さっそく、コメントスパムがやってきた。
まだテスト中でメニューには載せてないフォーラムに500件くらい書き込んで来た。
どうも、6ヶ所くらいから同時に書き込んでいるらしいが、時期的に見ても同一犯の仕業。踏み台になっているPCがあちこちにあるということなんだろう。( 国が分散しているので、こういうセコイ真似をする組織が、国際的な実体があるとは思えないし。)
drupalみたいに、URLに規則性があると、こういうロボットの格好のターゲットだね。とりあえず簡単な CAPTCHA を組み込んでおいた。
2010年2月27日土曜日
2010年2月26日金曜日
drupal ( その7 )
古いコンテンツとの互換性を考えて、drupal を サブディレクトリ配下に置いたのだけれど、ルートディレクトリに置いた方が、いろいろ解りやすいね。
ルートディレクトリに移すかどうか悩み中。
ルートディレクトリに移すかどうか悩み中。
2010年2月22日月曜日
2010年2月20日土曜日
RT200KIの強制アップデート ( その4 )
これ以上調べるのは、linuxの環境を一つ用意しないと難しいね。
どうも、linux環境は何度インストールしても、気が付くと別のOSで上書きされていて、そのたびに毎回作り直しているなぁ。
ARMプロセッサ用の開発環境も用意しないと、ソースを仮に入手できたとしてもバイナリを比較できないし。
パスワードは初期化の際に実行されるプログラムの中に平文で書かれている。逆アセンブルするまでもなく、/etc/passwdで単純な文字列サーチしてその周辺の文字列を見当をつけて試してみれば簡単に見つかる。たぶん、RT200KIだけでなく、同じシリーズのファームウェアでも似たような方法で見つかるのではないだろうか。
どうも、linux環境は何度インストールしても、気が付くと別のOSで上書きされていて、そのたびに毎回作り直しているなぁ。
ARMプロセッサ用の開発環境も用意しないと、ソースを仮に入手できたとしてもバイナリを比較できないし。
パスワードは初期化の際に実行されるプログラムの中に平文で書かれている。逆アセンブルするまでもなく、/etc/passwdで単純な文字列サーチしてその周辺の文字列を見当をつけて試してみれば簡単に見つかる。たぶん、RT200KIだけでなく、同じシリーズのファームウェアでも似たような方法で見つかるのではないだろうか。
2010年2月19日金曜日
RT200KIの強制アップデート ( その3 )
どうもいろいろ検索してみると、このRT200KIの内部構造は、NTTE/NTTW Web Caster V100 のものとほぼ同じ。
http://www.tatsuyoshi.net/toyota/router/ntt/v100.html
で、問題の構造も、/. で取り上げられている「ELECOMのルータでGPL違反とセキュリティ問題が発覚」
http://slashdot.jp/linux/article.pl?sid=04/04/04/1740234
とほぼ同じ。
上の記事によると、(NTTの回答でなく)ELECOMの回答らしいが
=== 引用ここから ===
# 配布されているファームウェア内に Linux の Kernel を含んでいるが、ソースの公開要求に対して「弊社独自のソースコードが含まれているため、公開できない」。
# 以下のセキュリティ問題が存在するが、fix はしない。
1. telnet にて外部から login することができる
2. 隠し cgi にて root 権限で任意のコマンドが実行可能
3. 外部からファームウェアのアップデートができる
=== 引用ここまで ===
ということらしい。RT200KIに関しては cgi は(とりあえず本来の場所には)5個しかなく、そのうちの3つはおそらく cgiそのものではなく、cgiから呼び出されるプログラム。そのうちの2つは、rootにsuid されているので、これを使えばやりたい放題、ということなんだろう。
ただし、外部からの HTTPポートへのアクセスはすべて内部のサーバーにリダイレクトしているはずなので、隠しcgiそれだけでは、それを起動することはできないはず。常駐している別のdaemonが内部からHTTPアクセスするような仕組みになっているのかもしれない(wgetのような本来なら不要と思われるプログラムが組み込まれているし)。あるいは、EMERGENCY時には、このリダイレクト機能を無効にするような仕組みがあるのかも。
まあ、6年も前に問題とされていることを、いまだに知らぬふりをして改善しないというのは、NTTという会社の体質だな。
http://www.tatsuyoshi.net/toyota/router/ntt/v100.html
で、問題の構造も、/. で取り上げられている「ELECOMのルータでGPL違反とセキュリティ問題が発覚」
http://slashdot.jp/linux/article.pl?sid=04/04/04/1740234
とほぼ同じ。
上の記事によると、(NTTの回答でなく)ELECOMの回答らしいが
=== 引用ここから ===
# 配布されているファームウェア内に Linux の Kernel を含んでいるが、ソースの公開要求に対して「弊社独自のソースコードが含まれているため、公開できない」。
# 以下のセキュリティ問題が存在するが、fix はしない。
1. telnet にて外部から login することができる
2. 隠し cgi にて root 権限で任意のコマンドが実行可能
3. 外部からファームウェアのアップデートができる
=== 引用ここまで ===
ということらしい。RT200KIに関しては cgi は(とりあえず本来の場所には)5個しかなく、そのうちの3つはおそらく cgiそのものではなく、cgiから呼び出されるプログラム。そのうちの2つは、rootにsuid されているので、これを使えばやりたい放題、ということなんだろう。
ただし、外部からの HTTPポートへのアクセスはすべて内部のサーバーにリダイレクトしているはずなので、隠しcgiそれだけでは、それを起動することはできないはず。常駐している別のdaemonが内部からHTTPアクセスするような仕組みになっているのかもしれない(wgetのような本来なら不要と思われるプログラムが組み込まれているし)。あるいは、EMERGENCY時には、このリダイレクト機能を無効にするような仕組みがあるのかも。
まあ、6年も前に問題とされていることを、いまだに知らぬふりをして改善しないというのは、NTTという会社の体質だな。
NTT's Violations against GPL
The facts I learned from the experiences of these days are:
NTT's Router ( RT-200KI ) contains GPL'd code in it.
And the users are not informed these facts, no GPL licence texts, no source codes, no pointer to the source codes are included.
1) NTT violates GPL beacause their router RT-200KI contains linux which is distributed under the GPL.
2) NTT violates GPL beacause their router RT-200KI contains BusyBox which is distributed under the GPL.
3) NTT violates eCos lincence (aka. GPL) beacause their router RT-200KI contains RedBoot which is distributed under the eCos licence.
4) NTT violates GPL beacause their router RT-200KI contains iptables which is distributed under the GPL.
5) NTT violates GPL beacause their router RT-200KI contains wget which is distributed under the GPL and its variant wget19.
The C library used may be GPL'd ( I don't know what libraries they uses. Their VoIP driver dynamically links to the library named libc.so.6, but it is realy a symbolic link to libc-2.2.5.so. It looks like some kind of glibc compatible another library. )
Aside from the GPL violations of NTT, NTT made a backdoor in its VoIP Router, and they can do what they want to do even in case of the user explicitely inhibit to do it.
I think NTT is violating not only GPL but also japanese 'Unauthorized Computer Access Law' .
NTT's Router ( RT-200KI ) contains GPL'd code in it.
And the users are not informed these facts, no GPL licence texts, no source codes, no pointer to the source codes are included.
1) NTT violates GPL beacause their router RT-200KI contains linux which is distributed under the GPL.
2) NTT violates GPL beacause their router RT-200KI contains BusyBox which is distributed under the GPL.
3) NTT violates eCos lincence (aka. GPL) beacause their router RT-200KI contains RedBoot which is distributed under the eCos licence.
4) NTT violates GPL beacause their router RT-200KI contains iptables which is distributed under the GPL.
5) NTT violates GPL beacause their router RT-200KI contains wget which is distributed under the GPL and its variant wget19.
The C library used may be GPL'd ( I don't know what libraries they uses. Their VoIP driver dynamically links to the library named libc.so.6, but it is realy a symbolic link to libc-2.2.5.so. It looks like some kind of glibc compatible another library. )
Aside from the GPL violations of NTT, NTT made a backdoor in its VoIP Router, and they can do what they want to do even in case of the user explicitely inhibit to do it.
I think NTT is violating not only GPL but also japanese 'Unauthorized Computer Access Law' .
2010年2月18日木曜日
NTTのGPL違反
結局 RT200KIを調べてわかったのは、ライセンス違反に関しては
1) Linuxに関する NTTのGPL違反
2) BusyBoxに関する NTTのGPL違反
3) RedBootに関する NTTの eCosライセンス(GPL風のライセンス)違反
たぶん、他にもたくさん ライセンス違反が見つかることだろう。
もう一つは、rootkitというか、マニュアルに記載されていない裏口が用意されていて、それを使えば、NTTはなんでもできるということ。
これら一連の事象から思い起こされるのは、
● 去年の 「Kindle用に販売されていたジョージ・オーウェルの「1984年」や「動物農場」で著作権侵害のおそれがあり、アマゾンが勝手に購入者の本をリモート削除した」事件。
これは、結局アマゾンが謝罪したわけだが、
●SonyのDRMに関する RootKit挿入事件
これはどう決着が着いたんだっけ？
まあ、SONYの製品なんかは、ボイコットしても何も困らないが、NTTともなると、SFLC(Software Freedom Law Center)に頑張ってもらうか、独占禁止法で叩いて貰うくらいしか対抗手段がない。
1) Linuxに関する NTTのGPL違反
2) BusyBoxに関する NTTのGPL違反
3) RedBootに関する NTTの eCosライセンス(GPL風のライセンス)違反
たぶん、他にもたくさん ライセンス違反が見つかることだろう。
もう一つは、rootkitというか、マニュアルに記載されていない裏口が用意されていて、それを使えば、NTTはなんでもできるということ。
これら一連の事象から思い起こされるのは、
● 去年の 「Kindle用に販売されていたジョージ・オーウェルの「1984年」や「動物農場」で著作権侵害のおそれがあり、アマゾンが勝手に購入者の本をリモート削除した」事件。
これは、結局アマゾンが謝罪したわけだが、
●SonyのDRMに関する RootKit挿入事件
これはどう決着が着いたんだっけ？
まあ、SONYの製品なんかは、ボイコットしても何も困らないが、NTTともなると、SFLC(Software Freedom Law Center)に頑張ってもらうか、独占禁止法で叩いて貰うくらいしか対抗手段がない。
2010年2月17日水曜日
RT200KIの強制アップデート ( その2 )
中身が linux なら、リバースエンジニアリングしてもまったく問題ないということで、少し調べてみる。
とりあえず起動スクリプトの周辺。
よくわからないけれど、遠隔保守のためのポートがいくつか用意されているようだ。
今回の強制アップデートがこれをつかったものかどうかはよくわからないけれど、とりあえずこのポート(54020-54023)は閉じておくことにする。
他人が使えば重要なセキュリティホールになり得る。
( HTMLファイルの方をみると、直接的には telnet や ftp なくて、httpプロトコルを使って cgi を起動させているような気配は見受けられるけれども。)
GPL違反は、Linuxだけじゃないね。busybox が使われているけれど、これも GPL じゃなかったっけ？
とりあえず起動スクリプトの周辺。
よくわからないけれど、遠隔保守のためのポートがいくつか用意されているようだ。
今回の強制アップデートがこれをつかったものかどうかはよくわからないけれど、とりあえずこのポート(54020-54023)は閉じておくことにする。
他人が使えば重要なセキュリティホールになり得る。
( HTMLファイルの方をみると、直接的には telnet や ftp なくて、httpプロトコルを使って cgi を起動させているような気配は見受けられるけれども。)
GPL違反は、Linuxだけじゃないね。busybox が使われているけれど、これも GPL じゃなかったっけ？
2010年2月16日火曜日
RT200KIの強制アップデート
NTTが勝手に書き換えてくれました。
自動アップデートは禁止してあるのにね。
これって、「不正アクセス行為等の禁止に関する法律」に違反しているんじゃないのかな？いくらレンタルで所有権は向うにあるといっても使用権はこちらにあるわけだし、本来禁止している行為をいわばパスワード破り的な手法で勝手に実行しているわけだし。
ところで、問題のアップデートファイルの中身をちょっと覗いてみたら、これって中身は Linuxだよね。「Uncompressing Linux... done, booting the kernel.」なんて文字列が含まれているし。
でも、GNUのライセンス条項を書いたものは受け取ってないし、どこでソースコードが入手できるかも知らされていない。GPL違反じゃないのかな。
自動アップデートは禁止してあるのにね。
これって、「不正アクセス行為等の禁止に関する法律」に違反しているんじゃないのかな？いくらレンタルで所有権は向うにあるといっても使用権はこちらにあるわけだし、本来禁止している行為をいわばパスワード破り的な手法で勝手に実行しているわけだし。
ところで、問題のアップデートファイルの中身をちょっと覗いてみたら、これって中身は Linuxだよね。「Uncompressing Linux... done, booting the kernel.」なんて文字列が含まれているし。
でも、GNUのライセンス条項を書いたものは受け取ってないし、どこでソースコードが入手できるかも知らされていない。GPL違反じゃないのかな。
2010年2月13日土曜日
drupal ( その6 )
画像管理が少しわかってきたよ。
FileManagerを組み込んで、そちらでアップロードするみたい。
あとは、Editorと連携させる。
taxonomyの連携をなんとかしないと、結局は二重管理の憂き目にあうことになるが...
filesディレクトリを Aliasで別の場所に持っていきたいのだけれど、相性の悪い部分がありそう。できれば symbolic linkは使いたくない。
FileManagerを組み込んで、そちらでアップロードするみたい。
あとは、Editorと連携させる。
taxonomyの連携をなんとかしないと、結局は二重管理の憂き目にあうことになるが...
filesディレクトリを Aliasで別の場所に持っていきたいのだけれど、相性の悪い部分がありそう。できれば symbolic linkは使いたくない。
2010年2月12日金曜日
2010年2月10日水曜日
drupal ( その5 )
うわぁ、module が干渉している...
どれかの module が、行儀悪いということなんだが..
module を導入するたびに、動作確認しないといけないとなると、ちょっと大変だな。
どれかの module が、行儀悪いということなんだが..
module を導入するたびに、動作確認しないといけないとなると、ちょっと大変だな。
2010年2月7日日曜日
2010年2月1日月曜日
drupal ( その4 )
慣れると結構使いやすいね。
ただ、資料がほとんど英語なのと、コアの部分だけだとどこから手をつけてよいのかわからない -- ということで、一般人にはちょっと敷居が高いかな。
とりあえず、懸案のサイトリニューアルもほぼ形になってきたので、近いうちに公開できそう。
ただ、資料がほとんど英語なのと、コアの部分だけだとどこから手をつけてよいのかわからない -- ということで、一般人にはちょっと敷居が高いかな。
とりあえず、懸案のサイトリニューアルもほぼ形になってきたので、近いうちに公開できそう。
登録:
投稿 (Atom)
