サイトバトルその20 画像をエロに書き替えられた!!!そのテクニック推測紹介

2つ有るという、泣く子も黙るアンダーグラウンドの手法。その一部を垣間見せます。
っと、その前にもう一度確認しないといけないページがあります。
散々既出ですがネット犯罪判例などです。

ここまで読み進まれても、実際に私の体験や参考資料が身につくかというと、
やっぱり即行で忘れてしまうでしょう。体験して覚えたわけじゃないですから。
でも、それが人間、興味があるか無いか、いつか困った時に今回の記事が役立てば……
と素直に思います。世間では自殺から他殺に硫化水素が流行中。

イジメ問題も再燃中のようですね。
で、リンク先(ネット犯罪判例など)を、なぜ読んでと再掲につぐ再掲にしたかといいますと
その解説内に「手口へのヒント」があるからです。
常識だから知ってるよという方は置いておき、そのヒントは他にも応用が効きますので、
知らなかった方は、そのヒントを有効にして考えましょう。だって、ほら、後ろに…(意味深バージョン)

まず、私が画像をアップする基本は、自分のサーバーエリアに転送します。
これだけを基本として徹底していれば、換えられることがあったら、
自分のパソコンからサーバーまでのルートの何所かで侵入を許していることになります。
しかし、セキュリティが高まっている昨今、その侵入は非常に難しいです。

私が最初に見つけたのは、更新の最中でした。丁度、選抜メール集をやっていたのですが、
あれは各サブサイトにも転載しますし、全体を見ながらやりますから、偶然見つけました。
最初、借りていたパソコンを使っていましたので(出張中)、そこに含まれる同名の画像が存在し、
気がつかない間に取り込んで転送してしまったのかと思いました。自分のウッカリだったかと。

とはいえ、出張先のパソコンは業務用、事務の女性が使っているとはいえ、
まさかエロ画像が入ってるとは考えにくいので(男性ならアリ)、思慮深く確認することにしました。
聞き方によってはかなり失礼な事だし、誠意を全面に打ち出し、笑顔で尋ねるのが一番です。

「エロ画像収集してるの?」(ニコッ)

女性「バカッ!!!」

う〜む、ダメでした。まぁ致命的にならないようにしましたので、何とかクリアーです。
そうすると、画像を変えたのは他人の仕業という事で、結論つけて調査開始です。

PART1:相手を崩すのが難しいなら周辺のセキュリティの低いサイトを狙え!!!パターン

対象の相手(私)が少し知識があるのなら、手っ取り早いのが相互リンクなどのバナー画像。
画像を引いてきている初心者サイトさんを探し、書き替えに必須なパスワードが簡単かどうか物色、
いわゆる、面倒だからとパスワードを簡単な覚えやすいものにしてるだろう”雰囲気”の人を選び、
判明すればサッさと交換するだけでOK。

つまり、ターゲットの周辺を狙ってハッキングをして、その部分を載せかえればという作戦です。
知らないうちにその画像がエロになりますし、でも、通常のバナーですからインパクトはないです。
私がそんなのを見つけたら「なんだよセンスないなぁ」と思う程度でしょうか。無害に近いです。
従って、このパターンは入門したての悪戯君がスタートするやり方で、私狙いではキツイです。

PART2:そのもののパスワードをゲットし神となるべし!!!

タイトルはアレですが、全てのハッカーやクラッカーさんの究極の目標がパスをゲットすること。
それがあれば、サイト全部から小さな部分まで、お好みによって交換頂けるという優れもの。
当然、そんな危険なパスワードを簡単に判別できるようなものにはしてないです。

プロバイダーも、過去のネット歴史を教訓として、パスを生年月日とか車のナンバー、
クレジットカード、身内の誕生日、住所がらみ、電話番号の部分を使わないように、
独自のケタ数を用意して簡単に決めさせないように配慮しているのが現代。
昔は生年月日や名前(実名)を利用したもの、会員IDをそのままパスにしている大多数、
非常に簡単にあっけなく、私が観察したものでさえ、そこかしこで突破されていました。

そんな風に、簡単には覚えるのも困難な英数ケタにして、メモ記録にシフトする人も多いでしょう。
ターゲットが同僚などであり、私怨でハッキングしようとするなら、そのメモをチェックしたり、
パスを打ち込むのを後ろから見ていたり、正に手品みたいに心理の隙間を利用するのがコレ。

高等なワザを使うハッカーは、実際には非常に少なく、2割程度と考えられています。
8割は単純な理由からパスワードをゲットしているだけです。ゆえに、警戒するのは自分のウッカリ。
手品のタネ明かしをすれば、簡単な心理トリック戦だったことが分かるのは普通ですよね。
手品もハッキングも、背景に凄い技術があるように思えるだけで、単純なのが大多数です。

会員パスワードが流出したのも昔の話で、今では封印して書類が送られてくるよね(ニフティ)。
流出するのは、ほんの一部のものに限られるよう、プロバイダー各社は工夫を凝らしています。

結論は、私のやられたケースは1も2も当てはまらないです。

PART3:ホンモノ登場

そのハッカーたちと一線を画すのが、自分で脆弱性を見つけるプログラムを組んだり、
検索みたいにアルゴリズムを抽出して検算させたりの凄腕ハッカー。これがホンモノ。

私は、ソレを前提にして調査しました。
自分のパスワードは難しいし、ハッキングされにくい、でも現実にエロに変わってる……。
このままでは、まだ削除していないメールも覗かれてヤバイので、正確に知るために慎重にします。
まずは、普通に気づかなかったフリをして画像を元通りに戻します。するとどうなるか?

適当な時間が経ちましたら、また摩り替わっていました。見つけ次第元に戻します。
これはお互いが気づいてるという挨拶行為みたいなものでしょうか。
気を抜いているとそのままエロ画像を放置してしまいますから、定期巡回を早めて対応します。

思い切って、サイトのシャットダウン(完全閉鎖の前にする保存している閲覧不可状態)にして、
接続ルートの調査分析をする方法を選択しようと覚悟しました。
過去の経験では、3日間ネット上で見れない状態が発生すれば、
Yahoo!登録あたりから消されていきます。これは実際にやったことがある余談ですけどね。

実際は見れる状態での攻防となり、ヘトヘトになったのですが、どうにもこうにも腑に落ちない。
全体をエロサイトに変えることも出来たはず、ところが、数箇所だけの画像交換なのは何故?

そして、どうしてもパスワードが簡単に分かるはずはないと自負していましたので、
ニフティの規約やシステムを確認しに行きましたら、どうも私は重要な部分を忘れていたみたい。
5つのうち2つが、登録した頃と同じパスワードのまま、変更していなかったのです。

更に失敗が発見できました。

ファミリープランという、家族が入会して安く出来る複数IDコースに入って5つやってるわけですが、
一番上位に位置するパスが、面倒でそのままにしていた親パスワードだったのです。
親パスワードとは、子サイトを変える権限のある”神”パスなのですが、
目的は子供が変なサイトを作っていないか、お金の発生する有料サービスを無断で使ってないか、
変な接続利用をしてはいないだろうか、最悪の場合、親の権限で閉鎖も更新も出来るシステム。

そこで、その親パスを見つけるために、私の設定癖を要素として入れ込んだプログラムを作り、
パスワードを入手して書き替えを行ったのか、まずは、これが一番候補でした。
私と同じようにログインするのですから接続時間が被っていなければ大丈夫といえるのですが、
どうにもこうにも、接続時間帯を探すのも一苦労。

出張中でしたし仕事のハードさにより、ネット接続も最低限でしたが本当に私の接続なのか、
忙しすぎると何をしてるのか忘れてしまう状態になりますから、記憶が曖昧になってしまった。
ゆえに調べるどころではありませんでした。

PART4:脆弱性発見ロボット

サイトのある部分をクリックしたら、出してない内部のものが出てきたよ〜みたいなミスを、
自動的に探す巡回ロボットを作ったのかもしれません。これが良く耳にする脆弱性を発見というヤツ。
ニフティ側と私側で調べないといけないのですが、多分、私の方に原因があったと思います。
どちらにせよ、それぞれの仕様が違うので、断定出来ませんでした。

私が出した結論は3番目の親パスワードだと思いました。
何と言いましてもいじってなかったし、親パスで子サイトを変更させるのは以前は出来なかった。
それがイジメなどで親がチェックしないと心配ということで、親システムが出来たのかなと思います。
(まぁお世話になったニフティ担当者さんへ電話を掛けて話を聞くのが早いのでしょうが)

ということで、簡単紹介でした。

表現がズバリ出来ない制約で書くと、見事に分かり難いですね。すみません。
2通りのやり方と前に紹介していましたが、4つという事で、まぁ色々とあるんだなと思ってください。
秘訣は、パスワードはメモで残さないとか、打ち込む際は周囲にご注意を、といった感じ。

画像は先方のサーバーに有るものを引いてくるのではなく、必ず転載して自サーバーに置くこと。
それが出来ないものに、アマゾンや楽天の広告バナーがあります。
それが変わっていたら要注意かもしれませんね。

狙われやすい会社ですから、腕試しでハッキングを試みる連中が居るかもしれません。

とりあえず、私の方の画像書き替えは4月5日以降起きていません。
その代わり、ちょっと困った状況にあります。繰り返されたくなければ最低休眠にしろという条件。
相手の人は複数居るし、上手くクシを重ねて使って身元が分かりにくくしてあり、
途中まで追えても(接続追跡が得意な人が協力してくれても)大変で現在を迎えています。

それゆえ、こうやってバトル記録をしながら、チェックしている状況です。
作業をしていないと、やっぱりネットから離れてしまうため。GWは無いです(毎年ですが)。
同時進行で釣り原稿をこなしているのですが、精神がギャップについていけなかったりで大変


さて次は、このバトル・シリーズに関係するご感想の紹介をしたいと思います。
結構なメール数を頂いていて、選抜ページより簡単な紹介にするつもりが、
かなり勉強になるものも多く、参考になるようなものは率先して紹介したいと思います。

現在、どう紹介する形にすべきか考え中です。選抜と同様にするか、分けるか…頑張ります。



その19へ戻る   バトルその1   ⇒本音の感想をアップ



<同管理人の作成サイト>
IT相談所     UMA     時計     サケマス(淡水釣り)     海釣り