オレンジのトップページ

2011年2月16日水曜日

joe account, null-passwordのペネトレーションテスト

インフルエンザが今年も流行っているようですが、サーバの攻撃にも流行があります。

特に今年に入って、POPアカウントを辞書を使ってaから順に総当たりで接続してくるのが流行ってますね。接続に成功すると、SPAMを送信する・・・という比較的かわいい迷惑をかけてくれます。
ID=パスワードになっているアカウントのことを joe アカウントと言って、パスワードの設定されていないアカウントと並んでハッキングに使われる基本です。


それでは早速、ID=パスワードに設定されてるアカウントが存在してないかテストしましょう。



概要
サーバに対して接続テストを行うために、手元のFedora14のパソコンにツールを入れて、サーバの脆弱性のテストを行います。


手順
1.ツールのインストール
yum install medusa

2.IDリストをサーバで取得
cat /etc/passwd | grep -v ^# | awk -F: '{print $1}' > id-test.txt


3.テスト
(オプションはhelpで調べてね)
medusa -h www.hogehoge.jp -U id-test.txt -e ns -M pop3
medusa -h www.hogehoge.jp -U id-test.txt -e ns -M imap

など。

Medusa v1.5 [http://www.foofus.net] (C) JoMo-Kun / Foofus Networks <jmk@foofus.net>



ACCOUNT FOUND: [pop3] Host: www.hogehoge.jp User: user1 Password: user1 [SUCCESS]





結果
この例はIDとパスワードが同じ user1 とされているのが見つかった場合です。ユーザ数が多いお客様の場合、時々やはり使用していないIDがサーバに残っていることもあるようです。





参考
http://itpro.nikkeibp.co.jp/article/COLUMN/20080624/309332/
http://bogus.jp/pukiwiki/index.php?%A5%D1%A5%B9%A5%AF%A5%E9%A5%C3%A5%AF




2011年2月4日金曜日

PS3新型リモコン来た!

モニタのリモコン・PS3のリモコン・スピーカのリモコンの3つを1つにできるかも。





PlayStation 3用 BDリモートコントローラ (CECH-ZRC1J)

新品価格
¥3,093から
(2011/2/4 13:21時点)














参考までに旧型はこっち。生産完了品になったのだと思いますが、在庫もなくなってきているみたいです。




BDリモートコントローラ

新品価格
¥5,970から
(2011/2/4 13:27時点)