1
一般スレッド支配人 ★
2024/10/08(火) 21:48:15.51 ID:K3TDzvLY
なかったので
| メールを送った場合は管理スレで連絡をお願い致します。 |
匿名化技術研究省★カクケー (229)
212
唐澤貴洋 無能 詐欺師 幼女好き (ﾜｯﾁｮｲ)
2025/01/17(金) 11:47:09.38 ID:yhL3eioC0
213
唐澤貴洋 無能 詐欺師 幼女好き (ｶﾞｲｺｰｸ)
2025/01/17(金) 13:32:40.76 ID:zxP+Y8wDH
まだSimpleXは準備中ですか
214
唐澤貴洋 無能 詐欺師 幼女好き (ｶﾞｲｺｰｸ)
2025/01/17(金) 19:46:02.07 ID:XJu+7s1dH
acmailer脆弱性の個人的なまとめ
acmailerにはバージョン3.6〜4.0.1までの新型と、3.5以下の旧型が存在します。
いずれもCGIスクリプトをアップロードしてそのまま実行できますを
１．ログイン（新旧共通）
/init_ctl.cgiに対して以下をPOST。管理者権限でログインできます。簡単。
[email protected]&login_id=a&login_pass=a&homeurl=http://
HTMLファイルでformを作成しといてTor Browserで開くと便利です。
２．CGIスクリプトのアップロード（新型、/import.cgiが存在する場合）
/import.cgiをブラウザで開き、CGIスクリプトをアップロード。
例えばmode=formでアップロードしたファイルは/data/form.cgiに保存されます。
パーミッションもご丁寧に755なので、そのままブラウザから開き実行。
３．CGIスクリプトのアップロード（旧型、/form_edit_ctl.cgiが存在する場合）
/form_edit.cgiをブラウザで開き、開発者ツールを起動します。
<input name="form_mailtitle">をtextareaに書き換えて複数行入力できるようにします。
このform_mailtitleパラメータが/data/form.cgiの先頭に書き込まれるので、
shebang行で始まるCGIスクリプトをペーストすればOKです。タブは半角空白に置換されます。
（末尾にゴミが付くのでPerlなら最終行に__DATA__を置くなどしてください）
あとは旧型と同じく、ブラウザから開き実行します。
４．その他
新型の/init_ctl.cgiはsendmail_pathクエリでコマンドインジェクション出来ますが、
上に比べれば出来ることが少ないので省略します。
acmailerにはバージョン3.6〜4.0.1までの新型と、3.5以下の旧型が存在します。
いずれもCGIスクリプトをアップロードしてそのまま実行できますを
１．ログイン（新旧共通）
/init_ctl.cgiに対して以下をPOST。管理者権限でログインできます。簡単。
[email protected]&login_id=a&login_pass=a&homeurl=http://
HTMLファイルでformを作成しといてTor Browserで開くと便利です。
２．CGIスクリプトのアップロード（新型、/import.cgiが存在する場合）
/import.cgiをブラウザで開き、CGIスクリプトをアップロード。
例えばmode=formでアップロードしたファイルは/data/form.cgiに保存されます。
パーミッションもご丁寧に755なので、そのままブラウザから開き実行。
３．CGIスクリプトのアップロード（旧型、/form_edit_ctl.cgiが存在する場合）
/form_edit.cgiをブラウザで開き、開発者ツールを起動します。
<input name="form_mailtitle">をtextareaに書き換えて複数行入力できるようにします。
このform_mailtitleパラメータが/data/form.cgiの先頭に書き込まれるので、
shebang行で始まるCGIスクリプトをペーストすればOKです。タブは半角空白に置換されます。
（末尾にゴミが付くのでPerlなら最終行に__DATA__を置くなどしてください）
あとは旧型と同じく、ブラウザから開き実行します。
４．その他
新型の/init_ctl.cgiはsendmail_pathクエリでコマンドインジェクション出来ますが、
上に比べれば出来ることが少ないので省略します。
215
唐澤貴洋 無能 詐欺師 幼女好き (ｶﾞｲｺｰｸ)
2025/01/17(金) 23:24:34.12 ID:RMgDmJJIH
SessionとSimpleXを比較した際Sessionには前方秘匿性がないためSimpleXのほうが安全というのはガチなのですか？
ひろゆきさん、お答えください。
ひろゆきさん、お答えください。
216
唐澤貴洋 無能 詐欺師 幼女好き (ｶﾞｲｺｰｸ)
2025/01/18(土) 07:13:19.86 ID:SULy8C7JH
jcue_netでform_mailtitleやってるんやが500error
パーミッションか何かですかね？
当職がさわる前から500でした
パーミッションか何かですかね？
当職がさわる前から500でした
217
唐澤貴洋 無能 詐欺師 幼女好き (ｶﾞｲｺｰｸ)
2025/01/18(土) 07:38:41.62 ID:636Cvq7YH
acmailerはバージョンによって/data/以下のパーミッションがバラバラで、
かつ/data/.htaccessでdeny from allされてたりするので、
rm -f ./data/.htaccess
chmod -R 0755 ./data/
みたいなコマンドインジェクションと併用出来ないと
任意スクリプト実行は厳しい場合があります
かつ/data/.htaccessでdeny from allされてたりするので、
rm -f ./data/.htaccess
chmod -R 0755 ./data/
みたいなコマンドインジェクションと併用出来ないと
任意スクリプト実行は厳しい場合があります
218
唐澤貴洋 無能 詐欺師 幼女好き (ｶﾞｲｺｰｸ)
2025/01/18(土) 07:40:45.54 ID:R0gPkbTzH
>>217
出会いに感謝。
出会いに感謝。
219
唐澤貴洋 無能 詐欺師 幼女好き (ｶﾞｲｺｰｸ)
2025/01/18(土) 23:39:35.14 ID:8QJRVOjtH
Fedoraオススメ
でもDebianでいいかなぁ
でもDebianでいいかなぁ
220
唐澤貴洋 無能 詐欺師 幼女好き (ｶﾞｲｺｰｸ)
2025/01/19(日) 08:11:13.33 ID:S85mvXPSH
当職はUbuntu派ナリ
221
唐澤貴洋 無能 詐欺師 幼女好き (ｶﾞｲｺｰｸ)
2025/01/19(日) 15:11:57.55 ID:UkkDOq1nH
てすや
222
唐澤貴洋 無能 詐欺師 幼女好き (ｶﾞｲｺｰｸW)
2025/01/19(日) 15:38:13.25 ID:/ASekGdfH
WHOISはダメ、適用まで半年を切ったインターネット運用ルール変更
https://xtech.nikkei.com/atcl/nxt/column/18/00001/10146/
電子証明書を使ったWebアクセスのルールを決める業界団体「CA/Browser Forum」が2024年11月14日、これまでの運用を変更する決議を行った。
その結果、「Sunset the use of WHOIS to identify Domain Contacts and relying DCV Methods（WHOISを使用したドメインの連絡先の取得とDCV方式を廃止）」が採択された。
CA/Browser Forumに参加する、証明書を発行する認証局（CA）やWebブラウザーベンダー、ドメインを管理するレジストリなどは、採択された内容について2025年1月15日と7月15日の2段階で従う。
https://xtech.nikkei.com/atcl/nxt/column/18/00001/10146/
電子証明書を使ったWebアクセスのルールを決める業界団体「CA/Browser Forum」が2024年11月14日、これまでの運用を変更する決議を行った。
その結果、「Sunset the use of WHOIS to identify Domain Contacts and relying DCV Methods（WHOISを使用したドメインの連絡先の取得とDCV方式を廃止）」が採択された。
CA/Browser Forumに参加する、証明書を発行する認証局（CA）やWebブラウザーベンダー、ドメインを管理するレジストリなどは、採択された内容について2025年1月15日と7月15日の2段階で従う。
223
xLost (ｶﾞｲｺｰｸ)
2025/01/19(日) 16:01:50.49 ID:UkkDOq1nH
当職が愛用しているKicksecureについて軽く話します、OS選びの参考に役立てば幸いです。
まずKicksecureには永続モードとライブモードがあってですね。
ライブモードで行った動作、ログ等のデーターは当たり前ですが、シャットダウン時に削除されます ディスク暗号化機能もついているので
例え青服の泥棒にパソコンを盗まれても解析は不可能です。
またそれに加え、少々他のOSと比べ異色で言葉での解説が難しいのですが、簡単に述べさせて頂くと
まず毎度OS起動時に永続モードとライブモードが選べます その際に永続モードを選び なにかソフトやツールをインストールしたとします。
当たり前ですが、当然ノーマルの永続環境なので再起動をしてもデータは保持されます
ですがこのOSの面白いところは
永続環境でなにかソフトやファイルを保存し、再起動時にライブモードで開き直すと
永続環境のデータをライブモードで開くことができるのです（前述の通り、かなり独特なOSなので文章ではピンと来ない方もいると思います
そういった方は実際に使ってみることをおすすめ致します。）
更に噛み砕いて話すと、ライブモードは永続環境で構築したディスクトップ環境をそのまま開く
→だがライブモードでは新規にデータが書き込まれず、新規のデーターを全てメモリー上の一時データとして扱うため新規のデータやログは保存されず、
シャットダウン時にすべて削除されるというわけです。
そのため例えば永続モードでカラッキングに使う、プログラムの実行環境（例 : Python NodeJs等）を導入しておいてライブモードで開き直す
→攻撃時にクラウドからコードを引っ張って来てライブ環境でコードを走らせれば 証拠を残さずえっちなスプリクトを走らせることが可能です
他にもVBoxとWhonixを導入し ライブモードで開き直せばTailsの代わりにもなります。
ディスク全体の暗号化に加えて仮想化もできるのでKicksecure+whonixのほうがセキュリティーは高いと思います。
更に永続時にツールを入れればTailsより柔軟に永続化できるのでこれもおすすめです。
（一応Tailsは設定ファイルを書き換えれば永続化の範囲を調整できるのですが限界があります、
また当職のようにTorではなくMullvadのようなVPN環境をメインに使ってるタイプのユーザーにはTailsは不便です
以前ファイルを強引に書き換えてTorを無効化し変わりにMullvad VPNを使うように使用を書き換えたことがありましたが
とても面倒くさくセキュリティー的にも微妙なのでKicksecureを使ったほうが圧倒的に良いです。）
まずKicksecureには永続モードとライブモードがあってですね。
ライブモードで行った動作、ログ等のデーターは当たり前ですが、シャットダウン時に削除されます ディスク暗号化機能もついているので
例え青服の泥棒にパソコンを盗まれても解析は不可能です。
またそれに加え、少々他のOSと比べ異色で言葉での解説が難しいのですが、簡単に述べさせて頂くと
まず毎度OS起動時に永続モードとライブモードが選べます その際に永続モードを選び なにかソフトやツールをインストールしたとします。
当たり前ですが、当然ノーマルの永続環境なので再起動をしてもデータは保持されます
ですがこのOSの面白いところは
永続環境でなにかソフトやファイルを保存し、再起動時にライブモードで開き直すと
永続環境のデータをライブモードで開くことができるのです（前述の通り、かなり独特なOSなので文章ではピンと来ない方もいると思います
そういった方は実際に使ってみることをおすすめ致します。）
更に噛み砕いて話すと、ライブモードは永続環境で構築したディスクトップ環境をそのまま開く
→だがライブモードでは新規にデータが書き込まれず、新規のデーターを全てメモリー上の一時データとして扱うため新規のデータやログは保存されず、
シャットダウン時にすべて削除されるというわけです。
そのため例えば永続モードでカラッキングに使う、プログラムの実行環境（例 : Python NodeJs等）を導入しておいてライブモードで開き直す
→攻撃時にクラウドからコードを引っ張って来てライブ環境でコードを走らせれば 証拠を残さずえっちなスプリクトを走らせることが可能です
他にもVBoxとWhonixを導入し ライブモードで開き直せばTailsの代わりにもなります。
ディスク全体の暗号化に加えて仮想化もできるのでKicksecure+whonixのほうがセキュリティーは高いと思います。
更に永続時にツールを入れればTailsより柔軟に永続化できるのでこれもおすすめです。
（一応Tailsは設定ファイルを書き換えれば永続化の範囲を調整できるのですが限界があります、
また当職のようにTorではなくMullvadのようなVPN環境をメインに使ってるタイプのユーザーにはTailsは不便です
以前ファイルを強引に書き換えてTorを無効化し変わりにMullvad VPNを使うように使用を書き換えたことがありましたが
とても面倒くさくセキュリティー的にも微妙なのでKicksecureを使ったほうが圧倒的に良いです。）
224
唐澤貴洋 無能 詐欺師 幼女好き (ｶﾞｲｺｰｸ)
2025/01/19(日) 16:07:57.55 ID:LMBCwfpFH
あのざぁ…、カラケーでは固定ハンドルネームを付けないのがマナーなんだよね
ネームドになっていいのはTwitterぐらいだからな
ネームドになっていいのはTwitterぐらいだからな
225
固定ハンドルネーム (ｶﾞｲｺｰｸ)
2025/01/19(日) 16:50:32.26 ID:muPnTleVH
そうなのですか？
226
唐澤貴洋 無能 詐欺師 幼女好き (ｶﾞｲｺｰｸ)
2025/01/19(日) 20:54:24.83 ID:gVffgOdgH
>>222
WHOISに書かれている個人データを今のうちに収集しておいたほうがいいってこと？
WHOISに書かれている個人データを今のうちに収集しておいたほうがいいってこと？
227
唐澤貴洋 無能 詐欺師 幼女好き (ｶﾞｲｺｰｸ)
2025/01/19(日) 21:20:02.35 ID:oOHocEvZH
IVPNの1か月返金保証について
おすすめしないとまでは言わないけど、留意しておいたほうがいいことがある
IVPNはデビットカードで払って返金を申し出た場合、注文の取り消しをせずに同額をカードに送金してくる
円預金にだけ残高があるマルチカレンシーデビットカードでIVPNを決済した場合、円口座から（カード発行元もしくは決済ブランドの為替レートで）変換されて10 USDが引き落とされる
ここで注文の取り消しをすれば円口座から引き落とされたのと同額の日本円が戻ってくるが、送金の場合は10 USDが米ドル口座に入金される
為替レートによっては損したり得したりするので気をつけて
まあ為替レートがよくなるのを待ってから日本円に両替すれば損はしないけどね
おすすめしないとまでは言わないけど、留意しておいたほうがいいことがある
IVPNはデビットカードで払って返金を申し出た場合、注文の取り消しをせずに同額をカードに送金してくる
円預金にだけ残高があるマルチカレンシーデビットカードでIVPNを決済した場合、円口座から（カード発行元もしくは決済ブランドの為替レートで）変換されて10 USDが引き落とされる
ここで注文の取り消しをすれば円口座から引き落とされたのと同額の日本円が戻ってくるが、送金の場合は10 USDが米ドル口座に入金される
為替レートによっては損したり得したりするので気をつけて
まあ為替レートがよくなるのを待ってから日本円に両替すれば損はしないけどね
228
唐澤貴洋 無能 詐欺師 幼女好き (ｶﾞｲｺｰｸ)
2025/01/20(月) 00:35:11.54 ID:iucPwR9cH
私はからさんのせいでSSDを暗号化している
229
唐澤貴洋 無能 詐欺師 幼女好き
2025/01/20(月) 22:50:23 Allowed(2025/01/20(月) 15:49:15)
警察に逮捕、拘留されたら暗号化してても意味ないけどね
READ.CGI - ex0ch BBS 0.10.2 20241020
EXぜろちゃんねる
EXぜろちゃんねる