くだらねえ質問はここに書き込め！ Part 206
■ このスレッドは過去ログ倉庫に格納されています
0001login:Penguin
2013/09/20(金) 07:03:12.60ID:dPD34YQuいろいろとまとめられているので(・∀・)イイ!!
http://www12.atwiki.jp/linux2ch/
読んでも解決しなかったら、質問を書きこむ前にここを読もう。
http://www12.atwiki.jp/linux2ch/?About
質問に対して答えてもらったら、お礼よりも、結果報告。
過去ログ検索（Part29: 22氏提供） http://2chlinux.dtdns.net/2ch-linux-ks/
Google検索 http://www.google.co.jp/linux
関連スレッドは >>3-4 あたり。
くくだらねえ質問はここに書き込め！ Part 206
http://engawa.2ch.net/test/read.cgi/linux/1370948130/
0448login:Penguin
2013/10/15(火) 18:05:39.76ID:ur69dKQAPHPやRuby,PerlのCGIは設置できるけど
Linuxサーバにsshで入って色々いじれる訳じゃないよ
Linuxサーバ借りれるサービスはVPSとかその辺の一段上（？）の
サービスになるんだけど踏み台にさせる危険性もあるから
練習は自分の手元のVMが無難
それはともかく練習の内容によるけどサーバならCentOSかDebianが無難かね
個人的にはDebianの方が使いやすいからオススメ
0449login:Penguin
2013/10/15(火) 18:06:43.20ID:7jc+zNee> 練習は自分の手元のVMが無難
その前提の質問では。
まぁ続きは >>447 で。
0450login:Penguin
2013/10/15(火) 18:20:34.28ID:64y98TQtわぁすいませんそのものズバリのスレがあったんですね、失礼しました。
もうちょっと勉強してきます。
0451login:Penguin
2013/10/15(火) 18:39:24.56ID:xysV2dubさっそく、プリントアウトを行って、勉強しにカフェにでも行ってきます。
>>441
>>443
0452444
2013/10/15(火) 18:57:57.00ID:Kc+zWEKEサンクス。debianのパッケージにもあったproxsmtpを使ったらやりたい事出来たわ。助かりました。
0453login:Penguin
2013/10/15(火) 19:13:11.80ID:0MVvPBvK0454login:Penguin
2013/10/15(火) 19:22:00.50ID:CVwNT8US生？
xinit とか startx とかそんなの？
そのものずばりの X もあったと思う。
0455login:Penguin
2013/10/15(火) 19:31:46.94ID:3/XRQc90ユーザA以外には一切書き込めず、rootにしか削除できないディレクトリdAを作成したいのですが、
以下の問題があり実現できていません。
①ディレクトリdAの下に新しくディレクトリdBをユーザAが作成するとディレクトリの権限が775で作成されてしまい、
dB以下のファイルを変更できてしまう。
②ディレクトリ自体とディレクトリ以下で権限を分けることができずユーザAにもdAを削除できてしまう
何か方法があれば教えてください
0456login:Penguin
2013/10/15(火) 19:58:06.22ID:yboqI3Sd>ディレクトリdBをユーザAが作成する
これは具体的にどうやってるの？
0457login:Penguin
2013/10/15(火) 20:19:07.77ID:XgLvC/sj0458login:Penguin
2013/10/15(火) 20:23:22.13ID:3/XRQc90普通にユーザAから下のコマンドです。
mkdir dB
試しにguiから新しいフォルダを作成しても同様に775でした。
0459login:Penguin
2013/10/15(火) 20:45:01.43ID:rMncUOTrLinux"だけ"のスキルってのはありえないと思うよ
ヒント、裾野
0460login:Penguin
2013/10/15(火) 20:52:57.96ID:CVwNT8USオーナーですら削除できないようにってのが謎仕様だが
（それならルート所有にして、そのユーザーを読み書きできるグループに入れるべきじゃ？）
とりあえず、umask
0461login:Penguin
2013/10/15(火) 21:09:16.09ID:7jc+zNee最近はもう使えて当たり前になってるからなぁ。
0462login:Penguin
2013/10/15(火) 21:14:08.87ID:xXQXG8TKシステム管理関係だろう、スキルのレベルは知らんが
0463login:Penguin
2013/10/15(火) 21:33:36.48ID:mqoL9YMjスクリプトでも簡単に書けるライブラリあったよね！？
perlかrubyかすら覚えてないけど、あれなんだっけか
0464login:Penguin
2013/10/15(火) 21:38:29.87ID:xXQXG8TKTCL/TKか？
0465login:Penguin
2013/10/15(火) 21:44:29.39ID:mqoL9YMjそれじゃなかった気がする
perlとかじゃなくてシェルでも動いた気がする
なんかダイアログが出るコマンドだった気がしてきた
検索キーワードが思いつかない・・・
0466login:Penguin
2013/10/15(火) 21:49:31.77ID:CVwNT8US適当にググった
zenityじゃね？
0467login:Penguin
2013/10/15(火) 21:50:24.34ID:7jc+zNeedialog とか whiptail とか zenity とか。
0468login:Penguin
2013/10/15(火) 22:03:40.08ID:3/XRQc90umaskだとユーザごとに設定して全ディレクトリに対して反映されますよね。
例えばユーザAとユーザBがいて
ユーザA：dAのみ削除、リネーム不可。 dA以下を含めてdir以下は読み書き可
ユーザB：dir、dB以下は読み書き可。dAは削除、リネーム不可。dA以下のみ読み取り専用
※ユーザA、ユーザBともにdir以下(dA、dB以下含む)に好き勝手にディレクトリを作成する
<dir>
├<dA>
└<dB>
このような設定はさすがに無理でしょうか。
上にもあるように所有者がrootになるようなやり方でもかまいません。
0469login:Penguin
2013/10/15(火) 22:17:32.00ID:7jc+zNee0470login:Penguin
2013/10/15(火) 22:28:55.31ID:tZl3cmetそういうのはアプリケーションレベルでやるものじゃないの。setuidとかで穴あけて。
そこまでじゃないというなら、運用ルールで十分でしょ。
0471login:Penguin
2013/10/15(火) 22:39:16.91ID:xXQXG8TK0472login:Penguin
2013/10/15(火) 23:25:17.24ID:WuLP2K4Z0473login:Penguin
2013/10/15(火) 23:28:11.27ID:yboqI3Sd0474login:Penguin
2013/10/15(火) 23:37:57.16ID:dT2lXwcz一般人はdevel使わないから
0475login:Penguin
2013/10/16(水) 00:07:35.00ID:jtfe84cVありがとう行ってきます。
0476login:Penguin
2013/10/16(水) 00:11:34.05ID:5KXerEgCユーザ名が気に食わないため変更したいと思います。
下のもの以外に修正するべきものがあれば教えてください。
●ユーザ名
usermod -l after before
●ホームディレクトリ
usermod -d /home/after /home/before
●グループ名
groupmod -n after before
uidは特に変える必要もないかなぁと思っています。
各ファイルの所有者、グループはuidがそのままなら変更不要ですよね？
0477login:Penguin
2013/10/16(水) 04:30:37.07ID:hl6z6BBouidとかは変更不要。
他も特に無いんじゃん。
0478login:Penguin
2013/10/16(水) 07:52:56.59ID:0sKyZzzb９／１８から、サーバーが不安定になり、接続が難しい状態に陥ってしまったので、サーバー管理会社に問い合わせたところ
中国やアメリカ、ロシアから大量のアタックが来ていて、接続が難しい状態になっている、と言われました。
とりあえず、FWでIPアドレスを除外してもらったら一時的に改善するものの、それからも断続的に攻撃されていて、都度不安定に陥ってしまいます。
その度に、FWで除外設定をしてもらっているのですが、その都度、数万円の作業量が発生してしまいます。
サーバー管理会社によると、DNSサーバーが攻撃を受けているのでDNSサーバーを落とせば攻撃は止むんではないか？と言われました。
ただ、事情があってDNSサーバーは落とせないし、攻撃が止む確証もないので躊躇っています。
DNSサーバーにはBINDを使っていますが、ソフト側で何か講じる手段とかはないのでしょうか？
0479login:Penguin
2013/10/16(水) 08:13:36.98ID:a/ybolic最近はあんまり関係ないけどメールボックスとか?
変更じゃなく新規作成でもいいんじゃないの。
0480login:Penguin
2013/10/16(水) 08:15:37.42ID:a/ybolicこっちでやった方が盛り上がるかも。
オススメLinuxディストリビューションは？ Part47
http://engawa.2ch.net/test/read.cgi/linux/1377518558/
0481login:Penguin
2013/10/16(水) 08:18:25.74ID:3Mh8Nhhqそれって、DNS AMPの攻撃ターゲットになってるってこと？
ttp://h2np.net/mynotebook/post/425
あたりが参考になりそうな気はする。
0482login:Penguin
2013/10/16(水) 08:20:52.42ID:a/ybolic事情って、どんなん?
0483login:Penguin
2013/10/16(水) 08:27:15.42ID:0sKyZzzbサーバー管理会社は詳しい説明をしてくれなかったので、DNS AMPかどうかはわかりませんが、
紹介サイトの対処方法は、やっておいて損は無いのでやってみます。
ありがとうございました。
FWのパケットフィルタリングで日本以外のIPは拒否、とか出来ればいいんですけどね・・・（それは出来ないって言われました）。
>482
複雑な事情が絡まっているので（契約関係）難しいのですが、ドメインのゾーン設定をこちらでいじれないという事です。
よってDNSも変更出来ないのです。
0484login:Penguin
2013/10/16(水) 08:47:25.02ID:3Mh8Nhhqあと、設定できる権限があるなら、ip spoofしたバケットを受け取らない設定にもできるので
それもしておいたほうがいいかも。
ttp://archive.linux.or.jp/JF/JFdocs/IPCHAINS-HOWTO.html#toc5.7
DNS動いてるマシンのiptables弄れるなら、日本以外のip拒否とかもできるよ。
iptables 日本のみ許可
とでもググったら、サンプルはいくらでも見つかる。
0485login:Penguin
2013/10/16(水) 09:10:19.33ID:QKHPjvkqクエリがきてるなら、踏み台になってるだけだし、不安定になってるのは別の原因
レスポンスがきてるなら、通信経路上での対策をレンタルサーバ会社に対策を求めるしかない
>>484
>ip spoofしたバケットを受け取らない設定にもできるので
DNS amp attackの場合は無理
少なくとも原因の調査が先でしょ
0486login:Penguin
2013/10/16(水) 09:53:29.28ID:H7j8xiws/bin/kill -HUP `cat /var/run/syslogd.pid 2> /dev/null` 2> /dev/null || true
これってなんで標準エラー出力を破棄してるの？
そしてこのコマンドの場合はプロセスを再起動できてもできなくてもtrueになるはず。
するとtrueはただスクリプトが実行されたというフラグ？
0487login:Penguin
2013/10/16(水) 09:54:03.36ID:0sKyZzzbみなさま、おさわがせしております。
現在アタックが来ている状態でして、SSHすら出来ませんので何も確認・設定する事が出来ません。
サーバー管理会社には連絡していますが、対処のしようがない感じみたいです。
こういう場合は、DNSを落としたら攻撃は止むようなものなのでしょうか？
どうもポート53を狙って来ているとは言っていましたが・・・。
0488login:Penguin
2013/10/16(水) 09:58:55.75ID:a/ybolic> これってなんで標準エラー出力を破棄してるの？
/var/run/syslogd.pid が存在しなかった場合とかのため。
> そしてこのコマンドの場合はプロセスを再起動できてもできなくてもtrueになるはず。
上記の場合 1 になる。
0489login:Penguin
2013/10/16(水) 10:12:56.04ID:H7j8xiwsなるほど、そういえばそうですね。
エラーの出力が出ないだけで、全体としてはエラーになるから1になりますね。
勉強になりました。
>>487
サーバ再起動したら即DNSを落として、
オープンリゾルバ状態を解消するべく設定を見直す。
その後、再起動すればいい。
さらにファイアーウォールで特定の国のアクセスを遮断する方法はあるよ。
日本だけ許可ってのも可能。
シェルスクリプトで書かないといけないけど、ネットにいくらでも資料ある。
っていうか、IP1つずつ登録とか、かなり効率悪いよ。
0490login:Penguin
2013/10/16(水) 10:17:36.29ID:QKHPjvkq>こういう場合は、DNSを落としたら攻撃は止むようなものなのでしょうか？
踏み台になってるのなら、収まる
攻撃を受けてるのなら、パケットはサーバで破棄されるだけで届き続ける
>SSHすら出来ませんので何も確認・設定する事が出来ません。
DNS amp攻撃なら、調査ができないほどずっと現象が続くことはないと思うんだけど
DNS amp攻撃は、サーバ側で根本的な対策を取るのが難しいから問題になっとる
0491login:Penguin
2013/10/16(水) 10:19:08.85ID:QKHPjvkq何が一般的な名称なのかわからん
0492login:Penguin
2013/10/16(水) 10:29:43.58ID:3Mh8Nhhqえらいことになってるな
9月18日って、2chで聞き覚えのある日付だとおもってたら
満州事変のきっかけとなった柳条湖事件の日で、中国方面が
サイバー攻撃の呼びかけをしていた日だった。
サーバー管理会社も対処できないっていうか、自社が攻撃されてるのに随分適当な行動だね。
DNSAMPかどうか確認は取れなくても、現在の流行を考えれば多分DNS AMPだとは思うよ。
原因の調査も大事だけど、攻撃を受けてるってことなんだしさ。
一応管理会社に、DNSAMPかどうかは確認したほうがいいとは思う（大金払ってるんだろうし）。
SSHもできない、（多分）コンソールからもログインできないっていう状況なら、53/UDPを一時的に
全部ブロックしてもらってその隙に攻撃方法に対して対策するしかないんじゃないのかな。
日本以外のパケットは全部無視だ って感じでとりあえず設定しておくとか。
0493login:Penguin
2013/10/16(水) 10:45:58.35ID:QKHPjvkqこれだな
踏み台になってるか、攻撃先になってるかで対策変わるから
そこも確認してもらったほうがいいよ
0494login:Penguin
2013/10/16(水) 10:50:36.11ID:0sKyZzzb再度サーバー管理会社に調査して貰ったところ、FWにIP指定でブロックしても、どんどんIPを変えて攻撃してくるので無意味だと言われました。
で、攻撃種類はどうもDNS AMPではなく、ポイゾニングではないか？と言われました。
その場合は、named.confの書き換えが必要になるから、調べて対処してくれ、との事でした。
恥ずかしながら、そこまで私に知識はないもので（サーバー立ち上げの設定などは出来ますが）、これ以上どうしたらいいのか悩んでいます。
一応、ググって対処したいとは思っていますが、下手なことしてサーバーが起動しなくなったら尚更マズイもので・・・。
0495login:Penguin
2013/10/16(水) 11:01:59.09ID:QKHPjvkqレンタルサーバに有料サポートに申し込む
>下手なことしてサーバーが起動しなくなったら尚更マズイ
キャッシュポイズニング受けてるなら、サーバ止まるよりもっとマズイことになるかもね
一個質問なんだけど、sshはipアドレスでつなぎにいってるの？それともFQDN?
0496login:Penguin
2013/10/16(水) 11:08:18.17ID:QKHPjvkq0497login:Penguin
2013/10/16(水) 11:15:42.34ID:0sKyZzzbSSHはFQDNではなくてipアドレスです。
サーバー自体は落ちてないので、何度かリトライすると接続しました。
接続した後は、問題無く操作出来ます。
FTPも同様です。
今は、named.confのoptionsにrecursion noを付けるかどうか迷っているところです。
allowでホワイトリストにしたほうがいいのか・・・。
0498login:Penguin
2013/10/16(水) 11:20:03.81ID:QKHPjvkq>>497
早くレンタルサーバの有料サポート申し込もう
0499login:Penguin
2013/10/16(水) 11:22:50.38ID:3Mh8NhhqDNSポイズニングでDOSアタック食らったようになってるのか。
DNSの設定がんばれ…
周りへの影響が怖いなんてもんじゃないけど。
0500login:Penguin
2013/10/16(水) 11:33:39.43ID:QKHPjvkq今ってレンタルサーバのFWでDoS的な攻撃弾くようになってる事が多いけど、DNS関係の対策はしてないんだな
0501login:Penguin
2013/10/16(水) 12:56:55.01ID:0sKyZzzbかなりまいってきた・・・あｑうぇｒ
0502login:Penguin
2013/10/16(水) 20:49:54.35ID:QKHPjvkq0503login:Penguin
2013/10/16(水) 20:55:08.42ID:hGOjKz7fゆっくりやればいいのに
0504login:Penguin
2013/10/16(水) 23:24:58.87ID:KOmqE2xiソフトウェアのインストールやアップグレードがなぜかできなくなっています
たとえば、su権限で
＃aptitude install aiueo
と打つと
[ ERR] パッケージリストを読み込んでいます
E: Encountered a section with no Package: header
E: Problem with MergeList /var/lib/apt/lists/packages.medibuntu.org_dists_raring_non-free_i18n_Translation-en
E: パッケージ一覧または状態ファイルをパースできませんでした、または開けませんでした。
[ ERR] パッケージリストを読み込んでいます
E: Encountered a section with no Package: header
E: Problem with MergeList /var/lib/apt/lists/packages.medibuntu.org_dists_raring_non-free_i18n_Translation-en
E: パッケージ一覧または状態ファイルをパースできませんでした、または開けませんでした。
となり、なにも進展しません
どういった原因が考えられるのでしょうか・・・困ってます
0505login:Penguin
2013/10/16(水) 23:31:52.41ID:ySqpIrGVググったらその辺のファイルを消せばいいっぽいね
http://forums.linuxmint.com/viewtopic.php?f=198&;t=114923
0506login:Penguin
2013/10/16(水) 23:33:02.85ID:Z5b18PQk的外れかもしれないけど、apt修復してみたらどうだろうか
# apt-get -f install
# sudo dpkg --configure -a
0507login:Penguin
2013/10/16(水) 23:33:36.24ID:Z5b18PQk× > # sudo dpkg --configure -a
○ > # dpkg --configure -a
0508login:Penguin
2013/10/16(水) 23:53:53.99ID:QKHPjvkq>>501の攻められてるって、責められてるっていうことやんな
0509login:Penguin
2013/10/17(木) 00:18:58.17ID:LAGBba+Vとりあえず円形脱毛が出来たことは秘密です。
現状、事情があってどうしてもDNSを書き換えられないドメインを除いて、全て他のDNSに移して表示されるようになりました。
ただし、攻撃は止んでいないので相変わらずポート53は塞がったままです。
サーバー管理会社にはずっと調査＆対処してもらっていたのですが、日本からの攻撃（踏み台？）が七割あるそうなので
日本以外を除外という事には出来ず、地道にひとつづつIPを潰していったそうです。
もうキリがないので、現在は一旦作業は止めているそうですが、回線自体は随分綺麗になって、アクセスは出来るそうです。
確かにSSHやFTPはすんなりと繋がるし、DNSを変えたドメインのサイト（データは攻撃対象のサーバー内）も接続されます。
しかし、DNSが変えられないドメインのサイトは相変わらず接続不能です。
こうなったら回線ではなく、DNSの設定を疑っているのですが、攻撃される前から変更した点は、named.confにrecursion noを追加したぐらいです。
ただ、この設定はサーバー管理会社から指摘されて現在は外しています。
今はDNSはstopして落としています。この間に攻撃が止む事を願って・・・。
今夜は大手クライアントの指示で一晩中待機、随時電話連絡の刑です・・・。
0510login:Penguin
2013/10/17(木) 00:20:37.53ID:Diof0IwPiptables（ファイアーウォール）の設定をしています。
そこで http://d.hatena.ne.jp/katsuren/20120919/1348067825 を参考にして、
ここに書いてあるファイアーウォールの設定 を行いました。
/etc/sysconfig/iptables.shを作成して、
サイトに沢山の行で書いてあるスクリプトをそのままコピペし保存しました
（/etc/hosts.allowと/etc/hosts.denyも変更済み）
うまく反映されたようなんですが、
サーバーのPCが再起動がかかる度に
#/etc/sysconfig/iptables.sh を実行して設定を反映させないといけないのでしょうか？
それとも一度反映させたら、それがそのまま保存され適用され続けますか？
初歩的な質問で申し訳ありません。
0511login:Penguin
2013/10/17(木) 00:24:33.25ID:LAGBba+VDNSを起動した状態で、ポート53にスキャンをかけてみたのですが、
http://www.cman.jp/network/support/port.html
FQDNでスキャンすると、53も80もNGで
IPアドレスでスキャンすると、53も80も正常でした。
これはやはりDNSがいかれてるって事でしょうか・・・？
0512login:Penguin
2013/10/17(木) 00:40:04.00ID:BE6MPxm0$ service iptabels save
すればおk
0513login:Penguin
2013/10/17(木) 00:43:19.55ID:a9WPgXswDNSの知識が極端に欠如してるから、>>509には調査も対策もできないんだよ
どうせ一晩待機なら、DNSのプロトコル勉強してたほうがいいよ
0514login:Penguin
2013/10/17(木) 00:45:25.36ID:88uPAVob0515login:Penguin
2013/10/17(木) 01:16:29.55ID:YQdeLnS/何度も何度も書き込むのなら
名無しじゃなくて何か名前をつけてくれ。
0516円形脱毛 ◆/4z57HPUnE
2013/10/17(木) 01:26:28.85ID:LAGBba+V時系列でイベントを連ねたほうが状況がわかりやすいですかね・・・。
自分が知識不足なのは認めます。DNS関係で色々ググりましたが、？な事も沢山あったもので・・・。
とりあえず毒サーバーは、自分の先代が数年前に立てて、そのまま利用しているもので私は立ち上げには関わっていません。
0517login:Penguin
2013/10/17(木) 01:30:47.94ID:FSmTtC4Tそのサイトに書いてある通り、iptables.sh実行後30秒以内にCtrl-Cを押せば保存される
Ctrl-Cを押さないと、設定がクリアされる
設定は/etc/sysconfig/iptablesに保存され、PC起動時に読み込まれる
> iptables.sh を実行して Ctrl-C を入力すると設定が保存されるが、
> 新しい ssh の接続が可能かどうか確認してから保存すること。
> 締め出しをくらうと、遠隔操作は二度と出来なくなる。
0518login:Penguin
2013/10/17(木) 01:43:55.41ID:FSmTtC4Tこの辺が参考になるかも
http://www.ipa.go.jp/security/vuln/DNS_security.html
あとサーバのディストリビューションって何ですか？
0519円形脱毛 ◆/4z57HPUnE
2013/10/17(木) 01:51:59.42ID:LAGBba+V有り難うございます。拝見します。
ディストリビューションは、CentOS release 3.9 (Final)でした。
かなり古いですね・・・。
0520login:Penguin
2013/10/17(木) 01:53:38.14ID:Diof0IwPご丁寧にありがとうございました。
>設定は/etc/sysconfig/iptablesに保存され、PC起動時に読み込まれる
とのことですが #/etc/sysconfig/iptables.sh を実行しCtrl+Cで確定した時点で設定は保存されているということですね！
そして、そのiptablesの設定を反映し試したのですが、あることに１つ気づきました
Vstfpd（ポートは21）を立てて利用しているのですが、なぜかftpだけ繋がらなくなりました。
SSHやWebのほうなどは問題ありません。
FTPの該当箇所をアンコメントアウトするようにあったので
そのようにして実行しても駄目です。
そもそもサイトにあった↓のFTPの設定記述に問題があるということでしょうか？
http://pastie.org/8406909
0521>>520
2013/10/17(木) 02:22:50.15ID:Diof0IwP/etc/hosts.allow を下記にして
ALL : 127.0.0.1
sshd : ALL
vsftpd : ALL
/etc/hosts.denyを下記にしたらつながりました。
ALL : ALL
ありがとうございました
0522円形脱毛 ◆/4z57HPUnE
2013/10/17(木) 02:48:16.85ID:LAGBba+V1.9/18、サーバーが不安定だったので、管理会社に連絡。中国からの攻撃だと判明したのでFWで攻撃元IPを制限。数時間で安定。
↓
2.昨日早朝、毒サーバーの反応が悪いことを確認
↓
3.何度かアクセスしてるとサイトにも繋がる。SSHもFTPも同様。
↓
4.サーバーを管理している会社に連絡
↓
5.調査の結果、様々な国から攻撃を受けていると判明（キャッシュポイズニングと説明）
同時にnamed.confの設定を見直して、キャッシュサーバーを落とすように提案を受ける。
↓
6.わからないなりに色々と調べて、named.confのoptionsに recursion no を追記
↓
7.調査＆対処の間に、DNSを移動できるドメインはお名前.comのDNSに移したり、自前の別サーバーのDNSに移す事を実行する
↓
↓・・・この間に色々怒られたり脅されたりして円形脱毛になる
↓
8.管理会社から、named.confにrecursion noがあるとマズイので消すように言われる。消しました（元の設定に戻した）。
↓
9.どうしてもDNSを移動できないドメイン（管理権限がない）以外は全てDNS移行が完了（サイトの接続も確認）。
ただし、その唯一残ったドメインのサイトは完全に閲覧不可能に陥る。
SSHとFTPは接続しづらいものの、何度かリトライすると接続出来る（IP接続）。
↓
長文すいません。続きます。
0523login:Penguin
2013/10/17(木) 03:03:56.98ID:ZtzqJmlt時系列なのはいいれども
それぞれのイベントにおける期間や日時を書いてくれないと困る
0524円形脱毛 ◆/4z57HPUnE
2013/10/17(木) 03:12:24.01ID:LAGBba+V↓
10. 管理会社より作業終了の連絡。ポート80への攻撃はないが、ポート53への攻撃はまだ続いている模様との事。
DNSを一旦stopする事を提案される。
↓
11. 相変わらず、毒サーバーのDNSを利用しているドメイン（サイト）は接続出来ないが、別サーバーのDNSを利用しているドメイン（サイトデータは毒サーバー内）は接続出来て普通に閲覧可能。
↓
12. この状態でDNSを立ち上げてても意味ないので、DNSはstopした ←イマココ
この毒サーバーの名前は honyarara.jp（仮称） で、DNS名は ns.honyarara.jp です。
ブラウザで、http://honyarara.jp で接続するとタイムアウトで見れませんが、http;//(IPアドレス)で接続すると、ちゃんと見れます（若干遅いですが・・・）。
ポートスキャンでも、FQDNでスキャンするとタイムアウトしますが、IPアドレスでスキャンすると正常だと返答が返ってきます。
毒サーバー内部で、dig @ns.honyarara.jp hogehoge.jp（DNSを移してないドメイン）をすると、キチンと答えが返ってきますが、
別サーバで同じdigコマンドを打つと、「ns.honyarara.jp」が見つからないとエラーが出ます。
どうも、外部からはDNSが見えてないような感じです。
iptablesも確認したのですが・・・。
0525login:Penguin
2013/10/17(木) 03:41:39.08ID:FSmTtC4TCentOS 3.9だとbind-9.2.4-25.el3が最新みたい
アップデートされてる？
http://mirror.hmc.edu/centos/3.9/updates/i386/RPMS/
bind-9.2.4-21.el3.i386.rpm 24-Jul-2007 08:45
https://rhn.redhat.com/errata/RHSA-2007-0740.html (CVE-2007-2926)
http://jvndb.jvn.jp/ja/contents/2007/JVNDB-2007-000549.html
bind-9.2.4-22.el3.i386.rpm 09-Jul-2008 03:16
https://rhn.redhat.com/errata/RHSA-2008-0533.html (CVE-2008-1447)
http://jvndb.jvn.jp/ja/contents/2008/JVNDB-2008-001495.html
bind-9.2.4-23.el3.i386.rpm 04-Feb-2009 08:31
https://rhn.redhat.com/errata/RHSA-2009-0020.html (CVE-2009-0025)
http://jvndb.jvn.jp/ja/contents/2009/JVNDB-2009-001611.html
bind-9.2.4-25.el3.i386.rpm 29-Jul-2009 13:45
https://rhn.redhat.com/errata/RHSA-2009-1181.html (CVE-2009-0696)
http://jvndb.jvn.jp/ja/contents/2009/JVNDB-2009-001951.html
0526円形脱毛 ◆/4z57HPUnE
2013/10/17(木) 03:58:42.12ID:LAGBba+Vnamed -v は BIND 9.2.4 でした。
安定動作している時はバージョンアップもしなかったので最新かどうかはわかりません。
0527login:Penguin
2013/10/17(木) 04:07:40.15ID:/nnDv2V2キャッシュネームサーバを停止すればいいから
recursion noを否定する管理会社の理屈が分からん。
（これはDNSアンプ攻撃だけの対策にしかならないけど）
そしてcentos3.9ってのがやばすぎるｗ
恐らくBINDのバージョンも低いままのはず。
するとどんなに完璧な設定してもポイゾニングは防げないよ。
古いBIND自体に脆弱性あるから。
最低でもBINDとApache、iptablesだけでもバージョンアップするべき。
最新の状態に保って脆弱性に対応するのもサーバ管理者の業務だから。
意図的にそのままにするにしても、自分で脆弱性を潰すパッチを作れないなら、
素直にアップデートすべき。
0528login:Penguin
2013/10/17(木) 04:16:02.77ID:FSmTtC4Trpm -q bind とかでバージョン確かめて
というか、そんな感じだと毒サーバのアップデートとかはあきらめて
「どうしてもDNSを移動できないドメイン（管理権限がない）」をなんとか移動するほうがいいのかもね
0529円形脱毛 ◆/4z57HPUnE
2013/10/17(木) 04:16:36.81ID:LAGBba+V>recursion noを否定する管理会社の理屈が分からん。
管理会社の言い分としては、recursion noにすると、全ての問い合わせを無効にするから
内部にゾーンファイルがあるドメインまで解決出来なくなる、という事でした。
私が調べた限りではそんな事ないと思い、ゾーンファイルで設定している分には解決出来るのではないか？と聞いたのですが
とにかくrecursion noは外せ、の一点張りだったので外しました。
現在は、攻撃自体は収まったか、もしくは回線を妨害するほどの量ではないと見られ、余所で名前解決出来れば、スムーズに接続出来るようです。
毒サーバーのDNSが外部から接続出来ないだけのようです・・・。
ひょっとしたら管理会社が外部からのポート53接続を全てFWで弾く設定にしたのではないか？と勘ぐっています。
毒サーバー内部からは正常に名前解決出来るもので・・・。
0530円形脱毛 ◆/4z57HPUnE
2013/10/17(木) 04:20:58.51ID:LAGBba+Vはい、このサーバー自体がすでに保守期間が過ぎていますのでリプレースのタイミングを計っているところでした。
ですので、昨日は別の担当者が、このドメインの管理権限をどうにかしようと、色々と動いていました。
ただ、ムームードメインで取得したのはわかったものの、誰が取得したのかがわからないため、ドメインの管理用のIDパスがどうしてもわからないみたいです。
元々、すでに潰れてしまった会社が取得したドメインで、こちらは当時DNSを書き換えてもらっただけみたいなので・・・。
0531login:Penguin
2013/10/17(木) 04:25:54.23ID:/nnDv2V2ちょっとその管理会社の言い分おかしいよｗ
あ、そういえばDNSで名前解決できないようにさせる脆弱性前にあったよ。
たしかDNSの通信障害状態にする奴だったような。
たぶんそれじゃね？
0532login:Penguin
2013/10/17(木) 06:47:36.65ID:7CgYOHH+歩伊豆人具の攻撃くらいまだマシなほうです。
攻撃ではありませんが、うちは、データが全部消えてしまいました。
RAIDを過信していたのです。
幸いにも、一部のデータはバックアップがあり助かりました。
しかし最近のもっとも大切なデータは喪失しました。
焦ってもどうにも解決できません。
そこからの最善を尽くすのみです。
ともに、オープンソースでがんばりましょう。
0533login:Penguin
2013/10/17(木) 06:56:22.34ID:H05eiXwSコマンドが
abcc/adb/am/app_process/applypatch/atrace/bdAddrLoader/bmgr/bootanimation/bridgemgrd/btnvtool/bu/bugreport/
cat/chcon/chmod/chown/clatd/clear/cmp/conn_init/content/cp/
dalvikvm/date/dd/debuggerd/dexopt/df/dhcpcd/
diag_klog/diag_mdlog/dmesg/dnsmasq/drmserver/ds_fmc_appd/du/dumpstate/dumpsys/e2fsck/efsks/fsck_msdos/getenforce/getevent/getprop/getsebool/grep/gzip/
hci_qcomm_init/hd/hostapd/id/ifconfig/iftop/ime/input/insmod/installd/ioctl/ionice/ip/ip6tables/iptables/keystore/kill/ks/linker/
ln/load_policy/log/logcat/logwrapper/ls/lsmod/lsof/make_ext4fs/md5/mdnsd/media/mediaserver/mkdir/mksh/mm-qcamera-daemon/
monkey/mount/mpdecision/mtpd/mv/nandread/ndc/netcfg/netd/netmgrd/netstat/newfs_msdos/nl_listener/notify/ping/pm/port-bridge/pppd/printenv/ps/qcks/qmuxd/qseecomd/racoon/radish/
reboot/
renice/requestsync/restorecon/rild/rm/rmdir/rmmod/rmt_storage/route/run-as/runcon/schedtest/schedtop/screencap/screenshot/sdcard/sendevent/sensors.qcom/
sensorservice/service/servicemanager/setconsole/setenforce/setprop/setsebool/settings/sh/sleep/smd/start/stop/surfaceflinger/svc/sync/system_server/
tc/thermald/toolbox/top/touch/uiautomator/umount/uptime/usbhub/usbhub_init/v4l2-qcamera-app/vdc/vmstat/vold/watchprops/wipe/wm/wpa_supplicantとbusyboxしかありませんがaddgroupのような動作ができるコマンドはありますか？
0534login:Penguin
2013/10/17(木) 07:12:14.67ID:88uPAVobcat >>/etc/group じゃだめ?
0535円形脱毛 ◆/4z57HPUnE
2013/10/17(木) 07:42:44.24ID:LAGBba+V試しに、hostsファイルに、その移動できないドメインと毒サーバーのIPを書き加えてみると
ブラウザですんなりとサイトが表示されました。
hostsファイルの該当項目を消すと表示されません。
これはますます管理会社の設定があやしくなってきた・・・。
0536login:Penguin
2013/10/17(木) 07:55:37.51ID:tAijtwNs0537login:Penguin
2013/10/17(木) 08:34:10.63ID:KsNfztxfandroidは改造linuxなので/etc/groupがないんです
以前busyboxにあったのになんでなくなったんだろう
0538login:Penguin
2013/10/17(木) 08:46:06.48ID:88uPAVobんじゃどのファイルでグループの管理してるの?
0539login:Penguin
2013/10/17(木) 08:49:55.49ID:88uPAVob専門スレで聞いた方がよさそう。
Android総合
http://engawa.2ch.net/test/read.cgi/linux/1327118733/
0540円形脱毛 ◆/4z57HPUnE
2013/10/17(木) 10:57:43.82ID:LAGBba+Vようやっとドメインの現在の持ち主が判明しまして、無事DNS情報を書き換えることが出来ました。
ポート53問題は解決してないのですが、もうDNSは必要無いので落とすことにします。
眠いので、会社の中ですが寝ます zzzzz
0541login:Penguin
2013/10/17(木) 11:09:19.17ID:uz1hKDkg0542login:Penguin
2013/10/17(木) 11:26:53.38ID:b/mqzW4Hでwindowsと文書だけでも共有したい
/etc/fstabをいじれば管理者でなくてもntfsに書き込みできますか？
0543login:Penguin
2013/10/17(木) 12:15:36.44ID:a9WPgXsw浸透すまでお待ちくださいとツイートして、浸透言うなおじさんに補足されるところまで予測できた
0544login:Penguin
2013/10/17(木) 13:49:05.23ID:v7RxEQP+0545login:Penguin
2013/10/17(木) 17:17:48.74ID:dDpLdRNmCentOS,etc/hosts,DNSのetc/named.conf
BINDのキャッシュ汚染攻撃
iptables,digなど
これらはすべて、LPIC2の試験範囲
Linuxの存在意義は、サーバ管理
0546login:Penguin
2013/10/17(木) 17:19:32.60ID:vFNcu8cy0547login:Penguin
2013/10/17(木) 18:30:34.94ID:bsi45YNo試験範囲だってなら、理由から対処法まで一式まとめて書いておいてくれ。
0548login:Penguin
2013/10/17(木) 18:39:57.64ID:88uPAVob■ このスレッドは過去ログ倉庫に格納されています