匿名プロクシは、止められないのか・・。 [sc](★0)
-
- 1
- あ
- 2001/07/14(土) 13:38
-
最近、プロクシ特有の環境変数を付加しないproxyが巷で流行ってます。
当然、匿名プロクシはプロクシ規制を素通りします。
しかも、個々のプロクシを一個一個止めても、世界中で１日に数千もの匿名プロクシが誕生しています。
事実上、プロクシの規制は不可能・・・。
なんか、いい方法知りませんか？
下の環境変数なんて、もう役に立ちましぇん。
なんか、画期的な方法を知っている方、教えてください。
HTTP_CACHE_CONTROL
HTTP_CACHE_INFO
HTTP_CLIENT_IP
HTTP_FORWARDED
HTTP_PRAGMA
HTTP_PROXY_CONNECTION
HTTP_SP_HOST
HTTP_TE
HTTP_VIA
HTTP_X_FORWARDED_FOR
-
- 56
- 53
- 2001/10/14 17:42
-
いま見たらちゃんと反映された。
IPアドレスを逆にせずに調べてたYO!
自分の厨房ぶりにびっくり。
-
- 57
- 2001/10/14 17:47
-
これって逆にキャッシュされるのが問題じゃない？
オープンじゃなくなった串まで拒否されることもあり得る。
あとapacheにしても使えなくない？
アイディアは面白いけど実用性はないかな。
-
- 58
- ５７訂正
- 2001/10/14 17:48
-
apacheにしても→apacheに設定しても
-
- 59
- 2001/10/14 18:34
-
JAPUです。
ネット喫茶からなので名前欄空白。
今のところ、即座に反映されるようにはなっていません。
そのうち cron で動かすようにするのでしばらく待ってください。
多分1時間に1回くらい。
あと、対策されたサーバがデータベースに残る問題に関しては、
定期的にリストをチェックする作戦で何とかします。
即座に反映されないのはまぁ仕方ないでしょう。
そういう問題点を考えてユーザが使う・使わないを選択すればよいです。
あと、きりが無いってのはまったくその通りで、
こういうサイト作ったのは「腐った設定しているとこういうのに登録されるぜ」
ということでアホな管理者に対して無言の圧力（啓蒙）ってこともあります。
まぁ、何にせよ結構実験的な要素も多いのでとりあえずやってみないと何とも言えない面も多いです。
# サーバと回線はそんなに強力ではないので、DNSのセカンダリ持ってくれるところも募集。
-
- 60
- 2001/10/14 18:41
-
がーん。
>>42のmod_access_rbl配布サイトを見にいこうとしたら
うちのプロバイダがspam基地のブラックリストに乗ってて
はじかれた。
-
- 61
- 2001/10/14 18:50
-
＞こういうサイト作ったのは「腐った設定しているとこういうのに登録されるぜ」
＞ということでアホな管理者に対して無言の圧力（啓蒙）ってこともあります。
全然圧力にならないと思うけど。無言じゃ伝わらんよ。
-
- 62
- 2001/10/14 19:06
-
イヤ、漏れは有ると思うね
ただORDBとかと違ってhttpの中継は被害?が小さいのがネックだろう
それでも解ってて何時までも設定直さないようなrootへの警告には
なるだろう。彼等は何かが出来なくなる事をとても嫌うからね
-
- 63
- 2001/10/14 19:19
-
しかしこういう原始的な串規制方法だと、
規制できる串は世界中に存在する串のせいぜい１割かそれ以下だろう。
串は毎日大量に生まれては死んでいくからね。
2chみたいに書き込みの際にポートスキャンする方が
はるかに高確率で串を弾けるよ。
-
- 64
- 62
- 2001/10/14 19:24
-
うーん、効率と言うより警告の意味合いかなあ
こう言う事をやってる団体?が有るからそこに登録されちゃうと
にっちもさっちも行かなくなるよー と言うお話で･･･
JAPUもそんな感じで言ってるんじゃ無いかな
でもSMTPと比べると被害が少なそうだよねぇ････
-
- 65
- 62
- 2001/10/14 19:25
-
お！思いっきり呼び捨てにしてしもた ^^；
s/JAPU/JAPUさん/;
-
- 66
- 2001/10/14 19:38
-
一気に低レベルな話題になるけど
KENTとか大手の配布サイトのスクリプトに
このopen-proxyチェックを組み込んでもらって
ばしばし串をはねさせると、そこのプロバイダユーザ経由で
サーバ管理者への圧力が増すかもー？
（１ヘクトパスカルぐらい）
-
- 68
- 2001/10/14 19:47
-
実際に串を通してみている点に関しては、2chよりも
信頼できるんじゃないかなぁ。
以前の(今も？)2chのチェックって、connect()
できるか否かだけで判断してたと思う。
-
- 69
- 63
- 2001/10/14 20:00
-
>>68
2chはオープンでない串まで必要以上に規制してるけど、
それでもかなりの高確率でオープンな串を弾ける。
でもここで提案されてるような串を人手で登録していくという原始的な方法だと
登録されていない串の方が圧倒的に多くなる。
掲示板で書き込む際にこういう串データベースを参照して串を弾く方法は
以前から行われていたけど、
結局この方法だとほとんど対応し切れなくて
串規制の方法としては流行っていないのが現状だ。
そういう現状から、2chがデータベースを参照するのではなくて
ポートスキャンによってを串規制をする手法を取り入れたという事実がある。
つまりデータベースで串規制するのはナンセンスなんだよ。
-
- 70
- 2001/10/14 20:04
-
だから６４の意見が（以下無限ループ
-
- 71
- JAPU@
- 2001/10/14 20:26
-
ただいま。
えーと人手に頼る手法は〜云々に関しては
「今までそれぞれが勝手にやってきたから、有効な数だけ集まらなかった。でも、この方式で一つのリストをみんなで維持してみんなで使っていけばそれなりの品質は維持できる」
ってのが答えになるでしょうか。ダメ?
指摘のように結局うまくいかなくて終わっちゃうかもしれないし、もしかしたらうまくいくかもしれない。まぁ、とりあえずやってみましょう的な実験的要素のでかい試みだと思ってください。(即座に実用になることを求めちゃダメよん。)
2chで使うようになるとかいう話なら2chの方でもセカンダリ持ったりと協力してほしいなぁ。
# とりあえず生暖かい目で見守ってください。(笑)
-
- 72
- 2001/10/14 20:28
-
ジャプてふ← ｲｲ(･∀･)！
-
- 73
- 2001/10/14 20:28
-
>>70
警告したければ直接言わなきゃわかんないよ。
-
- 74
- 2001/10/14 20:34
-
64はORDBと比べてるのでは? ORDBから警告は来ないでしょ?
ORDBに付いては省略 ｗ
何れにしても遠い道のりで有る気はするけど
-
- 75
- 2001/10/14 20:40
-
>>71
>この方式で一つのリストをみんなで維持してみんなで使っていけばそれなりの品質は維持できる
それは甘いね。
そんな面倒なこと誰も協力しないよ。
利用者から金を取って商売にすれば？
-
- 76
- 2001/10/14 20:44
-
(´-`).｡ｏＯ（批判屋さんがいるな・・・出来れば改善案のポインタなんかが欲しいな・・・・）
-
- 77
- 2001/10/14 21:41
-
SPAMの第三者中継を許すサーバをリストアップするプロジェクトもあったね。
あとこれとか。
『Nimda』や『コード・レッド』を捕らえる簡単ツール(上)
http://www.hotwired.co.jp/news/news/technology/story/20010920301.html
-
- 78
- 2001/10/14 21:42
-
これは確実に悪用されるな・・・。
こういうプログラムは一般に公開しないほうがいいぞ。＞JAPU
-
- 79
- 2001/10/14 21:55
-
>>78
JAPU氏は情報を悪用するやつより、無能な管理者がきらいっぽいから
そんなこと言っても無駄。彼のサイトのSecurity Advisary見れ。
警告して猶予期間がすぎてなお改善しないCGIスクリプトは
容赦なく晒されている。
-
- 80
- 79
- 2001/10/14 21:58
-
あれ？プログラム自体の公開ってことか。
そりゃそうですね。すんません。＞78
-
- 81
- 2001/10/14 22:04
-
まずはZDなどのニュースサイトに取り上げられないとな。
-
- 82
- 2001/10/14 22:18
-
スパムの場合、実際不正中継によって真っ当なサーバのスプールが爆発したりとか
被害も大きいからね、その分DBを参照する意味がある。
httpだと精々BBS荒らしたりする位だから、参照される側にどれだけ広まるかが問題だよね
でもいい加減こう言う機関が出来てもいい、、気がする
-
- 83
- 2001/10/14 22:28
-
プレスリリースはいつ流すの？
-
- 84
- 2001/10/14 22:34
-
ttp://www.ansi.co.jp/tech/cgi/security/
＞より安全なCGIプログラムを作成するための手引き
こんな誰にでもポートスキャンを許すようなCGIを公開している人間が
セキュリティを語るなんて、JAPUってホントに笑わせてくれるね。
某鯖でポート番号１からポートスキャンしてみたら
すっごく時間かかったけどちゃんとできたよ。
今後も使わせてもらうね＞JAPU
-
- 85
- 2001/10/14 22:37
-
あと ANSI CGI Program Security Advisoriesに自分のCGIも追加しといてね。＞JAPUちゃん
-
- 86
- 2001/10/14 23:00
-
お前森●だろ！ ｗ
-
- 87
- 2001/10/14 23:22
-
>>86 居たなぁそんなのも(w
-
- 88
- 2001/10/15 01:13
-
良く覚えてるな （笑
-
- 90
- ハッカー・ジャパソ
- 2001/10/16 12:27
-
ポートスキャンＣＧＩなら「大人のＣＧＩスクリプト」に載ってます！！！
他にもtelnetを使った生ＩＰ抜き、コマンドＣＧＩなど、
超ＵＧなスクリプトが盛りだくさん！！！周りの厨房に差をつけちゃおう！！！
売り切れ店続出！！！お早めにお買い求め下さいっ！！！
-
- 91
- 2001/10/17 23:40
-
ポートスキャンCGIなんか、Soket理解してたら「大人の・・・」なんか
使わんでも書けるだろ。
-
- 92
- 2001/10/20 00:09
-
>>84
.....。普通、セキュリティツールを公開するのは
セキュリティに「関心があるから」公開するわけです。
ポートスキャンってのは、セキュリティツールですよね。
何を笑っているのか、意味が分かりませんなあ。
-
- 93
- 2001/10/20 01:30
-
>>92
言い訳がましいやつだな。
ポートスキャンがネットの倫理上「悪」だという認識がない人間が
セキュリティを語るなよ（藁
セキュリティツールだと思っているならアングラサイトで宣伝しまくってみろ。
どう使われるかは想像力があれば明らかだがな。
-
- 94
- 2001/10/20 01:45
-
(´-`).｡ｏＯ（じゃ nmapもアングラツールなのか・・・・セキュリティースキャンも駄目だな・てレベル低ぅ・・）
-
- 95
- 2001/10/20 01:48
-
そういえば何年か前に他大学の鯖をポートスキャンしてた大学生が停学処分になってたな。
-
- 96
- 2001/10/20 01:52
-
>>93
お話になりませんな。
-
- 97
- 2001/10/20 01:56
-
(´-`).｡ｏＯ（ITオヤジってこんな感じだよね、何を使ったかより何の為に使ったかの方が倫理上問題なんだけどね。。）
-
- 98
- 2001/10/20 02:13
-
＞ポートスキャンってのは、セキュリティツールですよね
これは非常に珍しい認識だ。
-
- 99
- ちたん（ぴーたーぱそしょうこうぐん
- 2001/10/20 05:57
-
ポートスキャンするとなにがわかるの？
-
- 100
- 2001/10/20 06:41
-
open proxyか否かしか調べられないものを
ポートスキャンツールと呼ぶことはどうなのか？
ただ、実際見に行ってる以上、被験サイトからポートスキャンと
見なされる可能性はある。被るのはJAPUさんだよ？
その辺のリスク、対策についてはどう考えてるの？
-
- 101
- ミイラ捕りがミイラに
- 2001/10/20 12:15
-
>open proxyか否かしか調べられないものを
ポートスキャンツールと呼ぶことはどうなのか？
いや、それはある意味ポートスキャンツール以上のことができるよ。
もちろん串探しに使える串厨房御用達ツールになるだろうけどね。
-
- 102
- ちたん（ぴーたーぱそしょうこうぐん
- 2001/10/20 14:34
-
串探すのにシンドローム使ってるようじゃ
まだまだ甘いの？
-
- 103
- 2001/10/20 14:58
-
上げるな
-
- 104
- 2001/10/21 03:07
-
逆に、登録されている串鯖が匿名串だということを
告知できるという意味を考えるとどうなんだろうか
DNS サーバに query 投げたらすぐわかるよな……
-
- 105
- 2001/10/21 11:34
-
それ以前にJAPUが威力業務妨害で訴えられる可能性があるが、
そのリスクを負ってまで告知する意味があるのかね？
このまま登録用CGIを公開しておくとセキュリティ厨房と言われても仕方がないよね。
-
- 106
- JAPU
- 2001/10/21 16:29
-
えーと、とりあえず現状どうなっているかというと、以下のように1週間で大
半が無効 (deleted = t) になっています。Open-proxy なサーバは思ったより
早く無効になっているようで、この点について、ちと見通しが甘かったのは事
実です。
deleted | count
---------+-------
f | 143
t | 1528
Open-proxy からのアクセスをブロックするにはちと方法を考え直す必要があ
りそうなので、サイトはとりあえず閉鎖します。
# この手のサービスやツールを公開することはセキュリティホールに関する情
# 報の公開などと同様の問題点があることは承知のうえです。時間の無駄なの
# で議論には参加しません。
----
>>100
結果が分からない (たとえそのポートが開いていても、単に "not an open
proxy" と表示されるだけ) とは言え、サーバ側からみたら full-open なポー
トスキャンと見做されるような使い方をされる可能性はあります。なので、き
ちんとログは取ってあります。
----
>>105
威力業務妨害??
-
- 107
- 2001/10/24 02:35
-
うちのプロバイダってTelnetサービスについて何にも触れてないのよ、
んで、無理かな〜糞って思いながら、ノックしたら開いてるのさ、
んで、ユーザー掲示板とサポートにメールで聞いたさ、
んで、OKだと、使えと、古くから居る人間は使ってると、
んで、俺は犯罪者？ノックしたのは悪？
このページを共有する
おすすめワード