Gehoo! JAPAN

匿名性向上＆漏れ串活用に新発見 - 2002年 3月11日（月）18時53分

先ほど荒らし界にてトップスキルを誇る二者の対談があり、新匿名性向上技術と漏れ串の新しい有効活用法が明らかになった。
荒らし達にとって匿名性の向上は死活問題である。今回の発見は嬉しい次第であろう。

名称未設定　　投稿者：Storm 　投稿日： 03/10 Sun 13:12:32　 [認識ＩＤ:iA/J8p71ONQ]
ランダムプロキシ機能は以前からリクエストがありましたので、実装したいと思います。でも、難しそう・・時間がかかると思います。

初期型Stormは、HTML解析のために読み込む時、生で読んでいました。
今のは読むときも書くときも串経由なので遅くなります。
Proxy欄を設定して、Proxy readのチェックをはずすと、読むときは生、書くときは串経由になり速くなります。
しかし、匿名性が低下しますし、Tea-Cupだと正常に読めません（原因不明）。

速くするには、早い串を使うのがいいです。串のソフトがSquidなら、X_FORWARDED_FORを上書きして、漏れ串を匿名にできます。
漏れ串、匿名串に関わらず、早い串を使う方がいいです。

以前、ひみこーど突破のデモをしたとき、漏れ串を使い、X_FORWARDED_FORを上書きしていました。
被害者がログを取り寄せるとか言ってたので、漏れ串が匿名になったのは間違いないです。

X_FORWARDED_FORを上書きするには、EnviromentのX_FORWARDED_FOR欄に127.0.0.1とか適当なIPを入れて下さい。

--------------------------------------------------------------------------------

＞Storm　　投稿者：aaa.com 　投稿日： 03/10 Sun 16:59:51　 [認識ＩＤ:PVUoWFTz53E]
＞串のソフトがSquidなら、X_FORWARDED_FORを上書きして、漏れ串を匿名にできます。

それって本当かい？
StormでPOST時（GET時）にhttpヘッダに追記してるんだろ？
串・Storm・ターゲットとなるなら串側から受け取ったX_FORWARDED_FORを上書きできるのはわかるが、
Storm・串・ターゲットとなってるわけだから上書きできないのでは？
串側には本来の漏れIP設定（X_FORWARDED_FOR）がされているので、Stormからhttpヘッダを受け取っても、それを串側は追記するだけだと思うんだが。
つまり、X_FORWARDED_FOR＝200.200.200.200　172.0.0.1　みたいに感じにな。
もし本当に串側のX_FORWARDED_FORを書き換えれるなら凄いと思う。

＞＞クポッ
今後は認識ＩＤ:PVUoWFTz53E　で頼む。

--------------------------------------------------------------------------------

名称未設定　　投稿者：aaa.com 　投稿日： 03/10 Sun 17:03:58　 [認識ＩＤ:PVUoWFTz53E]
＞つまり、X_FORWARDED_FOR＝200.200.200.200　172.0.0.1　みたいに感じにな。

自己レス。
上のは間違いで、先に Stormのヘッダ、その後漏れIPとなるはず。
X_FORWARDED_FOR＝172.0.0.1　200.200.200.200　みたいに。

ＩＤ変更、さんきゅ＞クポッ　　投稿者：aaa.com 　投稿日： 03/11 Mon 01:01:19　 [認識ＩＤ:PVUoWFTz53E]
＞＞Storm
ところで「X_FORWARDED_FORを上書き」の件なんだが、Stormが実行できる環境にないのでPerlで適当なhttpクライアント作ってX_FORWARDED_FORを送る実験してみたが、やはり「上書き」はできなかったな。
もしかして、StormにはSquid串のX_FORWARDED_FORをバグらせる特別な文字列でも送ってるのかい？
誰か下のCGIをアップして自分で試し撃ちしてみてくれよ（藁
例えば、proxy.stealth.com.au:80　のSquid串をStormにセット、X_FORWARDED_FORに127.0.0.1と入れて下のCGIを撃つと、203.23.200.20 - 127.0.0.1　と記録されるかい？
普通だったら上書きはされないので、203.23.200.20 - 127.0.0.1, ***.***.***.***(生IP）　と記録されるはずなんだが。
#! /usr/bin/perl

$log = 'log.txt';# アクセスログ
$host = $ENV{'REMOTE_ADDR'};
$xfor = $ENV{'HTTP_X_FORWARDED_FOR'};
$aclog = "$host - $xfor\n";
open(LOG,">>$log") || die "Can't Open access_log: $!\n";
print LOG "$aclog";
close(LOG);
print "Content-type: text/plain\n\n";
print $ENV{'REMOTE_HOST'};
print "$aclog";
exit;
__END__

--------------------------------------------------------------------------------

[NEW!] Re:storm　　投稿者：Storm 　投稿日： 03/11 Mon 09:15:18　 [認識ＩＤ:iA/J8p71ONQ]
＞＞aaa.comさん

私が
Force 264掲示板で実験した限りでは、
X-Forwarded-For: 127.0.0.1の様に、ハイフンと小文字だと追記。
X_FORWARDED_FOR: 127.0.0.1の様に、アンダスコアと大文字だと上書き。
となりました。
串の環境変数が変わるわけでなく、ターゲットのサーバ上でX_FORWARDED_FORを2回定義するので上書きされます。

＞メル鯖全部ハクってやったんだよ（藁
＞もっと知りたければ教えるよ（藁

そうでしたか。魅さんに失礼なことを書いてしまいました。
臭いちんぽさんの個人情報に興味は無いのですが、メールのハクり方を知りたいです。

aaa.comさんがアップされたCGIはStormでは撃てません。Stormはページの一番最初にあるtextareaを含むformのブロックを攻撃する仕様になっています。だから串板は撃てないのです。

Tea-Cupについては、串経由なら書けますので誤解しないで下さいね（当然、串規制されてないことが前提）。

[NEW!] はじめまして
　　　投稿者：Storm 　投稿日： 03/11 Mon 09:17:44　 [認識ID:lqMJPO4oedI]
＞＞aaa.comさん
どうでしょうか？X_FORWARDED_FORが上書き出来てますでしょうか？

＞＞魅さん
某掲示板では大変失礼なことを書きました。御免なさい。m(_ _)m

--------------------------------------------------------------------------------

[NEW!] Re:はじめまして　　投稿者：aaa.com 　投稿日： 03/11 Mon 12:05:43　 [神]
いらっしゃい（藁
あっちのレスね。

＞私がForce 264掲示板で実験した限りでは、
＞X-Forwarded-For: 127.0.0.1の様に、ハイフンと小文字だと追記。
＞X_FORWARDED_FOR: 127.0.0.1の様に、アンダスコアと大文字だと上書き。
＞となりました。

げげーーん！
本当だね。自分でもテストして確認した。
今までずっと httpのリクエストヘッダは、X_FORWARDED_FORに限らずすべてハイフンでやってたから知らなかったよ。
UA なんかもハイフンでそのままでＯＫだし。
X_FORWARDED_FOR の場合だけハイフンとアンダスコアで挙動が違うなんて酷いじゃないか（藁
しかも環境変数の格納場所がどっちも同じっつーのがややこしい。
それで今まで何年も気づかなかったよ（藁
ほとんどの人は（Perlプロクシ等）ヘッダはハイフンでやってるんじゃないかな。

ちなみにヘッダの書き換えを色々テストしてみたけど、
FORWARDED、VIA は書き換えできず。
CLIENT_IP、CACHE_CONTROL は書き換えＯＫ
特に SQUIDソフトじゃなくて CLIENT_IP に生IP漏らすサーバーソフトの場合はハイフンとアンダスコアどっちも書き換えＯＫだね。

＞串の環境変数が変わるわけでなく、ターゲットのサーバ上でX_FORWARDED_FORを2回定義
＞するので上書きされます。

「書き換え」っていうより、リクエスト元にヘッダが入っていたら新たに串サーバー側で書き換え（設定）しない、ってことじゃないかな？
つーか、これってソフト的にマズいんじゃないか（藁
串サーバーソフトウエアの設定の意味なくなるし。
この板をソフトウエア開発の人が見てたらパッチ当てられるかも（藁

--------------------------------------------------------------------------------

[NEW!] Re:はじめまして　　投稿者：aaa.com 　投稿日： 03/11 Mon 12:18:22　 [神]
お礼を言うのを忘れてた＞Storm氏

俺的にはすごい面白いネタだったよ。ありがとう。
Stormに限らず、ローカルでhttpクライアント（ガブやリリス、Proxy伝説等）を動かしてる人やCGIプロクシー使ってる人にとっても良い情報だったんじゃないかな。
今、手元にあるリリスやあの有名な J Marshall氏の CGI Proxy のソースも確認してみたけどヘッダの設定はハイフンでやってるね。
まぁ、これで漏れ串も有用活用できる（藁
あ、俺は荒らしじゃないからあくまでも匿名性確保のためね（藁＞漏れ串も有用活用

[ 荒らし界スポークスマン 2002年3月11日 ]