【初心者歓迎】FFFTPについてのスレ2発目

**名無しさん＠お腹いっぱい。** · 2008/08/06(水) 19:56:56

公式サイト

http://www2.biglobe.ne.jp/~sota/

FFFTPには現在脆弱性があります。鯖への接続は安全を確かめてからにしましょう

前スレ
【初心者歓迎】FFFTPについてのスレ1発目
http://pc11.2ch.net/test/read.cgi/software/1060123347/

**名無しさん＠お腹いっぱい。** · 2010/02/02(火) 17:28:42

>>210
何をキレてるんだ？
アンチウィルスソフトだけに頼ってたら危険だって
これだけあっちこっちで対策法が叫ばれてるのに

**名無しさん＠お腹いっぱい。** · 2010/02/02(火) 17:42:25

>>211
だったら具体的にどうしてるのか書け
あっちこっちの対策法のサイト貼ってくれ

**名無しさん＠お腹いっぱい。** · 2010/02/02(火) 17:52:26

アンチウイルスの更新だけではとても対処出来ない
Adobe ReaderやFlashプレイヤー、java等の各種ブラウザ用プラグインの更新を常に最新にして
javascriptは切っておかないとダメ

**名無しさん＠お腹いっぱい。** · 2010/02/02(火) 18:43:44

そうそう、ネットにつないじゃダメ
PCの電源も切っておかないとダメ

**名無しさん＠お腹いっぱい。** · 2010/02/02(火) 20:01:34

俺はノートPC22万円で買ったけど一度も起動したことないから
ウイルス感染ゼロの勝ち組

**名無しさん＠お腹いっぱい。** · 2010/02/02(火) 20:11:39

>>215
出荷時からウィルス混入してるノートだってあるというのに・・・

ASUSのEeePCに新たなウイルス混入発覚、今度は付属の外付けHDDに
http://gigazine.net/index.php?/news/comments/20081014_eeepc701_virus/

**名無しさん＠お腹いっぱい。** · 2010/02/02(火) 20:29:11

>>207
ありがとうございます。

パッチを当てたくらいのものではなく、ソフト自体を変えたほうがよい
という意見があったので。

FTPが危険というのは、
ウイルス対策ソフト、アドビリーダー、フラッシュプレイヤーが最新版であることが前提
なのは言うまでもなくわかっています。

**名無しさん＠お腹いっぱい。** · 2010/02/02(火) 20:33:16

>>217
だからね
フリーウェアが危なくて有料なら安全っていうものじゃないのよ
自分で完全に理解できて管理できるソフトだけを入れようね

**名無しさん＠お腹いっぱい。** · 2010/02/02(火) 21:03:53

ってかサイトのパスワードをPCに保存する方式のFTPクライアントは（たとえそれが暗号化してあっても）
どれも脆弱性があるというのが今回の騒動なんじゃないの？

NextFTPに変えたから安全になるとはとてもじゃないが思えない。

**名無しさん＠お腹いっぱい。** · 2010/02/02(火) 21:07:39

うむ

**名無しさん＠お腹いっぱい。** · 2010/02/02(火) 21:08:47

有料なら安全、NextFTPに変えたから安全になるとは思っていません。

**名無しさん＠お腹いっぱい。** · 2010/02/02(火) 21:09:50

>>221
わかった。お前はもう帰れ。
言い訳ばかりじゃないか。

**名無しさん＠お腹いっぱい。** · 2010/02/02(火) 21:11:21

同セグメント内で感染しなければすべて安全
感染してたら保存・パケット・キーロガーで盗まれるって話じゃないの？

**名無しさん＠お腹いっぱい。** · 2010/02/02(火) 21:21:49

嫌だ帰りたくない。

**名無しさん＠お腹いっぱい。** · 2010/02/02(火) 21:22:20

じゃ、他の人が帰るという事で。

**名無しさん＠お腹いっぱい。** · 2010/02/02(火) 21:24:13

>>225
じゃあ帰ります

**名無しさん＠お腹いっぱい。** · 2010/02/02(火) 21:25:56

二度とここに書き込まないでください

**名無しさん＠お腹いっぱい。** · 2010/02/02(火) 22:04:26

最初からミエミエな奴だったのにお前らがかまうから…

**名無しさん＠お腹いっぱい。** · 2010/02/02(火) 22:11:52

Windows以外のセキュリティホール確かめたきゃセキュニアPSIとか使っとけ

**名無しさん＠お腹いっぱい。** · 2010/02/02(火) 22:24:54

ウィルス食らうやつのパソコンの使い方ってだいたい想像つくだろ
変な物集めたり変な物見たり変な事しないのが吉ってこった

**名無しさん＠お腹いっぱい。** · 2010/02/02(火) 22:30:01

出荷時から混入ってことはやっぱり中国野郎が仕込んでるんだろうね

**名無しさん＠お腹いっぱい。** · 2010/02/02(火) 23:22:22

>>219
お前脆弱性言いたいだけだろ

**名無しさん＠お腹いっぱい。** · 2010/02/03(水) 00:23:28

Gumblarは複数のFTPソフトに対応してるみたいだけど
NextFTPは含まれてないのか？

**名無しさん＠お腹いっぱい。** · 2010/02/03(水) 00:32:16

>>233
とりあえず今のところは対応してないんでない
見たところアカウント情報はHostData.Datというファイルに保存してるっぽい
生パスは見えないから一応は何らかの暗号化はしているようだ
リバースエンジニアリングすれば復号も可能だろうけど後はガンブラ開発者の頑張り次第かね

**名無しさん＠お腹いっぱい。** · 2010/02/03(水) 03:09:12

そういうのは対応されるのは時間の問題と見るべきでは？

**名無しさん＠お腹いっぱい。** · 2010/02/03(水) 05:28:36

まあ現時点ですでに誰でも複合できちゃうFFFTPよりはちょっとましな程度だな

**名無しさん＠お腹いっぱい。** · 2010/02/03(水) 10:25:34

ﾃｽﾄ

**名無しさん＠お腹いっぱい。** · 2010/02/03(水) 10:27:11

書けたので一言
FTPSが効果的なのは誰でも知ってると思うけどサバ側が対応してない
大抵のサバがFTPS非対応だからFTPソフト側で対応してても使えないよ
対策版は問題があるから使えないし、決定的な対応策はまだないな

**名無しさん＠お腹いっぱい。** · 2010/02/03(水) 10:59:47

対策版のマスターパスワード方式だと何故ましなのでしょうか？

パソコン内にあるサイトログイン情報（ID・パスワード）はこれだとどのようにして
守られているのでしょうか？

**名無しさん＠お腹いっぱい。** · 2010/02/03(水) 12:20:39

しかしこのソフト使ってる奴がファイルの
上書きもできないとはマジでびっくりした

**名無しさん＠お腹いっぱい。** · 2010/02/03(水) 13:35:32

AES版作ってる人がいるね
ttp://www.geocities.jp/moca_skr/ffftp/

**名無しさん＠お腹いっぱい。** · 2010/02/03(水) 13:36:48

ソース弄れるならちょっと弄って独自の暗号化にすれば良いよ
簡単な暗号化でもずっとマシになる

**名無しさん＠お腹いっぱい。** · 2010/02/03(水) 16:02:55

>>239
サイトログイン情報を、マスターパスワードで暗号化している。

簡単に書くと、サイトのパスワードが10、マスターパスワードが20だったら、
PCには30って保存されてる。
30だとサイトにログインできないから、マスターパスワードをひいた10だとログインできる。
実際はもっと複雑だよ、勘違いツッコミするなよ？

マスターパスワードは自分の頭の中だけに書いとけ。自白剤を使われたり、
ベッドで寝言を彼女に聞かれない限り安全だから。

**名無しさん＠お腹いっぱい。** · 2010/02/03(水) 16:44:16

>>243
なるほど、そういうことですか。
㌧

**名無しさん＠お腹いっぱい。** · 2010/02/03(水) 17:17:43

じゃあ童貞引きこもりの俺は安心だね。

って事は全くなく、散々言われている通り、マルウェア側が対応すれば簡単に窃取できる。
その程度の認識の人なんて、どうせ感染対策すらろくにしてないんだから、
まずは感染対策を最優先で行え。
感染した後の安全なんてものは無い。

**名無しさん＠お腹いっぱい。** · 2010/02/03(水) 18:10:03

乗り換えれば安全とか無いからな

JPCERT/CC
FTP アカウント情報を盗むマルウエアに関する注意喚起
https://www.jpcert.or.jp/at/2010/at100005.txt

JPCERT/CC では、以下の FTP クライアントにてマル
ウエアによるアカウント窃取、および外部サーバへのアカウント情報の送信を
確認しました。
- ALFTP 5.2 beta1
- BulletPloof FTP Client 2009.72.0.64
- EmFTP 2.02.2
- FFFTP 1.96d
- FileZilla 3.3.1
- FlashFXP 3.6
- Frigate 3.36
- FTP Commander 8
- FTP Navigator 7.77
- FTP Now 2.6.93
- FTP Rush 1.1b
- SmartFTP 4.0.1072.0
- Total Commander 7.50a
- UltraFXP 1.07
- WinSCP 4.2.5
上記に加えて、以下の Web ブラウザのアカウント管理機能を用いて保存され
ている情報をマルウエアが窃取し、外部サーバに送信している事を確認しまし
た。
- Microsoft社 Internet Explorer 6
(Internet Explore 7 および 8 ではアカウント窃取は確認されておりません)
- Opera社 Opera 10.10
また、今後マルウエアが変化し、アカウント窃取の対象となるソフトウエア
が変化する可能性があります。

**名無しさん＠お腹いっぱい。** · 2010/02/03(水) 18:14:11

だからパスワード保存しなければ良いだけで
FileZillaも保存しないよう事を以前から薦めていた
保存するなら独自仕様が一番だな

**名無しさん＠お腹いっぱい。** · 2010/02/03(水) 18:18:28

III. 対策

本攻撃で使用されているマルウエアは、複数のソフトウエアの脆弱性を使用
して感染します。現在判明している攻撃の対象となるソフトウエアは、以下の
通りです。

- Adobe Acrobat、Adobe Reader
- Adobe Flash Player
- Java(JRE)
- Microsoft Windows など

JPCERT/CC で確認している範囲では、現在攻撃に使用されているこれらソフ
トウエアの脆弱性は既に修正済みのため、各製品に対策済ソフトウエアを適用
することで、マルウエアに感染しないようにすることが出来ます。

また、今後攻撃の対象となるソフトウエアが増えたり、使用される脆弱性が
変化したりする可能性があるため、ユーザは利用しているソフトウエアを最新
版に更新することを心がけてください。

**名無しさん＠お腹いっぱい。** · 2010/02/03(水) 18:23:03

パスワードの問題は今流行のマルウェアだけじゃないからね
対策法なんてみんな知ってるだろ

**名無しさん＠お腹いっぱい。** · 2010/02/03(水) 18:24:28

感染を対策しろー。

で、マルウェアってのはこれだけじゃないんで、これはこれとして、
別の話として、FTPの危険性だとかインターネットの危険性だとかを学んで、
安全性の向上に努めと。
FTPクライアントだけ気にしてもどうにもならんぞ。

**名無しさん＠お腹いっぱい。** · 2010/02/03(水) 18:25:58

当たり前だろ
FFFTPのスレだからFTPクライアントの話してるだけだよ

**名無しさん＠お腹いっぱい。** · 2010/02/03(水) 18:33:17

マルウェア、スパイウェア、ウィルスって同じ？

**名無しさん＠お腹いっぱい。** · 2010/02/03(水) 18:33:29

FFFTPのホスト登録情報を楽に移行するにはどれが一番ええの？

**名無しさん＠お腹いっぱい。** · 2010/02/03(水) 18:59:01

>>253
移行するにしてもパスワード保存するならセキュリティの問題は変わらないだろ
それなら>>170や>>241の対策版でも良いんじゃないか

**名無しさん＠お腹いっぱい。** · 2010/02/03(水) 19:17:27

FFFTPから、SCPやFTPS、SFTPが使えるクライアントに簡単に移行するには、っていう質問なんじゃない？
そんなのないと思うけど。

**名無しさん＠お腹いっぱい。** · 2010/02/03(水) 19:34:56

>>241
これいいね
なんだかんだでやっぱWinSCPに乗り換えたけど
SFTPとかにこだわらなければ>>241がいいんじゃ

**名無しさん＠お腹いっぱい。** · 2010/02/03(水) 21:28:04

JPCERT/CC では、以下の FTP クライアントにてマル
ウエアによるアカウント窃取、および外部サーバへのアカウント情報の送信を
確認しました。

- ALFTP 5.2 beta1
- BulletPloof FTP Client 2009.72.0.64
- EmFTP 2.02.2
- FFFTP 1.96d
- FileZilla 3.3.1
- FlashFXP 3.6
- Frigate 3.36
- FTP Commander 8
- FTP Navigator 7.77
- FTP Now 2.6.93
- FTP Rush 1.1b
- SmartFTP 4.0.1072.0
- Total Commander 7.50a
- UltraFXP 1.07
- WinSCP 4.2.5

上記に加えて、以下の Web ブラウザのアカウント管理機能を用いて保存され
ている情報をマルウエアが窃取し、外部サーバに送信している事を確認しまし
た。

- Microsoft社 Internet Explorer 6
(Internet Explore 7 および 8 ではアカウント窃取は確認されておりません)
- Opera社 Opera 10.10

**名無しさん＠お腹いっぱい。** · 2010/02/03(水) 22:44:52

WinSCPも陥落したか・・・

もう何もかもダメだな(´･ω･｀)

**名無しさん＠お腹いっぱい。** · 2010/02/04(木) 00:18:02

WinSCPは最初からだろ

**名無しさん＠お腹いっぱい。** · 2010/02/04(木) 01:44:17

ソフトを乗り換えて「対策」しようという発想そのものがダメ

**名無しさん＠お腹いっぱい。** · 2010/02/04(木) 06:05:19

>>257
なんども同じコピペすんな
邪魔だから

**名無しさん＠お腹いっぱい。** · 2010/02/04(木) 09:08:15

FTPソフトの製作者たちが今ままで放置してたのが不思議だな
いい加減対処してほしいもんだ

**名無しさん＠お腹いっぱい。** · 2010/02/04(木) 09:14:37

何をどう対処しろと？

**名無しさん＠お腹いっぱい。** · 2010/02/04(木) 09:33:23

脆弱性への対応はどのソフトメーカーでもやってる事だ
何をどう対処するかは使い手側があれこれ言う必要はない
そんな事もわからんなら作る必要はない
それで使うなというならネットでオープンに公開するな

**名無しさん＠お腹いっぱい。** · 2010/02/04(木) 09:40:42

>>264
混同されがちだが今回の件はFFFTPそのものの脆弱性じゃないわけよ。

**名無しさん＠お腹いっぱい。** · 2010/02/04(木) 09:51:25

>>264の言うとおりソフト製作者は、ちゃんと脆弱性を突かれないようにパッチを当てるべきです
脆弱性だらけのツールなんか怖くて使えないです
そこで私にも>>264が使ってる信頼できるFTPツールを教えていただきたいです

**名無しさん＠お腹いっぱい。** · 2010/02/04(木) 09:51:25

>>265
>>262を読んでね
誰もFFFTPの作者限定で言ってない
そもそもこの問題はFTPソフトの大半にいえる事は誰でも知ってる
ただ、この問題がこのスレで取り上げられてるから書いたまでだが

**名無しさん＠お腹いっぱい。** · 2010/02/04(木) 09:53:08

>>266
＞そこで私にも>>264が使ってる信頼できるFTPツールを教えていただきたいです
どこに書いてるんだそんなこと？

**名無しさん＠お腹いっぱい。** · 2010/02/04(木) 10:00:42

なんと>>264のお眼鏡に適うFTPツールが見つけられないということに驚愕しています
インターネットはとても危険だということを再認識させられました
はやく安全なツールができますようただただ願うばかりです

**名無しさん＠お腹いっぱい。** · 2010/02/04(木) 10:00:55

侵入者が容易に機密情報を閲覧できる危険性が
全てのプリンタに発見されました。

**名無しさん＠お腹いっぱい。** · 2010/02/04(木) 10:15:47

>>267
どのみち、クライアントの問題と切り離して考えるべき
問題だから関係ないわな

脆弱性持っているのはクライアントじゃなくて、ブラウザだったり
Adobe製品やJavaなんだから。

各作者がなんかレスポンス起こしてくれたら嬉しいなーくらいの話
シェアのクライアントやALとか企業製の物は何らかの対策はすると思うね

**名無しさん＠お腹いっぱい。** · 2010/02/04(木) 10:38:26

>>269
頭おかしいのか？

**名無しさん＠お腹いっぱい。** · 2010/02/04(木) 10:52:12

顔真っ赤っすよｗ

**名無しさん＠お腹いっぱい。** · 2010/02/04(木) 11:09:39

？
そんなに悔しかったのか
やれやれ厨房が多いなやっぱり

**名無しさん＠お腹いっぱい。** · 2010/02/04(木) 13:10:15

悔しいんじゃなくて
馬鹿にしてるんだろ

**名無しさん＠お腹いっぱい。** · 2010/02/04(木) 13:29:29

パスは保存せずにその都度入れればOKってことですか？

**名無しさん＠お腹いっぱい。** · 2010/02/04(木) 15:57:48

>>275
それ反対だろw

**名無しさん＠お腹いっぱい。** · 2010/02/04(木) 16:17:15

>>276
FTPを使っていなければOK。つまり残念ながらFFFTPでは駄目ということ。

**名無しさん＠お腹いっぱい。** · 2010/02/04(木) 16:29:42

×　FFFTPでは駄目ということ
○　FFFTPも駄目ということ

**名無しさん＠お腹いっぱい** · 2010/02/04(木) 18:02:13

NetDriveもダメだよね

**名無しさん＠お腹いっぱい。** · 2010/02/04(木) 21:23:58

>>279
というかこれを「駄目」と定義するなら駄目でないソフトなんか存在しない

**名無しさん＠お腹いっぱい。** · 2010/02/04(木) 21:46:45

そこでEmFTPですよ
4,200円。

**名無しさん＠お腹いっぱい。** · 2010/02/04(木) 22:06:41

感染状態前提でFTPを使おうとする事自体が間違ってる

**名無しさん＠お腹いっぱい。** · 2010/02/04(木) 23:23:17

いや、使わなくても感染した瞬間にパスワード盗られるって話なんだけど

**名無しさん＠お腹いっぱい。** · 2010/02/05(金) 01:50:54

FTPの通信自体に問題があるから
どのFTPクライアント使っても同じって事か

**名無しさん＠お腹いっぱい。** · 2010/02/05(金) 03:24:23

「マルウェアに感染しても安全に使えるツール」を探すのは本末転倒って話

**名無しさん＠お腹いっぱい。** · 2010/02/05(金) 07:14:18

そんなにこの問題は解決出来ない問題なのか？
まあ使わなければ良いだけなんだろうけどFTP全部だと困るな
どっかのFTPソフトが対策すればみんなそっちに流れるだろうな
特にフリーなら
でもFFFTPが一番使いやすいし、一般的にも説明する時に出てくるのは大抵FFFTPだからなあ
なんとかしてもらいたいなFFFTPのうんこ作者に

**名無しさん＠お腹いっぱい。** · 2010/02/05(金) 09:28:50

馬鹿乙

**名無しさん＠お腹いっぱい。** · 2010/02/05(金) 09:38:22

↑作者or信者登場w

**名無しさん＠お腹いっぱい。** · 2010/02/05(金) 13:01:47

>>287
感染するな
これで解決する

**名無しさん＠お腹いっぱい。** · 2010/02/05(金) 19:28:01

それはパソコンに故障するなって言ってるのと同じだな
なんて低レベルなスレw

**名無しさん＠お腹いっぱい。** · 2010/02/05(金) 19:31:15

と感染者が言っております

**名無しさん＠お腹いっぱい。** · 2010/02/05(金) 19:53:48

ソフトウエアの脆弱性ではなくFTP通信が平文で
ユーザー名・パスワードをサーハーに送信するのが問題なだけ

FFFTPはFTPS/SFTPに対応していない(今後も対応は難しい)ので
これらの暗号化通信に対応したサーバーを使用しているのなら
対応ソフトに乗り換えてねって話

その前にGumblarに感染して気付かないのが問題だが・・・

**名無しさん＠お腹いっぱい。** · 2010/02/05(金) 20:14:03

新種のGumblarが出たら検出されないから難しいかもね。
FLASHとAcrobatの脆弱性を突っつかれないようにしとくしかないさ。

**名無しさん＠お腹いっぱい。** · 2010/02/05(金) 20:18:37

>>293
タイプミスを2ちゃんで指摘するのは野暮だけど
さすがにサーハーは無いだろう

**名無しさん＠お腹いっぱい。** · 2010/02/05(金) 20:45:24

＞ソフトウエアの脆弱性ではなくFTP通信が平文で
＞ユーザー名・パスワードをサーハーに送信するのが問題なだけ

PCに保存してあったらアウトなんですけど

**名無しさん＠お腹いっぱい。** · 2010/02/05(金) 21:10:53

保存してなくても通信したらアウトなんですけど

**名無しさん＠お腹いっぱい。** · 2010/02/05(金) 21:30:09

>>293

それもあるけど、パスワードの保存に関して、パスワードは暗号化されて
PCに記録されているけど、その暗号化するためのキーがプログラム内で
設定されていて、オープンソースのプログラムの場合そのキーが容易に
判明するってのが問題

で、そのキーをプログラムに埋め込むんじゃなくて、外部から入力すれば
いいんじゃね？　っていうのがマスターパスワード方式。

万全を期すならマスターパスワードはPC内に置かず毎回入力ってことだね。

**名無しさん＠お腹いっぱい。** · 2010/02/05(金) 22:39:37

マスターパスワード保管する金庫かってくる！

**名無しさん＠お腹いっぱい。** · 2010/02/05(金) 23:27:56

ウイルスでパソコンのっとられて操られたら色々流出するってことは
起動した時のパスワードをむつかしくすれば乗っとるのむずそうだ

**名無しさん＠お腹いっぱい。** · 2010/02/06(土) 11:25:36

>>300
あったまいいなあお前　尊敬した
俺も早速パスワードをむつかしくしてやる　えへへ（＾ω＾）

**名無しさん＠お腹いっぱい。** · 2010/02/06(土) 11:29:26

むつかしくし過ぎて忘れてもた
PCに入れないや　えへへ（＾ω＾）

**名無しさん＠お腹いっぱい。** · 2010/02/06(土) 14:08:10

まぁウイルスに感染したら小手先の対策なんか結局意味をなさないだろ。
レジストリ読まれるからiniにしろ→ウイルスがiniも読み取るようになる。
感染しないのが一番だけどなー。

**名無しさん＠お腹いっぱい。** · 2010/02/06(土) 15:08:24

>>298
オープンソースでなくても解析すればいいだけだし
現にオープンソースでないソフトも破られてる。
マスターパスワードをキーロガーで盗まれればアウトだし
正規のマスターパスワード入力ダイアログと見分けがつかないものを
表示することも簡単にできる

**名無しさん＠お腹いっぱい。** · 2010/02/06(土) 16:33:44

>>304

そりゃ破られる可能性を上げればキリがないよ。
別にオープンソースじゃなければ、破られないってわけじゃない。

プログラムに暗号化のキーが書かれている場合、オープンソースだと
ソース読めばすぐだけど、オープンソースでない場合は解析する
手間がかかる。

ffftpの場合は、その部分が弱点となってしまったってだけの話。

オープンソースと非公開ソフトどちらが正しいかなんて話ではないよ。

暗号化なんていうのは破られることが前提で、破るまでにどれだけ手間を
掛けさせるかっていうのが強度を高める手法だからね。

**名無しさん＠お腹いっぱい。** · 2010/02/06(土) 16:36:34

>>305
特別に難読化してない限り、解析する手間なんてほとんどないも同然
Windowsの脆弱性のパッチを自動的に解析して攻撃コードを作成するツールまで
出回ってる。

**名無しさん＠お腹いっぱい。** · 2010/02/06(土) 17:01:51

>特別に難読化してない限り、解析する手間なんてほとんどないも同然

難読化してれば多少なりとも手がかかるということだよね。

**名無しさん＠お腹いっぱい。** · 2010/02/07(日) 21:38:37

FFFTPバージョンアップｷﾀ━━━━(゜∀゜)━━━━!!
http://tsushima.2ch.net/test/read.cgi/news/1265542935/

**名無しさん＠お腹いっぱい。** · 2010/02/08(月) 01:47:45

>>308
>>205のパッチ版との違いはあるの？

**名無しさん＠お腹いっぱい。** · 2010/02/08(月) 01:51:25

[2010/2/7]
FFFTP をVer.1.97にバージョンアップ。
ttp://www2.biglobe.ne.jp/~sota/whatsnew.html