ろば電子が詰まつてゐるスマートフォン用の表示で見るろば電子が詰まつてゐる2013-10-15/epgrec/へのWebアクセスは何がしたいのかを探るセキュリティwww.morihi-soc.netさんの「ハニーポット観察記」を見ていたら、EPGrecへのアクセスの話が出てきていた(http://www.morihi-soc.net/?p=66)。"-"ちょうどうちのハニーポットもどきApacheにもこの/egprec/アクセスが来ていたので、せっかくだからこのアクセスをしている人たちは何をしようとしているのか、観察記をまとめてみる。これはPCでテレビ録画をやっている方々には有名な、Linux向けの録画予約システムである。自宅でLinuxマシンを使っている人が、Web画面から録画予約をしたり、動画ファイルを管理したりする録画サーバに仕立てたい......という用途に使われている。このEPGrec、一時期話題となった地デジ録画可能なキャプチャーカード「PT2」との合わせ技が強力で、今も一部で根強い人気を誇っている。過去には任意のファイルがアップロード可能な脆弱性があり、これでphpファイルをアップロードしてサーバサイドで実行、という手法で狙われていたらしい。epgrecは日本発のソフトで、利用しているユーザもほぼ日本人のみ。2013年現在ではもはやマイナーなソフトと言って良い。そんなローカルなソフトがまだ狙われるのかというと......って辺りのお話も合わせて以下に。アクセスログちょうど10月14日に、さくらのVPSに立ててるハニーポットもどきApacheにこんなん来てたので紹介してみる。細かい画像ファイル取得などのアクセスログは見づらいだけなので削りました。見てみると分かる通り、まず最初に存在スキャンが88.191.227.21から来て、その10分後に何やらお客さんが二人(86.24.70.204と87.211.57.234)訪れた。これらスキャンのアドレスと実際のアクセスのIPアドレスは以下の通りである。オランダ存在スキャンはUserAgentがnmapになっていた。10分後に来た2つのアクセスだが、これはどうやらツールによる攻撃ではないような気がする。アクセスログの時間を見ていると、一つのページを開いて次のページへ数秒から数十秒単位のインターバルを置いて遷移しており、どうも人間が普通にWebブラウザで見ているかのような動きだ。UserAgentに残っていた通り、本当にSafariやChromeで見ていたと推察される。一箇所だけ以下のようなPOSTリクエストがあることに気がつかれたろうか。HTTP/1.1"なぜこんな変なPOSTかというと、手抜きして初期設定画面のHTMLテンプレートに値を代入しないまま応答を返していたため、こんなタグになっていたからである。action="{$post_to}">見ての通り、本来ならPHPのテンプレート機能でこのactionは置き換わるのだが、どうやらそのままクリックしたようだ。POSTされた中身もダンプしたが、やはりテンプレートの中身ほぼそのままであった。(見やすくするため適宜改行を入れた)db_host=asd&db_user={$settings->db_user}&db_pass={$settings->db_pass}&db_name={$settings->db_name}&tbl_prefix={$settings->tbl_prefix}&install_url={$settings->install_url}&spool={$settings->spool}&use_thumbs=0&ffmpeg={$settings->ffmpeg}&thumbs={$settings->thumbs}&temp_data={$settings->temp_data}&temp_xml={$settings->temp_xml}&epgdump={$settings->epgdump}&at={$settings->at}&atrm={$settings->atrm}&sleep={$settings->sleep}最初のdb_hostに"asd"という値が入っているが、この初期設定画面はたくさんテキストボックスがあってそこに値を入れるようになっているのだ。試しに何か値を入れてみたのだろう。目的はなんなのかさて、先に書いた通り、EPGrecの昔の版は脆弱性があり、任意のPHPファイルを置いて実行できたようだ。パーミッションを777にするよう指示してくる(!)ので、/video/辺りにphpスクリプトを仕込んで......という攻撃が一時期流行ったらしい。それは既に過去のこと。任意のPHPをインジェクションするために、わざわざこんなローカルなものを今狙う悪い人はほとんどいないと思う。2013年現在、まだしつこく/epgrec/を狙っている人は、どうやら別の目的があるように見える。それは......もうこれは推測と妄想でしかないけど、今回のアクセスの観察からも「日本人が録画したものを見たい人」が探し回っているのだろう。ピンポイントではっきり言えば、「日本のアニメが見たい海外のオタクが狙っている」。間接的な証拠......というほどではないけど、以前、2ちゃんねるの書き込みでこんなのを見たことがある。id:RrXSr5Hr2chの皆様、epgrecのハッカーです。その不正アクセスは私のせいでした。epgrecの録画を見たいので、誰かのepgrecにアクセスしたい。不正アクセスで本当に申し訳ありません。