パスワードを忘れた? アカウント作成
13157952 story
インターネット

Torなどの匿名化技術を使って構築された「ダークウェブ」上のホスティングサービスがハックされデータ流出 32

ストーリー by hylom
アレなセキュリティ 部門より
あるAnonymous Coward 曰く、

Torなどの匿名化技術を使って構築されたネットワークは「ダークウェブ」などと呼ばれ、違法コンテンツを提供するサイトや違法商品の販売サイトなどがダークウェブ上で運営されていると言われている。このダークウェブで多く使われているWebホスティングサービス「Freedom Hosting II」が攻撃され、ホスティングされているサイトのデータ流出などが発生した(ギズモード・ジャパンComputerWorld)。

攻撃者によると、Freedom Hosting II上でサイトを開設した上で、自身に割り当てられたディレクトリ内にルートディレクトリへのシンボリックリンクを作成したという。これだけでそのサーバー上でホスティングされているすべてのデータに対して読み取り権限が得られたとのこと。その後この攻撃者はサーバー上にあったデータをBitTorrentを使って公開。公開されたデータには74GBのファイル、2.3GBのデータベースが含まれてり、その中には児童ポルノコンテンツや詐欺サイト、違法な物品を販売するサイトに関するコンテンツも含まれていたという。

また、Freedom Hosting IIの利用者やオンラインフォーラムへの投稿内容も含まれていたとのことで、法執行機関などがこのデータを使った捜査に乗り出す可能性も高いという。

この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。
  • by Anonymous Coward on 2017年02月16日 8時12分 (#3161833)

    どんだけの脆弱性に関係してるんだ。
    Windowsでのシンボリックリンク作成に管理者権限を必要としたMicrosoftの判断の正しさがわかる。

    • by Anonymous Coward on 2017年02月16日 11時01分 (#3161911)

      NTFSのアクセス管理もある意味優秀かも

      Linux系のファイルシステムにおけるアクセス管理だと
      上位ディレクトリでアクセス禁止の場合は下位ディレクトリで許可していても弾かれちゃう
      そのため下位で許可するには上位でも許可しなければならない

      NTFSの場合は各ディレクトリごとに独立して管理できるので
      下位は許可して上位は不許可という設定が可能

      ■Linux系ファイルシステムの場合
      /:許可
      |- home:許可
       |-hoge:許可(上位が不許可ではhogeにすらアクセスできない)

      ■NTFSならこれが可能
      C:不許可
      |- Users:不許可
       |- hoge:許可(上位へのシンボリック貼っても上位は見れないがhogeはアクセス可能)

      # まぁ逆に危険になるケースもあるから一長一短だけれども

      親コメント
      • by Anonymous Coward

        いや、普通にhomeにrwつけずにxだけ与えればいけますよ。(ex: 711)homeでlsとかしてもhogeは出てきませんが、cdで/home/hogeは行けます。
        後、元コメはシンボリックリンクを作成する際の権限の話なので完全に別の話題ですね。(^^;
        Linuxで言うとlnコマンドのパーミッションがデフォルトで700になっていると言う話です。

        NTFSの権限の方が柔軟性があると言うのはその通りですが、Linuxにも同等の事ができるACLと言う仕組みがありますよ。個人的に日本語で一番分かり易いと思う SuseのACLのマニュアル [cpon.org]です。他のディスリでも操作は同じです。これで、ほぼNTFS×Windows

        • by Anonymous Coward

          > 残念ながら、多くのエディタやファイルマネージャには ACL への対応が用意されて いません。 emacs などでファイルをコピーすると、これらのファイルの ACL は 失われます。

          あかんやん><

    • by Anonymous Coward

      正しいかは知らないが、防いだ一因で有ることには間違いない。
      車がマニュアルだったからアクセルの踏み間違いでも事故にならなかった的な。

  • by Anonymous Coward on 2017年02月16日 7時40分 (#3161823)

    要するに、匿名化とサーバがセキュアかどうかは別って事だね。

    • by Anonymous Coward on 2017年02月16日 8時10分 (#3161832)

      匿名なのは経路
      サーバ本体の設定は別
      「セキュリティは鎖」とは良く言ったもので、どこか1箇所脆弱があれば他が強固でもあまり意味をなさない

      親コメント
    • by Anonymous Coward on 2017年02月16日 9時52分 (#3161872)

      torはあくまで経路の複雑化によるアクセス元の匿名化だしねぇ。

      その先に置いてあるサーバがセキュアかどうかは全く無関係。

      とは言え、ダークネットでホスティングサービスしてる所が
      こんなザルみたいなよくセキュリティで運用出来てたもんだ。
      普通ならあっという間にスクリプトキディに乗っ取られるか、潰されるか。

      ダークネットの特殊性なのかなぁ

      親コメント
      • by Anonymous Coward on 2017年02月16日 10時42分 (#3161899)

        > ダークネットの特殊性なのかなぁ
        TorのHidden Servicesは始めるのが非常に簡単だからね。
        普通にサーバを公開するまでのハードルすら乗り越えられないような人でもできちゃうからとか、そんな理由でいい加減なのがあるのかも。
        加えて、利用する側は、秘匿できてるからちゃんとしてると思い込んじゃいそうな気もするし。

        親コメント
      • by Anonymous Coward

        「こんなザルみたいなよくセキュリティ」

    • by Anonymous Coward

      https使ってるから安全ってわけでもないのと一緒かな。
      経路だけはいいけど、サーバー側がクソで多くの企業が漏洩してる。

  • 攻撃者によると、Freedom Hosting II上でサイトを開設した上で、自身に割り当てられたディレクトリ内にルートディレクトリへのシンボリックリンクを作成したという。これだけでそのサーバー上でホスティングされているすべてのデータに対して読み取り権限が得られたとのこと。

    なぜこれですべてのデータに対して読み取り権限が得られたのかがサッパリわからん……。

    仮にそのFreedom Hosting IIがnginxで運用されていたとして、uidがwww、gidがwww-dataで動作しており。
    自身のuidはhogehoge、gidはusersっだったとしよう。

    どこにどんなハードリンク張ろうと、シンボリックリンク張ろうと、通常のアクセスでは自身のuid/gidで許される以外の場所へのアクセスは、cannot open directory '/ほげほげ/': Permission deniedで即落とされるだろうし。
    nginxを完全に乗っ取ったとしてもnginxのuid/gidを越えてアクセスはできずそれは変わらないだろ。
    するとFreedom Hosting IIはroot権限で動作するなにかで公開していて、それの脆弱性を突かれたってことなんだろうか。

    # root権限で動いてるようなもんで外部とお話したらアカンよ。
    # つうかこれSambaでしょ。脆弱性がまんまじゃん。

    • 644とか755とか
      デフォルトで600や700になってるディストリってあったけ?
      シンボリック貼ったら普通に”読める”だが
      所有者、グループ、一般なので

      # 一般ユーザーがシンボリック元を所有権ないとこにも指定できるのがあかんという暗黙の穴

      親コメント
    • httpdがwww/www-dataで動いてた場合、ユーザフォルダ上の
      wwwディレクトリを表示させるためにはパーミッションXX5である必要がある。
      ※この場合、CGI経由の盗み読みはsuexec+同一グループ読み込み不可(705など)で防ぐ

      おそらく、うっかりfollowsymlinksを禁止していなかったんだろう。
      悪意あるユーザのwwwディレクトリに"/"や他ユーザのhomeへのsymlinkを作られると
      www/www-dataからは読み取り放題になってしまう。

      よくある話。

      親コメント
    • by Anonymous Coward

      nginxは知らんけど、Apatchで言うところのオプションに
      FollowSymLinks (シンボリックリンク先もアクセスする) 入れちゃってましたテヘペロ、
      とかの落ちな気がする。
      ユーザからは見えないようにパーミッションに気を使ったけど、
      サーバプロセスから見えちゃいます的な。

    • by Anonymous Coward

      もともと、ルートディレクトリ等の読み取り権限があったのではないでしょうか?
      その他のユーザー読み取りまで制限しているファイルやフォルダが少ないのではないでしょう

      • by Anonymous Coward

        700なルートディレクトリとかユーザーお断りかいな

        # root権限でデーモンを起動しフォークroot権限にしてすべてを受け入れようか

    • by Anonymous Coward

      いや、あれやこれやの「コンテンツ」が、ある1つのuidで読めたってことじゃないですかね。
      マシンにあるすべてのファイルが読めた、という意味ではなくて。

      シンボリックリンクを作ることで読めるってのがよくわからない…。もともとパスさえわかれば読める状態だったとか?

      どうも中途半端な感が。OSのアクセス制御ではなく、アプリで何かしょぼい制御をしていたのではないでしょうか。

  • by Anonymous Coward on 2017年02月16日 9時24分 (#3161857)

    ふつーのサイトでシンボリックリンクってどうやって張るの?まず無理だと思うんだけど。
    悪意のあるPHPファイルをアップロードしてそれを実行したみたいな感じ?

    //アノニマスはCPサイトが多数とか書いてるけど、普通のサイトをアップしてた俺にとっては大迷惑。
    //既に代わりを見つけたからそれでいいんだけど。

    • by Anonymous Coward

      PHP使うまでもなく、シンボリックリンクのファイルをアップロードするだけでOKですね。
      コマンド打つ必要すらないです。
      作る(送る)だけなら、どこのホスティングサービスでもできます。

      • by Anonymous Coward

        http{...; disable_symlinks on; ...}
        これで安心できる?昔から上の設定だけど。

        // というかSymlinkがデフォルトオンなのがおかしいだろ、nginx・・・

    • by Anonymous Coward

      "シンボリックリンクのファイルをアップロード"というのがわからない。
      ファイルをアップロードできるWebサイトがあったとして、そこにどういったファイルをアップロードしたらできるの?

      • by Anonymous Coward

        ・SSHコマンド不可
        ・PHPなどは実行不可能(.phpファイルはそのままテキストとして扱われる)
        ・アップロードされたファイルは一覧に表示されます

        、といった「ファイル共有Webサイト」があったとして、そこに"シンボリックリンクのファイル"を載せる
        というのがちょっとわからない。

        • by Anonymous Coward

          シンボリックリンクでファイルを指定したら実体がアップロードされるはず…だよね?

          • by Anonymous Coward

            Linux環境なら恐らくそうでしょうね。
            けど、Windows環境とかにマウントして持ってけば、
            実装としては単なるファイルなので、
            当然単なるファイルとしてアップできます。

            • by Anonymous Coward

              何か不安になってきました。
              出来ないかも……

              嘘ついてたら、本当に申し訳ないです……

            • by Anonymous Coward

              それはNTFSとしてのシンボリックリンク?
              それともLinux系のフォーマットを読めるドライバで読んだドライブにあるシンボリックリンク?
              いずれにしても特殊な読み方しないと通常はリンク先を読みますよ

              バックアップソフトなどは敢てオプション指定で
              シンボリックリンク事態をコピーすることはできますが
              あくまで自身のローカルシステム内に繋がっているストレージにしかできないはず

              ddとかで丸ごと送り込めばリンクは生きたまま送れますが
              フォームから単体アップロードではいけないでしょ

              もしできる方法をご存知なら
              コミュニティに実証付きで報告するか
              悪の組織に情報売りつけるか
              ってレベルの超大穴発見ですよ

        • by Anonymous Coward

          ユーザーがアップロードした.tar.gzアーカイブを解凍出来るようにしていた、っていうしまらないオチだったりして。

  • by Anonymous Coward on 2017年02月16日 9時30分 (#3161860)

    攻撃した人間の身も危ないって事になるんだけど、バナナのかな。

    • by Anonymous Coward

      ならんだろう……。
      それこそ、ハックした他人のPCでも使って作業したんじゃないの。
      児童ポルノを配布してるわけで、FBIに目を付けられるのは承知の上での確信犯でしょ。

  • by Anonymous Coward on 2017年02月16日 11時04分 (#3161914)

    > 公開されたデータには74GBのファイル、2.3GBのデータベースが含まれてり、
    > その中には児童ポルノコンテンツや詐欺サイト、
    > 違法な物品を販売するサイトに関するコンテンツも含まれていたという。

    釣られてダークウェブに手を出す輩が出てくるんだろうな

    # 歴史は繰り返される?

    • by Anonymous Coward

      これがほんとの
      トラブルダークネス

typodupeerror

にわかな奴ほど語りたがる -- あるハッカー

読み込み中...