「FACTA、今度は政府機関にサイバー攻撃を仕掛ける」記事へのコメント

撃っていいのは撃たれる覚悟のある奴だけだ

[Anonymous Coward]

by フィリップ・マーロウ

この場合、FACTAはサイバー脆弱性の「調査」をされても文句は言わないんですよね？

Re:撃っていいのは撃たれる覚悟のある奴だけだ

[Anonymous Coward]

不正アクセスにならない範囲でちょっと叩いてみた。

$ w3m -dump_head http://facta.co.jp/ [facta.co.jp]
HTTP/1.1 200 OK
Date: Fri, 28 Nov 2014 11:36:02 GMT
Server: Apache
X-Powered-By: PHP/5.1.6
Connection: close
Content-Type: text/html; charset=none

うーん、PHP 5.1.6。RHEL5かな？
ちゃんと最新RPMに入れかえてるならいいんだけど。
AddDefaultCharset none というクソ設定はやめましょう。

$ dig facta.co.jp ns +short
leo.qnote.co.jp.
libra.facta.co.jp.
pisces.qnote.co.jp.
virgo.qnote.co.jp.
$ dig @virgo.qnote.co.jp ch txt version.bind +short
"9.7.0-P1"

bind9.7 は脆弱性の塊ですね。
とっくの昔にディスコンになってて、
穴が見つかってももはやアナウンスすらされません
https://kb.isc.org/article/AA-00913/0/BIND-9-Security-Vulnerability-Ma... [isc.org]

$ dig facta.co.jp mx +short
10 mail.facta.co.jp.
$ telnet mail.facta.co.jp smtp
Trying 49.212.20.132...
Connected to mail.facta.co.jp.
Escape character is '^]'.
220 leo.qnote.co.jp ESMTP
ehlo hoge
250-leo.qnote.co.jp
250-STARTTLS
250-PIPELINING
250-8BITMIME
250-SIZE 10000000
250 AUTH LOGIN PLAIN CRAM-MD5
quit
221 leo.qnote.co.jp
Connection closed by foreign host.

メールサーバはTLSに対応してるようですね。
この応答はqmail+TLSパッチに見えますがちょっと自身なし。

$ openssl s_client -connect mail.facta.co.jp:25 -starttls smtp
...
verify error:num=18:self signed certificate
...
verify error:num=10:certificate has expired
notAfter=Mar 13 13:46:45 2012 GMT

期限切れの自己署名証明書…。

Re:

[Anonymous Coward]

俗に言う「はにーとらっぷ」というやつじゃないですか?
これを知ってつついてくる奴に、倍返しするとか。

Re:撃っていいのは撃たれる覚悟のある奴だけだ

[Anonymous Coward]

一つ言えるのは、「FACTAは脆弱さを放置する会社だ」と大声で言っていいってこと。

Re:撃っていいのは撃たれる覚悟のある奴だけだ

[nyagy (17036)]

そうするとFACTAの行為を認めることになりますよ。

相手が悪いことをしているんだから、俺も悪いことをしていい。というわけではないでしょう。

粛々と理を説くことが必要ではないですかね。

Re:

[Anonymous Coward]

もうポットとトラップネタは飽きた。