いろいろ，情報が出ているようだが，ロリさんからの詳細情報は，われわれが利用できるような意味では（具体的にどのファイルのどの脆弱性を使われたとか，サーバのどの穴を突かれたとか ― 望むほうが無理かいな），詳細には出ていないようだ。しかし，状況としては少し落ち着いてきたのだろうか。
hissy さんが今時点（朝8:55ごろ）での見解をまとめられていて，参考になるのでリンクを貼っておく。これ。
もし， timthumb.php が狙われたとすれば，脆弱情報を入手しての更新がいかに大切か，実感できると思う。私が， timthumb.php の脆弱性に触れたのは，調べてみたら 2011.08.05 のことだった。丸２年前には，アップデートが配布されているわけだから，この既知の脆弱性が残っていたとすれば，これが２年間手当てされていなかったことになる。ロリさんところのような形態のサーバでは，そういうユーザもかなりいるのかもしれない。しかし，これだけだとそのサイトだけ話になるから，他ソフトの脆弱性やサーバの不備を突かれて，これを踏み台に使える方法を見つけられてしまったということなのか。サーバの脆弱性を付かれたと言うことになれば，これはホスティングサービス側の責任が大きいだろう。フリーで気楽に使えるレンタルとなれば，『そういうユーザ』が多くなるのは止むを得ないから，ホスティング側がしっかりしないといけないわけだが，職場として考えたとき，そういう運営をする場合は，優れた技術者を集め最新のインフラを維持するようなコストはかけられないだろうな，と思ってしまう。
必然的に，サーバ群のセキュリティが，低いまま残っていく，ということになるのかもしれない。
ところで，うちの Apache の８月のログにも
”GET /～/cybercrime.php HTTP/1.1″
なるものが，21日分に残っている。しかし， Error AH00127: Cannot map GET が戻っているので，問題なかったのだろう。ちなみに， Apache のログから /cybercrime.phpが見つかったのは， 2011.4 から今まででこの日だけだった。
/w00tw00t.at.ISC.SANS.DFind:) とか 0w131 とか phpMyAdmin がらみとかは，よく見かけるんだけどナ。
そういえば，ほかに uploadify.php の脆弱性にも触れたことがある。このときは，これがらみで「PHP/WebShell.A.1[virus]」が送り込まれてきたようだった。関連の脆弱性がなかったせいか事なきを得たわけだが，なんによらず，素人の自鯖運営者としては，「この間書いたように『新しいものは，気づかれない大穴があるということもあるが，それ以上に古い既知の穴のほうが怖いよというのが，最近のスタンスと思われる。』という姿勢で行くしかないのかなぁ」と思った今回のロリさん達の事件であった。
This website uses cookies.