カテゴリー
日記

HTMLインジェクション事件で改めて5chのセキュリティやばいなと感じた話

UAにHTMLコードを埋め込み可能というセキュリティリスクが発見されました。

<font>タグで文字に色を付けたり、<br>タグで大量に改行しスレを埋め尽くす事が可能なようです。(現在は修正済)

HTMLインジェクションの様子
本来文字の色は黒ですが、HTMLタグの影響で赤色になっています

流石にscriptタグは弾かれたようです。(書き込みすら不可)Clouflare様様ですね。

今回はお遊び程度で済みましたが、HTMLインジェクションが出来る時点でセキュリティガバガバです。(5ch自体システムが古臭く、バレてないだけで色々な穴がありますが)

昔はrequestヘッダ弄らなくても適当なUAでも通ったし

それどころか海外VPNすら通ってたしいい時代だった・・・

5chのセキュリティガバガバを証明するものとして有名なのが●流出事件でしょう。2ちゃんねる有料会員アカウント「●(現浪人)」を購入していたユーザの個人情報が漏洩する事件がありました。

何故漏洩したかと言うと「さっしーえっち」と名乗るクラッカーによりシステム侵入を受けた為です。その情報がTor板に公開された事により祭りに。自作自演をしていた人気ラノベ作家がいたりと当時のユーザなら誰しもが記憶に残るような大事件でした。

尤も今の5chに攻撃する価値があるかと言われると微妙なのですが。。。

カテゴリー
コラム

Proxymanというwebデバッグプロキシが結構有能な件

色々な理由でパケットキャプチャを行う事があり、PCではFiddler、Androidはパケットキャプチャーなどを使用しています。

iOSでは「proxyman」というデバッグツールを使用しているのですが、こいつが中々に有能です。

インストールはこちらから

https://proxyman.io/

UIもコンパクトで見やすいので、パケットキャプチャ初心者でも使いやすいと思います。

使用方法

とても簡単です。proxymanの方で分かりやすい説明が出てくるので、ここに書く必要もないでしょう。それでも分からない人はこちらをご覧ください。

使うまでの過程で、証明書をインストールする必要があるのですが、それを忘れるとSSL(https)化されたサイトのキャプチャが出来ないのでそこだけ気を付けてくださいね。

2chapiproxyとか使ってる人はこういうの好きそうですね・・・。

カテゴリー
日記

ココナラ運営に今後の利用禁止を言い渡されました

F9です。

ココナラ運営より以下のメッセージを受け取りました。

F9ホットラインセンター支援者さん

いつもココナラをご利用いただきありがとうございます。

F9ホットラインセンター支援者さんのアカウントにおいて「利用規約」「ココナラのルール」で定める重大な禁止行為を確認したため、サービスを下書きにした上で今後のココナラのご利用をお断りさせていただきます。
——————————————–
取り下げ理由
・ココナラ外部での直接取引及び決済へ誘導する行為を検知したため


・他社の規約に抵触する恐れがあるサービス
(該当箇所:荒らしを代行、荒らしサービス)

該当サービス
サービス名:F9です。5chなどの火消し・荒らしを代行します 業界最安値で高品質の火消し・荒らしサービスを提供
https://coconala.com/mypage/services/2339622?uid=3312128

私は利用禁止を言い渡された事もそうですが、同じようなサービスは禁止されず何故私が締め出されなければならないのかと疑問を抱きます。

そもそも5chは削除依頼がまともに機能していない以上、悪質な中傷スレへの唯一の対抗策はスクリプト連投のみです。確かに規約的な問題はあるかもしれませんが、それは誹謗中傷や名誉毀損問題に対応しない運営の怠慢が引き起こした事です。私が悪であると言われる筋合いはありません。

自分の身は自分で守る事が必要な時代です。強姦に襲われている最中に通報しても、被害を被ることは避けられません。被害届を出しても事後的対応になります。リアルタイムで刃物片手に襲い掛かってくる暴漢への対処法は通報や訴訟ではなく、戦う事他ありません。

私個人としてはネットリンチスレを潰す「荒らし」は正当防衛の一環であると捉えています。黙っていれば中傷や毀損の嵐を真向から受け止める事になります。「警察に通報しろ」と言う人もいますが、警察も暇ではない上に権威主義の公務員様なのでそう動きません。そもそも誹謗中傷や名誉毀損は親告罪なので、被害届が出されない限り警察が動く事は出来ないのです。自宅への嫌がらせ(器物破損)や暴力的行為(暴行罪、傷害罪)がなければ。

ココナラ運営の対応には失望しました。

カテゴリー
コラム

Androidのおすすめマクロツールを紹介

Androidでは様々なマクロツールが使えます。マクロツールとは簡単に言うと操作を自動化するツールです。

マクロと聞くと、VBAでの作業自動化を思い浮かべる人も多いでしょう。 何も知らない人からすれば、「マクロツール?何それ」位の認識でしょうが、使い方を覚えると日常生活でも便利なので是非使ってほしいと思います。

例えば「場所によってマナーモードを自動でオンオフする」「家に付いたらWifiを自動でオンにする」といった作業を自動で行う事が出来ます。これによって電車でマナーモードをオンにし忘れたり、Wifi接続をしないままモバイルデータ通信でYoutubeを見てしまったり・・・といったアクシデントを未然に防げるのです。

Seleniumやappiumのようにプログラミング言語の知識を求められる事も殆どない為、使い方も難しくありません。変数や関数に関する知識があればより使いこなせるようになりますが、無くても基本的な操作は問題なく実行できます。

ちなみにiosでもIFTTTやWorkflowなどの自動化ソフトがありますが、ここでは紹介しません。

操作の自動化に関して

タイピング イメージ

RPA(Robotic Process Automationの略)技術自体はとても身近です。

ある程度PCを使っている人ならばPower Automate desktopやUWSC、Autoit、Pulover’s Macro Creatorなど多数のマクロツールの存在を認知し、実際に使っている場合もあるかと思いますが、スマホネイティブ世代やPCを全く使わない人ですとPCに触れる機会が乏しく、ツールどころか「ディレクトリ?バッチファイル?ファイルパス?知らねーよそんなもの」といった感じでPCを使い慣れている人なら常識レベルの知識すらも持ち合わせていない事が多々あります。

ただ今回紹介するツールは全てAndroidデバイス上で動作するもので、PC知識やプログラムの知識がない人でも問題なく使えます。私生活から娯楽まで全てが快適になるので、知らないと損ですよ。

その1.Frep

マクロツールを使う人なら知らない人はいない位有名なツールです。無料版は記録を3つまでしか作れないですが、有料版を購入すると無制限に記録を作れます。

インストールするだけでは使えないのでPCや別のAndroid端末でFrep設定ツールをインストールしてUSBで繋いで認識させる必要があります。導入が面倒ですが、とても便利なツールなので我慢しましょう。

使い方はFrepタッチパネルの赤い丸ボタンを押して操作を記録し、記録が終わったら端末の電源ボタンを押します。それで記録が完了するので、後は好きなように記録をカスタマイズしましょう。

基本的な操作はこれだけで自動化出来ますが、関数や変数の知識を身に着けておくとより複雑な操作を実行する事も可能になります。またスクリーンショットを用いた画像認識機能もあり、これも大変便利です。

詳しくは下記公式サイトで

その2.Macrodroid

こちらも有名なマクロツールです。Frepと違い、導入もアプリを入れて終わりなので楽です。無料版は5つまでしかプログラムを作成できませんが、有料版を購入すると制限がなくなります。

トリガー・アクション・(条件)を設定して自動化させる事が出来ます。例えば「イヤホンを接続した時にボリュームを下げるようにする、しかし画面がOFFの時は実行しない」というプログラムを作った場合は「イヤホンを接続する」のがトリガーとなり、「ボリュームを下げる」のがアクション、「画面がOFFの時は実行しない」が条件となります。ここでいう条件はプログラミング言語におけるIF文と同じものだと捉えてもらって構いません。

一番初めに紹介したFrepと連携させる事も出来ます。「〇時になったらFrepの記録を再生する」といったプログラムをすれば手動でFrepを起動させる必要もなくなります。スマホゲームでの周回作業なども全て自動化させられる訳ですね。

https://www.macrodroid.com/

その3.Tasker

マクロツールです。Macrodroidと同じ感じです。ただし有料です。

かなり多機能で複雑な操作も自動化出来る神ツールです。故に慣れないと少し苦労するかもしれませんが・・・。慣れてきたら変数を用いてプログラムを作ってみましょう。案外楽しいですよ。

https://tasker.joaoapps.com/

その4.オートクリッカー

画面を自動タップするツールです。上記で紹介したツールと違って簡単な連続タップしか出来ないので複雑な操作には不向きです。

ただ逆に言えば簡単な操作は出来る訳なので、特に複雑な操作を自動化する予定がないのならば十分使えます。

番外編 PCでadbを利用して自動化する

adbファイルがある場所でコマンドプロンプトを開き、それを実行する事で自動化する事も出来ます。Android側の設定はUSBデバッグをONにし、adbコマンドを許可します。

adbコマンドには主にtouchscreen(画面をタッチ)やswipe(画面をスワイプ)などがあり、それに応じたプログラムを作る事が出来ます。

Pythonを用いた画像処理と合わせてスマホゲームを自動化する・・・といった事も可能です。ただ個人的にはFrepでプログラム作った方が楽な気はしないでもないですが・・・。

ここで紹介したツールはAndroid用ツールのみですが、PC用やios用の物を含めれば沢山のRPAツールがあります。自分に合ったツールを探してみましょう。

カテゴリー
コラム

APIプロキシでUAを偽装し5chの規制を突破する

Detour2ch画像
2022年6月13日に更新しました。現在はテンプレート機能を用いて偽装する必要があります

F9です。5chで規制されて書き込みが出来ないという方も大勢いるかと思います。

私も当初は現運営の新規制システムの対策に悩まされました。規制された原因を探る為に調べまくったり5ch運営関連板やソフトウェア関連、専ブラスレなど様々なスレや板をヲチしてUA(もしくはリモホとの複合規制)が原因だと言う事が分かりました。

ブラウザを変えたりモバイルビューからデスクトップ表示に変更するといった方法でUA変更をする事は可能ですが、端末のUA自体が規制されると、それだけでは回避が出来なくなります。

UA偽装をする方法は様々で、デベロッパーツールを用いた偽装やアドオンを用いた偽装、ProxomitronFiddlerなどのローカルプロキシを用いた偽装などがあります。

ここではAPIプロキシを用いたUA偽装の方法をここに書きたいと思います。とは言ってもある程度規制について知識のある人にとっては今更な内容でしょうし、私も一部を紹介するだけで全ては書きません。(規制が増えても嫌だし。)

PCだとUA偽装も敷居が低いのですが、Androidやiosだと中々大変(というかスマホ対応の偽装ツールが少ない・・・)だったりします。UA偽装アドオンもスマホ対応していないものが多いですし、ブラウザの機能を使って偽装する事も出来ないです。

ちなみにここで紹介する方法はUA規制のみの場合に限った回避方法で、リモホ名との複合規制の場合は回避できない場合もあります。ご注意ください。

APIプロキシアプリ「Detour」を使う

Androidの定番のAPIプロキシですね。Filter Proxyと並んで有名かと思います。ただしSSL/TLS化された5chではHTTP通信にしか対応していないFilter Proxyを使う事は出来なくなったようです。

さて、このDetourですが、ios版は現在の所リリースされていないようです。

公式サイトからDetourのzipファイルをダウンロードしてください。Android版をダウンロードする際はSDカードを用意する事が推奨されています。(UAを偽装するだけなら無くても問題ないかも)

ファイルをダウンロードしたら解凍して開きましょう。OSごとに少し操作が異なりますが、概ね同じです。各OSの設定方法は以下を参考に。

Android版の設定方法

Windows版の設定方法

Linux版の設定方法(コンソール版)

動作モードはHTML、API、JSONの3つがありますが、HTML辺りで問題ないと思います。書き込む際に使いたいUAを設定してください。ただしこの時に設定するUAは必ず正規のものにしましょう。Windows8998とかF9bakaとかoperation dieとか出鱈目なUAを設定しても弾かれてしまいます。書き込めるUAを探してきましょう。

サイト通りに一通りに設定が終わったら専ブラのプロキシ使用欄にチェックを入れてアドレス欄とポート欄に設定通りの値を入力してください。

ちなみにAndroid版は設定が終わった後、chmateでDetourを使う際はアプリ自体に細工をしないとUA置き換えが出来なくなったそうです。検索用URLを追加する方法と専ブラアプリのリソースに自己CA証明書を追加する方法がありますが、公式アプリでは前者を推奨しています。後者は非常に手間が掛かるのでお勧めは出来ません。分からない方はサイトを見て設定しつつ、apktoolを用いてapkファイルをコンパイルし、アプリのビルド・署名・再配置をして5ch.netサーバー証明書を埋め込みサイト通りにSSL通信設定を行えば完了です。

設定が終わったら書き込みが出来るように設定しよう

さて、Detourを一通り設定し終わり書き込もうとすると「不正なプロキシを検出しました」というメッセージが出て規制されたという方もいるでしょう。UA偽装対策なのか、この新システムの追加でUA偽装が面倒なことになりました。(糞運営余計な事しやがって・・・)

この状態でUAだけを偽装して書き込もうとしても無駄です。何を設定しても弾かれます。

規制に引っかかりまくり死に物狂いで規制回避方法を分析・検索しまくったところヘッダとリファラーが問題だと気づき設定をしました。

どうやら今の5chでは書き込みの際に送信されるホスト名やUAだけでなくヘッダの情報も含めて規制しているようで、リファラーが変だったりすると弾かれるようです。Cache-Control等のプロキシにありがちなヘッダーは勿論、itestから書き込まれた際にフォームのパラメータに oekaki_thread1=(お絵描き機能)がないと弾かれるようなので、今後はヘッダも含めた規制対策方法を考えていく必要がありそうです。

さて規制回避方法ですが、Detourのヘッダ設定を

–bbccgi-header=”Accept: text/html” –bbscgi-header=”Accept-Language: ja” –bbscgi-header=”Referer: http://www.5ch.net/”;

と設定しましょう。(これでも書けない場合はリファラーの設定をitestにするといいかも?)ただ、元々UAが焼かれている場合はヘッダだけ設定しても無駄なので注意してください。あとヘッダ設定が終わった後は書き込みにヘッダ置換を許可するようにチェックも忘れずに。

現在はこの方法だけでは回避できなくなっています。

テンプレート機能でUAを偽装

Detourの公式サイトを見ればやり方は乗っていますが、現在はテンプレート機能を使って、UAを偽装する必要があります。インストールしたDetourファイルの中に、bbstemplate.〇〇.txtというテンプレートファイルが同梱されているので、それを基に偽装をします。

2022年4月からのAPI新仕様化によって、従来の方法では偽装が出来なくなっています。専ブラ関係やAPIkeyやHMkeyを用いて偽装する必要があり、BB2CなどのUAはAPI新仕様化に対応していない為、使えなくなりました。

chromeやfirefoxはHTMLモードで偽装します。

複合型規制の場合はIPも偽装する

UA規制だけならばそのまま偽装して書き込めばいいですが、リモホ名で規制を受けている場合はそうもいきません。書き込めるVPNや串を探してIPを偽装しましょう。Androidから串を使う場合はDronyというアプリがおすすめです。root化していなくても認証処理が可能です。

VPNにしろ串にしろ必ず日本サーバーのものを選んで接続してください。無料VPNだと弾かれるものが多いですが、VPNgate辺りだと比較的書き込み出来るサーバーが見つかりやすい気がします。後はひたすら書き込みができるVPNやプロキシを探しまくってください。5chに書き込むだけなら匿名性やセキュリティはそこまで気にしなくても問題ないです。最悪フリーWifiでしのぐ手もありますが、面倒だと言う人は大人しく浪人を購入しましょう。

関連サイト

・色々なAPI串やツールが載ってるサイト→リンク先

カテゴリー
コラム

【2021年版】色々なVPNについて評価していく

2022年7月追記 この記事の内容は古いです、またガチの匿名化として使えるものではなく無料VPNを中心に紹介しております。ガチで匿名化をしたい場合は有料VPN(MullvadやAirVPNやPIAVPNなど)を使ってください。

VPN(バーチャルプライベートネットワーク)はネットユーザーにとってとても馴染み深いものだと思います。

例えばYoutubeで日本から見れない動画をVPNを通して閲覧したり、IPアドレスで規制された場合にVPNを使って回避したり・・・と色々な使い道があります。非常に強力なインターネット検閲システム「グレイトファイアウォール(金盾)」で有名な中国では必需品とも言えます。

Torやプロキシなども似たようなものですが、TorはTorブラウザ内でのみその匿名性を発揮します。プロキシは一部の通信の暗号化及びユーザーと訪問先を仲介しての匿名性を提供するものです。その点VPNはネットワーク全体の接続が暗号化されます。もっともTorの場合は全接続をTor Hidden serviceというTorサーキット上で行う事が可能なWhonixTailsといったLinuxディストリビューションやモデムに接続するだけでTor経由で接続をすることが可能なルーターであるanonaboxもあります。この場合、Tor経由でアクセスすることのできないサイトはウェブプロキシ(日本サーバーのもの)を使って接続することになります。当然ですが、これらは匿名性の保証された適切なVPNと共に用いれば非常に強力な匿名性を発揮することが可能です。

この記事では様々なVPNサービスについて取り上げていき、個人的な評価をつけていきたいと思います。ポートフォワーディングなどの機能を提供しているかどうかはVPNサービスによります。

ちなみにVPNを通してネットに接続することによって、ISPや国セコの監視を免れるといった場合によっては悪用出来る使い方もあります。が、ここではそういった悪用を前提とした使い方は書きません。

その1 VPNgate(無料)

VPNgate image

SoftEther VPN(ソフトイーサ・ブイピーエヌ)とも言います。恐らく最も一般的なVPNサービスだと思います。筑波大学の研究プロジェクトで開発されているので、筑波VPNとも言います。

速度の方も問題はなく、難しい設定などもないので一般人が使う分には十分すぎると言えるでしょう。

ただし、VPNgateのサーバーを踏み台にして犯罪行為に手を染めたユーザーがいた場合はログを警察に提示します。きちんとログを取っているという点を見ると匿名性は非常に低いです。

過去になんJ鉄壁4点セットと呼ばれる匿名性を保持する為の組み合わせでは、このVPNが用いられていましたが、とてもじゃないですがおすすめはできません。

ただIPアドレスを気軽に変えたり海外IPから接続したいという方にはうってつけでしょう。

https://www.vpngate.net/ja/

その2 ProtonVPN(有料版あり)

protonvpn image

スイスで2017年から運営されているVPNサービスです。

速度の方は個人的には微妙な気がします。どのサーバーを選ぶかによって変わるので一概には言えませんが。

また、無料版だと3か国のサーバーしか使えません。

ログを保持しないと言われていましたが、実際のところどうなのかは不明です。

有料版

  • 基本プラン 4  /月(P2P/BitTorrentのサポート、広告ブロック)
  • bestプラン 8  /月(セキュアコアVPN、VPN経由のTor、ブロックされたコンテンツへのアクセス可)
  • ビジョナリープラン 24  /月(オールプラン機能、10個のVPN接続、protonmailビジョナリーアカウント)

https://protonvpn.com/

その3 ExpressVPN(有料)

ExpressVPN image

非常に有用なVPNサービスです。

速度・匿名性・利用できるサーバーの多さなど、どれも優秀です。DNS漏れなどの心配もありません。ログを記録していない事が証明されているVPNでもあります。

欠点は有料限定であることですね。1年間で1万円程度ですが、それを差し引いても契約する価値があると言えます。

支払いはビットコイン等の仮想通貨やクレジットカードで可能です

https://www.expressvpn.com/jp

その4 NordVPN(有料)

NordVPN image

ノーログVPNの一つと言われています。私は使った事がないので使い勝手についてはよくわかりません。

マルウェアブロック、スプリットトンネリング機能、キルスイッチ機能、DNSリークテスト機能などが付いています。

キルスイッチ機能とはVPNが途切れた際に、インターネット接続自体を途切れさせる機能です。これにより生IPでのインターネット通信を防ぐことが可能になっています。

料金はExpressVPNも安いです。月1000円程度、1年で9000円程度です。

https://nordvpn.com/ja/

その5 HolaVPN(無料)

holaVPN image

無料VPNですが、ユーザーの情報を横流ししているという話で有名なVPNサービスです。

ピアツーピア(P2P)接続方式が取られている為、他のユーザーと同じ帯域幅を共有しなければなりません。IPアドレスを共有しなければならない以上、他人が悪用目的で使っていた場合、自分のIPアドレスにその活動が記録される訳です。

また、2018年7月に仮想通貨ウォレットのサービス、MyEtherWallet(MEW)はHolaを使ってMEWにアクセスしたユーザーは悪質な攻撃の対象になるリスクがあると発表しました。5時間ほどハッキングされ、その時にHolaを使ってMEWにアクセスした人は皆、仮想通貨を盗難される危険に晒されました。

あまり使うのはおすすめ出来ないVPNです。

https://hola.org/

その6 Tunnelbear(有料版あり)

Tunnelbear image

無料版だと500MBしか使う事が出来ません。ただし、接続できるサーバーに制限が出るなどはありません。

有料版だと通信料の制限がなくなります。費用は月1150円、年間6600円です。

AES 256-bitの暗号化で通信が守られ、オンライントラッキングをブロックし、IP、DNS漏れを防いでハッカーや広告主からの情報盗難を防ぎます。

普通に使う分にはセキュリティ的にも速度的にも悪くないと思います。

https://www.tunnelbear.com/

その7 Hide me VPN(無料)

hide.meVPN image

https://hide.me/ja/free-vpn

無料VPNです。

速度は特に問題がなかった印象ですが、日本サーバーがない事と広告が多かったのが欠点です。

また例によって無料であることから匿名性には期待できないので留意しておきましょう。

その8 Hotspot Shield(有料版あり)

Hotspot Shield image

無料版だと500MB/日の通信のみで、ストリーミングすることが出来ません。

DNS漏れなどの致命的な問題はありませんが、ログを保管していない訳ではないので、悪用はしないようにしましょう。

有料版($ 7.99 /月、$ 11.99 /月)

https://www.gethotspotshield.com/

その9  Windscribe(有料版あり)

Windscribe image

無料版だと10GB/月しか接続できず、接続できるサーバーにも制限があります。

ポートフォワーディングとスプリットトンネリング機能も付いており、ポートフォワーディングシステムによって通信を別のポートへ自動的に転送することで不正な通信をネットワークに入れないようにしたり、スプリットトンネリング機能によってVPNを介した接続と介さない接続を効率よく使い分ける事も可能です。

使った感じ速度的にも悪くなかったと思います。

有料版($ 9.00/月、$ 4.08/月×12=年間プラン)

https://windscribe.com/

他にも山ほどVPNサービスがありますが、有名なものをいくつか紹介しました。私もネット上での活動を通して、腐る程たくさんのVPNサービス(特に無料のもの)に手を付けてきましたが、やはり無料のものは匿名性や安全性には難があると言わざるを得ませんね。

匿名性を考えるのならば、ExpressVPNやnordVPN辺りがおすすめです。ただ、匿名性に拘りないのであれば筑波VPN辺りでも問題はないと思います。

犯罪幇助をするつもりではないですが、基本的にログ保管をしていなかったり、匿名性が高いVPNは犯罪に使われやすい傾向があります。

どういった用途でVPNを欲すかにもよりますので、己の用途に合ったVPNサービスを利用するのが一番でしょう。