Generationただの日記と言い張る。writeupオンライン予選冬の陣に参加したので取り組んだ問題について書いていく。未分類コメントするbashの脆弱性を突くアクセスbashの脆弱性が話題です。piyologうちに攻撃が来てないかどうかaccess.logをgrepしてみた。198.101.206.138"こんな感じ。うちは元々のアクセス数も少ないサイトなので現状この程度。Securityによるshellshock-scanである。SecurityのIPアドレスであり、問題のあるアクセスではない。2行目は、恐らく善意ではなく脆弱なサービスを探索するスキャンだと思われる。アクセス元はオランダのIP、ping先はクラウドサービスのIPであり、実施者の詳細は不明。GET対象のパスを調べたところ、cPanelというサーバ管理ソフトで使われるものらしい。内部でsystem関数なりでコマンド発行してそうなソフトである。注意うちの場合grepしてわかったのは上記の2件だけだが、それで全てだと思ってはいけない。shellshock-scanのブログを見ると、リクエストヘッダのうちCookieとHostとRefererにコードを入れていて、実際にアクセスログに残っているのはRefererのみであった。当サーバのログはcombinedで残すようになっている(デフォルトのまま)が、CookieとHostはアクセスログには残っていない。他にもデフォルトでログに残らないヘッダはある(Accept-Encodingなど)ので、ログに残ってなかったからといって攻撃がなかったというわけではない。自分が攻撃者ならできるだけログに残らない方法でスキャンを行う。気づかないうちにバックドアが仕掛けられているかもしれないのだ。危険なCGIなどを設置していたサーバは入念な調査が必要だと思われる。2014の横浜大会に参加した。開会式等が9/2にあったのだが、それまでに仕事を倒しきれず開会式への参加は断念。1日目にバイナリ/ネットワーク/Webのジャンルで与えられた問題を解く競技があり、2日目に1日目で勝ちあがった人+敗者復活戦通過者でクイズ大会。1日目は通過したものの、2日目で敗退してしまった。CTFオンライン予選に参加しました。うちのチームは練習問題含めて8問解いて1000点獲得。一週間遅れですが、解けなかったものも含めてWriteup書いた。未分類コメントするtkbctf3に参加したけどだめだったのでwriteup集めたtkbctfだめでした。何がだめって、解けないとすべてを諦めてしまうあたり。300にチャレンジしていろいろやってみたけど結局解けずじまい。writeupForensicカテゴリ。