@CuteBarn への返信
ファイアウォールのログやSQLの設定ファイルはローカルで保全しております。
その辺りかどうかは知識がなく断言はできませんが、GUIについてはnginx proxy managerからGUIで設定していたのと、ymlファイルのパーミッションをデフォルトのままにしていたので、そこにあった平文のパスワードを読まれたからだと考えています。
SSHとFTPはfail2banを導入していますし、もし仰る通りSSHが抜かれていたら同居させているブログや他のWebサービスも被害に遭っているでしょうからそこは考えにくいです
その辺りかどうかは知識がなく断言はできませんが、GUIについてはnginx proxy managerからGUIで設定していたのと、ymlファイルのパーミッションをデフォルトのままにしていたので、そこにあった平文のパスワードを読まれたからだと考えています。
SSHとFTPはfail2banを導入していますし、もし仰る通りSSHが抜かれていたら同居させているブログや他のWebサービスも被害に遭っているでしょうからそこは考えにくいです
@PYU224
ログの保全はしてあります?
トラバーサルが可能な状況でSSHやFTPのパスワードも読まれていない確証はありますか?
DiscordではGUIから設定していたと仰っていたので、ハッシュ化されたシャドーではなく平文でパスワードが置かれていた可能性も否定できません。
ログの保全はしてあります?
トラバーサルが可能な状況でSSHやFTPのパスワードも読まれていない確証はありますか?
DiscordではGUIから設定していたと仰っていたので、ハッシュ化されたシャドーではなく平文でパスワードが置かれていた可能性も否定できません。
鯖缶コミュでMisskingwayといかすきーの管理人に関係のない奴は出しゃばるなと言われた上に名前聞かれてBANされた捨垢でもない人です。
Discordの投稿が消されているので思い出しつつこっちに再掲します。
ぬくすきの情報漏洩なんですが、手元で試しても再現性がない上にDBにあるパスワードはハッシュ化されていて現実的には掠取できません。
アクティブユーザーのみの流出であることを考えるとXSSかウェブスニファが一番あり得そうな線なんですがどうなんでしょう。
Discordの投稿が消されているので思い出しつつこっちに再掲します。
ぬくすきの情報漏洩なんですが、手元で試しても再現性がない上にDBにあるパスワードはハッシュ化されていて現実的には掠取できません。
アクティブユーザーのみの流出であることを考えるとXSSかウェブスニファが一番あり得そうな線なんですがどうなんでしょう。
Postgresのデフォルト設定が問題だと思っていましたが、根本的な問題として侵入された際にファイアウォールが有効になっていなかった可能性が出てきました。
思い返してみれば実際は複数の方々から同じようなご指摘を頂いていたのに気づきましたが、私はそれに耳を傾けたつもりでも実際は受け止めていませんでした。
PYU224
@PYU224
·
約2ヶ月前
Misskeyサーバー「ぬくもりすきー」での情報漏洩について
https://33-4.me/blog/archives/742
技術の問題は勉強したり人から教わったりしたらついてきますが、それを扱う側（私）の想像力や誠実さのなさといった人間性の問題の方が非常に大きいです。
言われてみてやっと気づきました。
Misskeyサーバー「ぬくもりすきー」での情報漏洩について
https://33-4.me/blog/archives/742
技術の問題は勉強したり人から教わったりしたらついてきますが、それを扱う側（私）の想像力や誠実さのなさといった人間性の問題の方が非常に大きいです。
言われてみてやっと気づきました。
https://33-4.me/blog/archives/742
技術の問題は勉強したり人から教わったりしたらついてきますが、それを扱う側（私）の想像力や誠実さのなさといった人間性の問題の方が非常に大きいです。
言われてみてやっと気づきました。
そういえばWAF使ったことないな、ファイアウォールもほぼ標準設定しかやったことないし
WAFに関してはサイト作ったことないので当たり前だが…
ufwの設定見直してみようかしら
WAFに関してはサイト作ったことないので当たり前だが…
ufwの設定見直してみようかしら
LISPモロ感の親爺
@morokan
·
約2ヶ月前
PYUさんには説明したのでふが、ミスなく実行する能力より基礎を固める手間を惜しまないこと、ヘイトタンクにならないことの方が重要ナリよ
あとは素早く行動することくらいナリ(声明を一週間も放置しない。それはわかるよね?)
人を比べるのは気が引けるのでふが、
⚫︎データベースの公開範囲の設定ミスは千秋レベルでも通せる攻撃手法＝稚拙
⚫︎インド先輩は表に出てこない＝ヘイトタンク回避
⚫︎攻撃に気付けないほど保守を放置しているかWAFが無い＝やる気がない
サイト運営自体は難しくはないナリ
あまり頭でっかちになっても先に進めないですを
@yp3klknl への返信
PYUさんには説明したのでふが、ミスなく実行する能力より基礎を固める手間を惜しまないこと、ヘイトタンクにならないことの方が重要ナリよ
あとは素早く行動することくらいナリ(声明を一週間も放置しない。それはわかるよね?)
人を比べるのは気が引けるのでふが、
⚫︎データベースの公開範囲の設定ミスは千秋レベルでも通せる攻撃手法＝稚拙
⚫︎インド先輩は表に出てこない＝ヘイトタンク回避
⚫︎攻撃に気付けないほど保守を放置しているかWAFが無い＝やる気がない
サイト運営自体は難しくはないナリ
あまり頭でっかちになっても先に進めないですを
あとは素早く行動することくらいナリ(声明を一週間も放置しない。それはわかるよね?)
人を比べるのは気が引けるのでふが、
⚫︎データベースの公開範囲の設定ミスは千秋レベルでも通せる攻撃手法＝稚拙
⚫︎インド先輩は表に出てこない＝ヘイトタンク回避
⚫︎攻撃に気付けないほど保守を放置しているかWAFが無い＝やる気がない
サイト運営自体は難しくはないナリ
あまり頭でっかちになっても先に進めないですを
https://misskey.nukumori-sky.net/notes/afu0xodvw0
起きたことを羅列しているだけなのは未練がましく感じるナリ
タイムライン遡るとエグめの二次被害も起きてるし、迷惑どころの騒ぎじゃないナリね
承認欲求と自己満足のためにやっているのであればそんなことより人に迷惑かけ過ぎなので、せめて需要＞供給状態の野獣動画2ndに注力したほうが身のため財布のためなのではないでふか
起きたことを羅列しているだけなのは未練がましく感じるナリ
タイムライン遡るとエグめの二次被害も起きてるし、迷惑どころの騒ぎじゃないナリね
承認欲求と自己満足のためにやっているのであればそんなことより人に迷惑かけ過ぎなので、せめて需要＞供給状態の野獣動画2ndに注力したほうが身のため財布のためなのではないでふか
