω・｀] EATcf-160p206.ppp15.odn.ne.jp · 2010/07/07(水) 01:29:31

パスワードが漏れてなきゃ良いけどなぁ。個人的にはそれだけが心配。

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 01:33:16

この機会だから、ひろゆき直轄サーバを廃止した方がいいと思う。

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 01:35:37

乙です

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 01:38:04

>>466
とりあえずMySQLのパスとかが漏れたのは確実

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 01:39:54

きちんとメンテナンスされて無い鯖はな・・・。

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 01:43:29

きじ
うずら
う
うみねこ
やんばるくいな
やませみ
あかげら
かっこう
ちゃぼ
しちめんちょう

**未承諾広告※** ◆Rock54hC3G0C · 2010/07/07(水) 01:43:50

DB_Fileで困り中。。。@hack72.2ch.net
http://qb5.2ch.net/test/read.cgi/operate/1268473561/201-202

[´・ω・｀] EATcf-160p206.ppp15.odn.ne.jp · 2010/07/07(水) 01:46:30

>>469
MySQLのパスが漏れても、外部から接続不可なら問題ない。が、アクセスできた臭いなぁ。
今はbeデータベースにはアクセスできなくなっているようだけど。

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 01:53:05

>>473
できなくてもbe鯖に侵入できるからそこの上でやられたら一緒なきがする
それとももう全体から切断されたの？

[´・ω・｀] EATcf-160p206.ppp15.odn.ne.jp · 2010/07/07(水) 02:06:24

>>474
webminの脆弱性はあくまで読めるようになるだけ。
まぁMD5でハッシュ化された鯖パスワードは漏れてるらしいし(未確認)、それを割るのもレインボーテーブルとか使えば簡単だろうけども(未確認)。

[´・ω・｀] EATcf-160p206.ppp15.odn.ne.jp · 2010/07/07(水) 02:09:30

他のソフトウェアも更新されてなく脆弱性が多いだろうことを考えれば、beユーザのパスワードが漏れてない確率の方が低いか。

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 02:10:32

>>475
実際この状態だとrootパスが漏れてるとして問題ないでしょ
被害でているわけだし

**root▲▲ ★** · 2010/07/07(水) 02:11:42

ちなみに今現在既にわかっている被害状況（実害）って、
何があるのかしら。

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 02:14:10

株やbeポイントがリセットされてる?

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 02:14:38

>>478
・全ファイルが世界中から読み放題、マスターパスワードのMD5暗号化されたrootパスも読める
・もちろんMySQLパスは漏れた
・誰かがMD5ハッシュを突破してログイン、PHPとHTMLファイルを削除
・MySQLも被害を受けている可能性あり

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 02:14:53

ポイントを書き換えたやつがいるっぽい（ニュー速
3000000ポイントとかになってたり

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 02:15:08

あと株ガチャ等のphpが削除されてます

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 02:16:04

>>481
その人は元々3000000ポイントの人です

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 02:16:16

>>478
be鯖に接続できない
be表示で２ｃｈに書き込みができない
beを使う系の板が全ストップ

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 02:16:29

あ、ログイン用PHPが死んだのでbeにログインできない状態
ν速のスレタテ、面ν、朝生などへの書き込みができません

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 02:18:49

>>483
ろぐみてきた
まちがえたすまんこ

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 02:19:07

rootタンは今どういう状態？
まだbe鯖へログインできてないみたいだけど

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 02:20:47

BE_TYPE2使ってるところはきついな

**root▲▲ ★** · 2010/07/07(水) 02:24:09

1) be.2ch.netで動いていたWebminに脆弱性があり、
ディレクトリトラバーサルができる状態だった

というのが、まず確実にあった話ですね。

で、

2) 1) により、be.2ch.net 内の全ファイルが見られる状態になっていた

3) 2) により、MySQLのアカウント情報も見られる状態だったので、
DBの中身をいじられる状態だった

ここまで確実と。

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 02:26:40

>>489
3)　はSQL鯖が全体からの接続を許可していたら、という条件でですね
その可能性が高いのですが

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 02:30:42

それよりもほとんどのphpが404な状況からパスがわかって
外部から侵入された可能性の方が高いかと。
SQLも誰かが違法に覗いてみればどういう状態かわかることですが

**root▲▲ ★** · 2010/07/07(水) 02:31:21

で、

>>480
> ・誰かがMD5ハッシュを突破してログイン、PHPとHTMLファイルを削除
>>482
> あと株ガチャ等のphpが削除されてます

が起こったかどうかで、だいぶ違いますね。

つまり、このサーバに実際にログインできたやつがいたのか、
ということになります。

とりあえず、表(普通にsshなどで入る)からログインできた、
つまり普通に /etc/passwd にあるアカウントを突破された形跡は、
私が今見た範囲では、どうやら、なさそうです。

他の脆弱性突かれてバックドアをしかけられた、とか、
ログインの履歴も含めて巧妙に消されたとか、
そういう可能性がまったくない、とは言えないですが、
普通にログインした履歴は残っているので、
この可能性(普通にログインされた)は、とりあえず薄いだろうと見ています。

**root▲▲ ★** · 2010/07/07(水) 02:32:47

>>491
そういうの(他の脆弱性を突かれて普通のログインではない方法で、
権限をとられた)、というのは、むろん、ありえますね。

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 02:33:43

たぶんきっと「普通にログインした履歴は残っていない」のミス

**root▲▲ ★** · 2010/07/07(水) 02:34:22

>>494
そですね。

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 02:34:30

え、結局まだ原因不明なの？

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 02:34:39

>>492
まっとうなログインはなかったと
でもファイルはそこからきえてるんですよね？

あと先に10000ポート閉じるのが先では？

△ ◆garnetGnNk **＠garnet ★** · 2010/07/07(水) 02:36:42

あらあらまぁまぁ。

[´・ω・｀] EATcf-160p206.ppp15.odn.ne.jp · 2010/07/07(水) 02:37:59

>>492
ログイン履歴の削除は簡単な予感。デーモン送り込んで起動させて、ログアウト後にログイン履歴を削除させて、自己消滅させれば良いだけ。

**root▲▲ ★** · 2010/07/07(水) 02:38:11

>>496
原因は >>489 の 1) でほぼ確定かと。

>>497
私はbeサーバのrootパスワードを持っていません。

というかrootではないユーザでのログインも、数時間前にしたばかり。

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 02:38:23

これからはBEやモリタポはすべて書面申請にして
サーバ上には一切データをのせないようにすべきだな

**root▲▲ ★** · 2010/07/07(水) 02:39:05

>>499
そこまで(= デーモン送り込んで起動させて)できてしまってたら、
もう何されてもわかんないですね。

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 02:39:53

>>500
じゃあこのまま対策せずに脆弱性は放置ですか・・・

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 02:40:40

beサーバーを物理的に電源引っこ抜いて停止させるのは・・・ダメか

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 02:41:02

負の遺産も大量に残してるなぁ、元管理人は

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 02:41:18

まあ不正ログインでphp削除までする奴なら十分有り得る気がしないでもない

SQLの法の確認はできませんか？

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 02:42:02

>>504
さくらのレンタル鯖だからな
SQLが無事ならいいけど・・・

**未承諾広告※** ◆Rock54hC3G0C · 2010/07/07(水) 02:47:42

webmin ならアクセスログがあると思うけれども、、、
/var/log/webmin/miniserv.log みたいな。
0600 root bin ... な属性なので、最終書き込み時刻ぐらいは判るかな。

**root▲▲ ★** · 2010/07/07(水) 02:48:41

>>498
本業忙しいのに、いろいろおつです。
とりあえず今できる範囲のことは概ね為した、
というかんじなんでしょうか。

>>503
たぶん、サーバごとあれする方向性なんじゃないかなと。

>>506
MySQL方面は、できる人たちができることを既に(やっている|やった)模様です。

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 02:50:46

ディレクトリトラバーサルじゃ、ファイルとか削除できてるの答えになってないような。

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 02:51:08

>>509
ならばbeは廃止確定ですね
be系とν速系はどうなるのか・・・

＞MySQL方面は、できる人たちができることを既に(やっている|やった)模様です。
それは全部消されたりとかはしてないってことなのかな・・・
多少のポイント改ざん程度かな

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 02:52:48

>>510
その脆弱性でパスのMD5を見つけてそこからパス出してログインか、他の脆弱性を使ったか

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 02:53:39

be系は特色なくなるけどbe関係をすべてはずしてしまえばとりあえず
で、ν速がまた糞スレで埋まるのも一興

**root▲▲ ★** · 2010/07/07(水) 02:55:51

>>511
202.222.31.214 という IP アドレスが現在ついているサーバをどうするかということと、
be.2ch.netという名前のサーバを今後どうするか、
Beという機能を今後どうするかということは、
全く別の問題かと。

△ ◆garnetGnNk **＠garnet ★** · 2010/07/07(水) 02:56:29

＞509
うひょ。
実際どこまで被害がでているかはわからないですが、
想像できる範囲で対処と調査を(したと&&すると)。
で、beサーバはまるごとあれする方向で。

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 02:57:39

まあ今日は遅いから寝た方がいい

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 02:57:59

ああ別鯖でやる可能性もありますか・・・

**root▲▲ ★** · 2010/07/07(水) 02:59:47

>>516
私まだ、リモートログインして本業(今日昼が〆切)やってたりして。
(だいぶ片付いたから、たぶんあと1時間しないで終わるだろうけど)

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 03:00:18

侵入・改ざんが無いなら別サーバーで元通りにするのが一番だからな。

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 03:01:16

とりあえずν速とかBe系の板はどうします？
とりあえず明日までは放置？

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 03:01:30

警察にトゥーホーしないんすか

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 03:02:59

嫌儲でテストしてみてニュー速で実行っていうのはどうでしょ

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 03:03:33

>>521
しようにも削除したりした奴は侵入した痕跡がないみたい
今回の脆弱性じゃログに残ってないらしいから無理らしいし

**root▲▲ ★** · 2010/07/07(水) 03:04:30

>>520
今後の方針がまだ何も明確にされていない現時点に於いては、
何もしないのが一番よさげかと。

>>521
少なくとも私がすることではなさげな予感。

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 03:04:39

また2ch大敗北かよ

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 03:04:56

運金でテストしよー

**あひるちゃん** ◆z0WvbsWRgg · 2010/07/07(水) 03:07:49

>>524
乙
ν速の設定だとbe12000無いとスレが立てられない
beが壊れてるから順番に埋まって行く。
埋まった後そのままほったかしで大丈夫なん？

このままだとスレが書き込みで埋まって行くカウントダウン。
beの設定切り離して、立てすぎ値キツメにしてスレ立て祭りか
止めてしまうとかやらなくて平気？

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 03:08:58

無理なのかぁ
面白くないですな

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 03:09:34

>>527
わざわざ止めなくてもほっといたら埋まって止まるから一緒だろｗ

be一時解除してほしいけど・・・

**root▲▲ ★** · 2010/07/07(水) 03:10:07

>>527
今後の方針が出れば、それをたんたんと実装することになるかと。

で、いつごろまで今のままで引っ張れそうなかんじなのかしら。

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 03:11:56

ν速はともかく、その他のBE_TYPE2導入板が一斉に荒らされるよりは現状維持の方がマシ。

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 03:12:19

>>530
一時的なスレ立てbe解除はrootさんの権限では出来ないのですか
ニュー速と嫌儲は9日までにすべてのスレがdat落ちしてしまうのでどうにかならないものかと

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 03:12:41

おいたをさせないようにするなら取りあえずp2持ちにスレ立て解放してみるとかはどうか

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 03:13:12

ν速は5日ルールだっけ?
なので、そうなれば全部落ちるかな

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 03:13:23

ニュー速は5日でdat落ち
嫌儲は3日

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 03:14:38

ν即系だけでもなんとかしてほしいところ
Be必須板は止めたままのほうがいいだろうけど

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 03:16:24

追い打ちで埋め立てスクリプトとかやられると危なそう

**あひるちゃん** ◆z0WvbsWRgg · 2010/07/07(水) 03:18:50

自称パケモン代理人ひろゆきまちってかったりーなおい！！

絶賛大不評の大規模規制で人が少ない。
んでもゲーム性を見いだしてスレ一覧上からスレを使ってくかもしれないし、
運用板に避難してわいのわいのするかもしれない。
モペキチがスクリプト使って埋め立てでGOするかもしれない！
板で遊んでる人次第だからよくわからない。

ν速は流れが速いから埋まっても荒れてもどうってことねーけど
be関連板で掲示板要素が強いところはいったん止めてしまったほうがいいかも。

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 03:20:06

せっかくbeつぶれたんだから
この機会に過疎板行って盛り上げてやりなよ・・

◆cZfSunOs.U · 2010/07/07(水) 03:30:00

ちなみに Be の DB の中身ですが，ざっと見た範囲では，
改ざん等が完全になかったかどうかというところまではわかりませんが，
大幅なデータの削除や改ざんということはなされてないように見受けられます．

[´・ω・｀] EATcf-87p244.ppp15.odn.ne.jp · 2010/07/07(水) 03:30:21

こっちは大丈夫っぽい?
https://sp.2ch.net:10000/

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 03:30:34

嫌儲はあってもなくても変わらないからBe_TYPE2外しちゃっていいんじゃないの

**root▲▲ ★** · 2010/07/07(水) 03:30:46

>>540
おつです、おつです。

**root▲▲ ★** · 2010/07/07(水) 03:31:27

>>541
関係者にメール発射しますた。

**あひるちゃん** ◆z0WvbsWRgg · 2010/07/07(水) 03:33:33

嫌儲、ν速の避難所としてはアリ。
アフィブログ転載もできないし面白そうだ。

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 03:33:35

BE_TYPE2外して●必須にしたらいいじゃん

**root▲▲ ★** · 2010/07/07(水) 03:34:52

しかし、さくらのFreeBSDサーバって、
Webminが標準で動いているのかしら。

それとも単に、初代管理人がそう設定したのかしら。

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 03:35:02

>>546
例の脆弱性で全員立てられるじゃないか

△ ◆garnetGnNk **＠garnet ★** · 2010/07/07(水) 03:37:07

40秒前にメール送信したと思ったらここに。

＞540
盗まれたかどうかまではわからないですよねぇ、、、

◆cZfSunOs.U · 2010/07/07(水) 03:37:20

>>547 DB サーバもさくらの FreeBSD のやつですが，
少なくともそこでは動いてませんでした．

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 03:38:12

どうせ糞スレしか立たないからいいじゃん
他の板でnewsのノリでレスされるよりまし

◆cZfSunOs.U · 2010/07/07(水) 03:38:32

>>549 ですね，そこまではちょっと......

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 03:39:17

DBは生きてると・・・

ログは残ってないの？

**root▲▲ ★** · 2010/07/07(水) 03:39:27

>>550
りょうかいです。

**あひるちゃん** ◆z0WvbsWRgg · 2010/07/07(水) 03:39:47

今回の寝たでbe登録時のメールはDB内では普通に見られる？
例えばbe登録時のメアドとパスが
beログインに使用するパスと同じだと知らせといた方がいいっしょ。

**動け動けウゴウゴ２ちゃんねる** · 2010/07/07(水) 03:40:18

メアドとパス情報は盗まれたの？