postgresのデータを盗まれた話 - のんびりやの日記

はじめに さっぶ。どうも、だーやまんです。 この記事は、本番環境でやらかしちゃった人 Advent Calendar 2019 - Qiitaの11日目の記事です。 これは、中途半端な知識でサービスを運用していた結果、タイトル通りの大失敗をしてしまったお話です。個人開発での出来事なので、業務で起きたことかと胃薬を握られていた方はご安心ください。 語るのもすごい恥ずかしいレベルですが、戒めのために晒しておきます。 この記事を読んでほしい人 初めてインターネット上にサービスを公開しようとしている人 喋太郎の利用者様(この場をお借りして、改めてお詫び申し上げます。本当に申し訳ございませんでした。) 背景とか Discord読み上げBot 「喋太郎」にてやらかしました www.dayaman.work 利用者が約10万人 さくらのVPSにてAppサーバ2台、DBサーバ1台で運用 各サーバの死活監視

[TakamoriTarou]

学生さんかいな。こんな失敗を経験してりゃ、この後、引く手あまただろうな。クリティカルな情報が漏洩したわけではなさそうだけど、はじめからそう言う情報は保持しないと言うバランス感覚があったと言う所もある。

[ockeghem]

サブネットマスクの不備だけでは侵入されないので、パスワードが弱かったか、他の脆弱性があったか…

[tyoro1210]

『Portは5432』『postgresユーザがデフォルトパスワード』『サブネットマスクが0』 味わい深い / なんかいい学習機会になったようで、ほっこりする話しでよかった。(サービス利用者の心中は置いといて

[knjname]

インターネットに悪人がいることより、これぐらいの感覚の人がサービス開いていてパッと見じゃ分からない方が怖い

[razokulover]

趣味サービスだし良い経験だ

[BlueSkyDetector]

インターネット越しでDBアクセス許可するのは良くないけど、そうするにしてもfirewalldとかで制限かけるべき。 ファイアウォールという単語が書かれてないので、DB以外の不必要なportも開放されてないか心配になりました。

[z1h4784]

仕事で同じ目に遭う前にいい経験をしたと思う

[HHR]

まぁ、ぼくが学生のときもだいたいそんな感じだった。学生だと「セキュリティ？なにそれめんどくさい」ってなるよなー。

[fa11enprince]

開発のノリで本番にあげてしまうと怖いよーというよい話

[rryu]

接続制限の設定がそれっぽく見えるけどサブネットマスクに0を指定すると 0.0.0.0/0 と同じだから全開放になっていてデフォルトパスワードのせいでさっくりやられてしまったと。

[rochefort]

インターネット経由でのDBアクセスは中々香ばしい

[shag]

悪人が跋扈しているというか、インターネットは昔から脆弱性のあるサーバ/サービスを探すクローラが巡回してるので、治安は公道より悪い。身代金で仮想通貨使えるようになってさらに増えてる。

[programmablekinoko]

こわい・・・・

[inductor]

大学3年生2週目、2週間目の時の歪みが5秒間くらい分からなかった

[onesplat]

だめだこのアドカレ。研修中の新卒の日報みたいになっとる。

[nmcli]

タイトルからもっと高次元な熱いの期待しただけに残念

[sasagin]

すごいいい経験

[n314]

デフォルトパスワードって何だろう。初期値は空でunixドメインソケットで接続可能、hostでmd5は空のパスワードだと接続拒否とかじゃなかったかなあ。

[new3]

払われなかったなら逆上してpastebinに貼る輩とかに捕まらなかった運もあるんだろうけど、結果的には（被害者の気持ちもあるけど）学びのある失敗に落ち着いている。自分も学生の頃は（以下略）

[sds-page]

セキュリティのために覚えなきゃいけない事は結構あるし日々更新される。外部公開するようなサービスは触りたくない

[hirata_yasuyuki]

素のインターネット越しにアクセスさせるなって話はともかく、どうしても必要ならファイアウォールでもアクセス元制限しておいた方が安全。(PostgreSQLの脆弱性を突かれる可能性もあるので。)

[superchibita]

あまりにレベルが低すぎる。ポスグレ触り始めて20年経つが20年前でもこんな杜撰な設定をする奴はいなかった。

[advancedbear]

実際問題個人開発だとこれくらいのノリで公開しちゃうのはわかる。けどまぁ、リスクを理解してガバにするのと、知らずにガバにするのじゃ違うよね。

[shoh8]

“今思うと素敵な設定してますね。玄関の鍵を閉めないタイプか？”サブネットマスクゼロは、初心者相手にはかなり有効な罠か。。

[hasegawatomoki]

そう言えば大昔に僕もphpMyAdminを露出させていて「this_server_is_not_secure」みたいなデータベース作られたな…。

[ytRino]

いいまとめだ これぐらいのやらかしはやるべき

[kawasin73]

なかなかにガバガバで良い

[hiromark]

こわ

[leiqunni]

この話の教訓は「こんな攻撃もあるんだw」。儲かるんかな。支払ってきた人いるかな。

[jacoby]

学生なら、仕方ない。個人情報取られてなかったのは幸い。失敗はないにこしたことはないが、失敗しながら学ぶしかないよね

[shidho]

大学3年2週目(ママ)ならまあ日本なら4月中旬だよね。その程度のセキュリティだったってことだ。

[htnmiki]

レベルアップ半端なさそう

[aikawame]

学生のうちにこういうやらかし経験できるのは貴重。社会人になってから商用サービスでやらかすと損失額が年収の何倍とかなるからなぁ…。

[Fushihara]

あれ、今のpostgresqlってadminのパスワード、セットアップ時にランダムな値になってなかったｋヶ

[chOn]

bot使ってたから詳しい障害原因が気になってた。 個人開発向けの脆弱性診断サービスが広まるといいね。

[naosuke2dx]

後輩くんがいい経験してる!

[hiby]

＞postgresユーザがデフォルトパスワード(認証はmd5)　市販ルーターかな（すっとぼけ