2010-02-12

玄人志向 SAPARAID-PCI で RAID1 (ミラーリング) を組む

パソコン

日曜日にメインマシンのハードディスクがお亡くなりになった･･･(TT)
「ハードディスクは忙しいときに壊れる」ってマーフィーの法則に加えてほしいなぁ･･これが近い？
"Anything that can go wrong will go wrong - at the worst possible moment."
「うまく行かなくなりうるものは何でも、うまく行かなくなる−しかも最悪のタイミングで」

セキュリティソフトのアップデートを適用した後の再起動でブルースクリーン。
「STOP 0x0000007B A problem has been detected and Windows has been shut down to prevent damage to your computer.〜」。
再起動でWindows拡張オプションメニューが表示されたので、「前回正常起動時の構成 (Last Known Good)」を選択して起動を試みるが･･･
「STOP: c000021a Unknown Hard Error」。
再起動してF8でWindows拡張オプションメニューを表示して今度は「セーフモード」での起動を試みるがNG。
再起動してBIOSを表示してブードデバイスの順番をCD-ROM優先にして、XPインストールディスクから起動。
回復コンソールを起動してリカバリをしようと試みるが「ハードディスクが接続されていません」と云われて先に進めない。
どうやら、MBR（マスタブートレコード）だかレジストリだかハードディスクドライバだかなんだかわからいけどその辺りが壊れたみたいだ･･･
＼(＾o＾)／ｵﾜﾀ

Linux（KNOPPIX - Wikipedia）をCDブートしてゴニョゴニョする方法もあるようだけど、瀕死の患者相手に教科書片手に手術はできないので、先ずはHDD2台と（もうHDDの故障はコリゴリなのでハードウェアRAID1でミラーリングを組むために）安くて要件にあった玄人志向 SAPARAID-PCI を注文して待つことに･･･

ここから上記カードでのRAID1（ミラーリング）の構築手順。

一般にXPの再セットアップでRAIDカードでRAID構成にするためには、セットアップ開始時にRAIDカードのドライバをフロッピーから読み込むか、nLiteなどを利用してドライバを組み込んだXPセットアップディスクを作成してそれでセットアップする必要があるようですが、上記カードでは以下の方法で可能でしたので手順を公開メモ。（イマドキのPCにFDDなんて付いてないし、立ち上がらないPCでどうやってセットアップディスクを作成するんだよという個人ユーザも多いと思うので･･）

1)　1台をオンボード SATAに接続して、XPとPC付属の各種ドライバをセットアップした後に、SAPARAID-PCI添付のCD-ROM内の当該セットアッププログラムでドライバとユーティリティをインストール。
（PCI CARD\SATA CARD\VT6421 SATA drive\Windows_V-RAID_V570A\SETUP.EXE）
2)　SAPARAID-PCIをPCに装着。
3)　SAPARAID-PCIのSATAのch0とch1に1)でセットアップしたHDDともう１つのHDDを装着。
（ここでどちらのチャネルにどちらのHDDを接続しても構わないが、どちらにどのHDDを接続したかをHDDの製品シリアルNo.とともに控えておくほうが良い。後の工程でSourceとするHDDとMirrorとするHDDを指定するため。）

4)　起動すると、Windowsロゴ表示前にRAIDドライバが "Press key into user window!" というメッセージを表示するので、で設定画面へ。
5)　1行目の "Auto Setup For Data Security" は実行"し・な・い"。
6)　2行目の表示が "Array Mode RAID 1(Mirroring)" になっていることを確認。
（なっていなければで選択画面からセット。その他、RAID0 ストライピングなども選べる。）
7)　3行目の "Select Disk Drives" をEnter。
画面下半分に表示されているハードディスク一覧の2台から、
先ず1)でセットアップ済みのHDDを選択→ "Status" に"Source" と表示される。
次いで2台目のハードディスクを選択→ "Status" に "Mirror" と表示される。
8)　4行目の "Start Creat Process" がアクティブになるのですると、"MirrorにSourceをコピーするか？" と聞かれるのでで実行するとコピーが始まります。
（筆者の環境では500Gでおよそ2.5時間かかりました。）
9)　"Duplicate Ok! Press any key to Reboot" と表示されて終了。

備考：　1)でインストールしたユーティリティ（VIA V-Raid Utility）でRAIDの確認やHDDの交換、HDDのS.M.A.R.T.(スマート情報)表示などができます。

（スペシャルサンクス：http://o2studio.blog81.fc2.com/blog-entry-358.html）

追記：　立ち上げ不可になったHDDをマザーボードのSATAに接続したらデータは取り出せました。

2010-02-06

phpMyAdminのsetup.phpの脆弱性を突くサイバー攻撃を確認

Webサイト管理セキュリティインターネットサーバ構築

ちょっとセキュリティ関連が続きますが、これはちょっとヤバイので公開メモ。

MySQLの管理インタフェースとしてphpMyAdminを利用されている方は多いと思いますが、
ここ数日、Apache の access_log に以下のような怪しげな痕跡があったので気になって調べてみました。

パターン１

GET //phpmyadmin/config/config.inc.php?p=phpinfo();
GET //pma/config/config.inc.php?p=phpinfo();
GET //admin/config/config.inc.php?p=phpinfo();
GET //dbadmin/config/config.inc.php?p=phpinfo();
GET //mysql/config/config.inc.php?p=phpinfo();
GET //php-my-admin/config/config.inc.php?p=phpinfo();
GET //myadmin/config/config.inc.php?p=phpinfo();
GET //phpMyAdmin/config/config.inc.php?p=phpinfo();
GET //phppgadmin/config.inc.php?p=phpinfo();
GET //phpmyadmin2/config.inc.php?p=phpinfo();
GET //phpMyAdmin2/config.inc.php?p=phpinfo();
GET //mail/config.inc.php?p=phpinfo();
GET //webmail/config.inc.php?p=phpinfo();

パターン２

GET ///scripts/setup.php
GET //pma//scripts/setup.php
GET //phpmyadmin//scripts/setup.php
GET //phpMyAdmin//scripts/setup.php
GET //phpmyadmin//scripts/setup.php　←①
POST //phpmyadmin//scripts/setup.php　←②
GET //phpmyadmin//config/config.inc.php　←③
GET //phpMyAdmin//scripts/setup.php　←①
POST //phpMyAdmin//scripts/setup.php　←②
GET //phpMyAdmin//config/config.inc.php　←③

上記ログから攻撃の内容を推察すると、

パターン１のように、config.inc.php の存在確認と同時に引数を渡して phpinfo()関数を実行できるかを試行したり、
パターン２のように、setup.php の存在を確認したりしています。
パターン１は、すでに攻撃の下準備が済んでいる状態かどうかを確認しているものと思われます。
先ず問題となるのは、パターン２による一連のアクセスで、①setup.php へのアクセスが成功した後に、②なにやらPOSTして、③config.inc.phpが書き出されたか確認しています。

（当環境では以下に示すセキュリティホールの条件を満たしていないため難を逃れましたが、こんないかにもセキュリティホールになりそうな設定プログラムがインストールされていること自体知りませんでした。phpMyAdminのインストールについて紹介するホームページのなかには最後のセキュリテュ対策まで記述していないものも散見しますのでそれらを参考にしてインストールした方々は確認が必要と思われます。）

ググッたら昨年からいくつか記事がポストされていましたが、ここ最近増加傾向にあるようです。

まとめ。

【攻撃対象】
phpMyAdmin 2.11.x 系列の 2.11.9.5以前と、phpMyAdmin 3.x 系列の 3.1.3.1以前。

【条件】
1.phpMyAdmin 配下に「scripts/setup.php」が存在し不特定IPからアクセス可能。
2.phpMyAdmin 配下に「configディレクトリ」が存在し不特定IPからアクセス可能。
（「scripts/setup.php」経由で設定ファイルを作成するディレクトリ。phpMyAdmin セットアップ時に「setup.php」経由で設定を行った後に「configディレクトリ」を削除していない場合など。）
3.phpMyAdmin 配下の「config/config.inc.php」に不特定IPからアクセス可能。

【攻撃方法】
「setup.php」を探して見つかればアクセスして、任意のコマンドを実行できるようにするインジェクションコードを埋め込んだ設定ファイル（「config.inc.php」）を作成し、それを介して攻撃するようです。

【原因（セキュリティホール）】
対象バージョンの「setup.php」経由での「config.inc.php」作成時に、サニタイズが行われていないために任意のコードを実行できるインジェクションコードの埋め込みを許してしまう部分があります。

【対策】
最低限下記のいずれかを行う。
1.phpMyAdmin を最新バージョンへアップデートする。（phpMyAdmin download | SourceForge.net）
2.phpMyAdmin へアクセスできるIPを制限する。（「/etc/httpd/conf.d/phpmyadmin.conf」また「.htaccess」など）
3.phpMyAdmin へのアクセスに認証を設ける。（「/etc/httpd/conf.d/phpmyadmin.conf」または「.htaccess」など）
4.phpMyAdmin 配下の「setup.php」を削除またはパーミッション変更などによりアクセス不可とする。
5.phpMyAdmin 配下の「configディレクトリ」を削除またはパーミッション変更などによりアクセス不可とする。

この脆弱性自体は最近のものではなく、phpMyAdmin - Security - PMASA-2009-3で報告されていました。

少し追ってみると、攻撃可能な状態かどうかを確認するshスクリプトや、具体的に埋め込まれるインジェクションコードの例も公開されていましたが、攻撃手法そのものですので転記は止めておきます。

[スペシャルサンクス：phpMyAdminをハッキングしている記録と対策方法 | colori さんがサイバー攻撃であることの確信を与えてくださいました。]

2010-02-04

猛威を振るっている「Gumbler （ガンブラー）」対策(続報)

Webサイト管理セキュリティインターネットサーバ構築

昨日、JPCERTから「Gumbler（ガンブラー）」の挙動というか仕込む手口についての解析結果が続報として配信されました。

抜粋しますと、
以下のFTPクライアントによる接続(アカウント)情報をマルウエアによって窃取し、外部サーバへ送信するそうです。
当該ソフトでFTPをご利用の皆様は再確認を・・

- ALFTP 5.2 beta1
- BulletPloof FTP Client 2009.72.0.64
- EmFTP 2.02.2
- FFFTP 1.96d
- FileZilla 3.3.1
- FlashFXP 3.6
- Frigate 3.36
- FTP Commander 8
- FTP Navigator 7.77
- FTP Now 2.6.93
- FTP Rush 1.1b
- SmartFTP 4.0.1072.0
- Total Commander 7.50a
- UltraFXP 1.07
- WinSCP 4.2.5

全文は↓
FTP アカウント情報を盗むマルウエアに関する注意喚起

2010-01-13

猛威を振るっている「Gumbler （ガンブラー）」対策

Webサイト管理セキュリティインターネットサーバ構築

年始早々からテレビのニュースや新聞等で「Gumbler (ガンブラー)」ウィルスの報道が相次いでいますね。
大手企業などのホームページが改竄され（国内だけで少なくとも３５００サイトが感染、被害拡大中）、閲覧しただけでウィルスに感染するという厄介なヤツです。

JPCERTからは2010-01-07 19時過ぎに下記の内容がメール配信されました。
Web サイト改ざん及びいわゆる Gumblar ウイルス感染拡大に関する注意喚起
抜粋しますと、
ウィルスを仕込まれたホームページを閲覧したユーザが、以下のソフトウェアの脆弱性をつかれてウィルスに感染するようで、対応したアップデートが必要となるようです。
・Adobe Flash Player
・Adobe Acrobat
・Adobe Reader
・Java(JRE)
・Microsoft 製品

また2009-12-24には先見の明なのか上記に先んじて、
Web サイト経由でのマルウエア感染拡大に関する注意喚起（冬期の長期休暇を控えて）
Adobe Reader 及び Acrobat の未修正の脆弱性に関する注意喚起
も配信されています。

どうやら制作会社のFTPのIDとPasswordが盗まれてホームページにコードが埋め込まれたのではないかというのが大方の見方のようです。サイトを預かって制作管理している側にとっては信用問題ですよね？

うちではRSA鍵認証を使っているので秘密鍵自体を盗まれない限りはサーバに入れないですが、FTPで平文のIDとPasswordによる認証でファイルをやりとりしているところもまだ多いことでしょう。

「Gumbler (ガンブラー)」については、ググれば（判で押したように）似た記事がたくさん出てきますが、サイト管理者向けには下記が独自の実験と考察により詳しくまとまっていると感じましたのでそのままご紹介とさせていただきます。

ガンブラー（Gumblar）ウイルスからパソコンを守る"６つの対策" [無料] ( その他インターネット ) - 無題なブログ - Yahoo!ブログ
 ガンブラーウイルスについての誤った情報にご注意ください。 ( その他インターネット ) - 無題なブログ - Yahoo!ブログ
 改ざんコードのライセンスを『/*GNU GPL*/』から『/*LGPL*/』へ変更 ( その他インターネット ) - 無題なブログ - Yahoo!ブログ
 「Yahoo!占い」の一部ページが改ざん被害（Gumblar.x） ( その他インターネット ) - 無題なブログ - Yahoo!ブログ
 不正な改ざんコードに見る｢Gumblar｣｢Gumblar.x｣｢8080｣の違い ( その他インターネット ) - 無題なブログ - Yahoo!ブログ

それにしても、長期間公表しない企業体質って何なんでしょうね･･･
http://toyscrown.com/articles/net/2010-0108-1846-234.html
http://toyscrown.com/articles/net/2010-0112-1930-242.html

2009-11-18

"Todoist"をますます便利にするFirefox Add-on "Todoist.com Sidebar"

パソコン Mozilla Firefox アドオン GTD

このブログをお読みの皆さんはGTD(Getting Things Done)はご存知だと思いますので、
GTDの考え方に関しては他（*１、*２など）に譲るとして、皆さんはツールをご利用ですか？

私は、デジタルのToDoリストをGTDに使っています。
数年前まではほぼToDoリストとスケジュール管理のためだけにPalmを利用していましたが、ここ数年はWebサービスに移行しています。

WebサービスのToDo管理といえば、"Remember The Milk"や国産では"check*pad"など有名ですね。

私はいくつかのツールを試してみて、"Todoist"を数年来愛用しています。
そして常に先頭のタブに開いておいて、"Ctrl+1"で表示みたいな使い方をしてきました。

しかし調べ物とかで何十個もタブを開くようなときには、今は関係ないタブは少しでも閉じておきたいですよね？でも必要なときにはスグ見たい。

そんなあなたに"Todoist"をFirefoxのサイドバーに表示するAdd-on "Todoist.com Sidebar"が出ていたのでご紹介。
Firefoxのツールバーボタンに追加される"T"ボタンやショートカットキー"Alt+q"で、"Todoist"をサイドバーにトグル表示します。

これ使ってみると思った以上に便利です！
「ToDoリストを確認」→「作業する」の繰り返しではなく、ToDoリストを常に脇に表示しておけるおかげで確認・追加・チェックオフ(済みに)しながら作業が進められるので、"Todoist"をますますお気軽便利に使えます。

（なんと便利なアドオンをありがとう！と思ったら、作者はAjaxライブラリ"GreyBox"のamix3kさんなんですね。流石と云わざるを得ません。）

ほかにも"Todoist Anywhere"というのも出てました。
これは、ポップアップで表示するものです。私には画面がちょっと小さい気がしましたがこれも便利そうです。

[追記：2009-11-19]
上記"Todoist.com Sidebar"はサイドバーを右側に表示するのですが、左側の方がいいなぁと思いちょっとだけコードを変更しました。いいのかどうか分かりませんが今のところうまく動いていますのでご参考までに。

~~firefoxのextensionsフォルダから当該のAdd-onを探し、chrome→content内のtodoist.jsの73行目を以下のように書き換え。（自己責任でお願いします）~~

~~%HOMEDRIVE%%HOMEPATH%\Application Data\Mozilla\Firefox\Profiles\[xxxxxxxx].Current Setting\extensions\{xxxxxxxxxxxxxx}\chrome\content\todoist.js~~

 > browser.className = 'sidbar_right';
 < browser.className = 'sidbar_left';

[追記：2010-01-16]
上記のコード変更をレビューとともに投稿しておいたら他のユーザさんから反応があり、CSSに定義されている箇所があるからそっちを変更したほうがいいんじゃないかい(^^;とのことです。

%HOMEDRIVE%%HOMEPATH%\Application Data\Mozilla\Firefox\Profiles\[xxxxxxxx].Current Setting\extensions\{xxxxxxxxxxxxxx}\chrome\skin\todoist_sidebar.cssの19行目の"rtl"を"ltr"に変更。

 > direction: rtl;
 < direction: ltr;

アイデアを持ち寄ってより良くしていく。オープンソースの醍醐味ですね･･･

2009-11-11

Firefoxのアドオン　ポップアップ辞書”フェッチイミ”

パソコン Mozilla Firefox アドオン

Firefoxのアドオンでいいものを見つけましたので公開メモ。
英語を読むときに単語にマウスカーソルを合わせるだけで訳をポップアップで表示してくれるアドオン
"フェッチイミ(FetchImi)" です。

ポップアップ辞書はいろいろと公開されているので何種類か使ってきたのですが、筆者は「おっ！これだ！」というものに巡り会えないでいました。利用者それぞれの好みだと思いますが筆者の要件(要求仕様を出して発注した訳でもないのに厚かましい表現ですが)は以下の通り。

１．オン/オフをワン・アクションで切り替えられること。(英文をマウスカーソルで追いながら読んでいるときにポンポンとポップアップして制御をとられると煩わしい時があるので)
２．発音記号が表示されること。
３．願わくば発音も聞けること。
４．複数の品詞または意味を持つ単語の場合に、品詞または意味の番号（ってわかりますよね!?　1.○○○　2.△△△ ってやつです）の表示が判別しやすく読み飛ばしが容易なこと。
５．ポップアップ内容はパッと見てすぐ理解できる程度の情報量で（巻物のように表示されると本文に集中できない単細胞なので）、用法や例文などを詳しく知りたいときにオンライン辞書本体（本サイト）にワン・アクションで飛べる機能があること。
６．できれば、国産か怪しい活動をしないところのものでお願い･･･(--;)

かなり、ワガママです (^^;)

ところがそれを満たしてくれる"フェッチイミ(FetchImi)"を発見しちゃいましたのでご紹介。

ポップアップ辞書を表示中に、スピーカー・アイコンがアクティブな単語のときは"f"キーで発音も聞けますし、"a"キーで本サイトを新しいタブで開いてくれます。完全には難しいと思うのですが変化形などの単語もそこそこ自動判別してフェッチしてくれます。デザインもUIも個人的には必要十分以上。
おもしろいところでは熟語も自動判別してくれます。

素晴らしいアドオンを公開してくれてありがとう！

まだポップアップ辞書を使ったことがない方や今のものに満足されていない方は一度お試しになってみてはいかがでしょう〜か!?

2009-11-10

Open Source CMS Award 2009（オープンソースCMSアワード）発表

Webサイト構築 CMS

現在、とあるプロジェクトで採用するCMSの選定をしているのですが、今年もちょうど発表の時期なので、
"Open Source CMS Award" の結果が気になります。
百花繚乱（というかオープンソース CMSだけで500以上はある模様）のこの分野においては、役に立つ指標のひとつです。
また、「○○○はＸＸＸＸ年に△△△で賞を取っっています」っていうと、その分野に明るくない方々に説得力があるばかりでなく、トレンドやらひいては後の勢力図にも影響しちゃうから無視できません (･･;)

Google Trends （WordPressは比較基準として）

世界的な潮流は↓

国内だけでみると↓

うーむ・・・ (-。-) ﾀｲﾑﾗｸﾞ,ｺﾄﾊﾞﾉｶﾍﾞ,ｺｸﾐﾝｾｲ･･ﾌﾞﾂﾌﾞﾂ

注目している候補の今年の結果が気になります。

先ほど確認したら、本年度の
◆"Best Other Open Source CMS"のWinnerは"Plone"。
次点は"dotCMS"と"mojoPortal"。

でも知りたいその他の結果は一日おきに発表。

"Best Open Source PHP CMS": winner to be announced on November 10, 2009
"Most Promising Open Source CMS": winner to be announced on November 11, 2009
"Hall of Fame": winner to be announced on November 12, 2009
"Best Overall Open Source CMS": winner to be announced on November 13, 2009

焦らしますね、ドラムロールの人も大変そう･･･ (^^;)

[追記：2009-11-11]
◆"Best Open Source PHP CMS"のWinnerは"Drupal"。
次点は"WordPress"と"Joomla!"。

[追記：2009-11-12]
◆"Most Promising Open Source CMS"のWinnerは"ImpressCMS"。
次点は"Pixie"と"Pligg"。
。
初めて聞きました。

"XOOPS"から派生したコミュニティポータル構築用のCMSだそうです。"XOOPS"から派生したといえば"XOOPS Cube"と"XOOPS Cube Legacy"が有名ですが、その名のとおりより見栄え良くというかユーザー・フレンドリ(素人さん向け)にしたもののようです。

当然沸いてくる「XOOPSと何が違うの？置き換える必然性は？」という疑問への本サイトの回答の一部を要約すると、
◇ネイティブで多言語対応。（といいつつ中国語はあるのに日本語はまだ公式にないみたいなんですけど先生･･･今後はますますこういう冷遇が･･･ﾌﾞﾂﾌﾞﾂ）
◇管理者が直感的に管理できるように管理画面インターフェースを刷新。
◇デフォルトや代替のテーマのデザインを良くした。
◇ブロックの配置がより柔軟にできるようになり、複製も容易。

と、デザイン面をアピール。

その他には
◇インストールしやすい
◇セキュリティ云々
◇自動バージョンチェック
みたいなまあいまどきのCMSは全部備えているようなことが書いてある･･･ようです。

「デフォルトテーマを良くした」、「管理画面が直感的」とおっしゃるのでついでに

"Most Promising"らしいので期待したいと思います。

[追記：2009-11-13]
◆"Hall of Fame"のWinnerは"Drupal"。最初の"栄誉の殿堂"入りを果たしました。

このカテゴリは今年度から新設されたもので、過去の総合優勝経験者からエントリされ、
今年は2大巨頭"Drupal"と"Joomla!"の一騎打ちでした。

そしてこのカテゴリにはさらに2つのサブカテゴリがあり、"テーマ"と"拡張機能（各プロダクトにより呼び方はさまざま）"が審査されます。これもいい制度ですね。

Drupal Awardのテーマ部門は"Zen"、モジュール部門は"Views"。

Joomla Awardのテーマ部門は"Affinity"、エクステンション部門は"noixACL"。

さて、明日はいよいよ今年度の総合優勝部門の発表です。

[追記：2009-11-14]
◆"Best Overall Open Source CMS"のWinnerは"WordPress"。
次点は"MODx"と"SilverStripe"（だと思う）。

おめでとう！
でもこれまでの流れからいって、ここで大御所とは正直意外でした。
これで来年からは、"Hall of Fame"は"Drupal"と"Joomla!"と"WordPress"の戦いとなります。こう並べて見ると幅広く色の違う製品が競い合うわけでいいかもしれませんね。たしかに"WordPress"の功績は"栄誉の殿堂"入りの機会が与えられてしかるべきかもしれません。

参考までに、これまでのオープンソースCMSアワードの結果を追記しておきます。

【The 2008 Open Source CMS Award】
Overall Winner
1. Drupal
2. Joomla!
3. DotNetNuke

Most Promising Open Source CMS
1. SilverStripe
2. CMS Made Simple
3. ImpressCMS/MiaCMS

Best PHP Open Source Content Management System
1. Drupal
2. Joomla!, CMS Made Simple

Best Other Open Source Content Management System
1. Plone
2. dotCMS
3. DotNetNuke

【The 2007 Open Source CMS Award】
Overall Winner
1. Drupal
2. Joomla!
3. CMS Made Simple

Most Promising Open Source CMS
1. MODx
2. TYPOlight, dotCMS

Best PHP Open Source Content Management System
1. Joomla!
2. Drupal
3. e107

Best Other Open Source Content Management System
1. mojoPortal
2. Plone
3. Silva

Best Open Source Social Networking Content Management System
1. WordPress
2. Drupal, Elgg

【The 2006 Open Source CMS Award】
Overall Winner
1. Joomla!
2. Drupal
3. Plone