なんかＭＸの調子が悪いぞｺﾞﾙｧ！

27日23:30過ぎから、28日5:00頃までの間、チャット部屋を建てている、参加しているMXが
アプリケーションエラーを引き起こして強制終了してしまう件に関して。

●検証内容
MXで使用するTCP、UDPを監視。自ｸﾞﾛｰﾊﾞﾙIPを変えながら、数回、部屋を建てて落ちるまでを検証。

自PCの挙動
・親接続
・frontcodeのﾁｬｯﾄ鯖？接続。部屋リスト表示
　→部屋建ててる親全部からUDPﾊﾟｹｯﾄが飛んでくる
・部屋建て。当然、自分もUDPパケット飛ばす
・2専部屋(218.218.190.218)にも当然飛ぶ
・不審なICMPパケットをキャッチ
・218.218.190.218からのTCPパケット取得後、部屋落ち。
その時、部屋内には信用できる人間しかいなかった。

また、ルータで218.218.190.218を全拒否したところ、手動でのタグ落とし以外では部屋落ちしなかった。
その時の挙動
・親接続
・部屋建て
・不審なICMPﾊﾟｹｯﾄ飛んでくる
・218.218.190.218からのTCPは飛んで来ない
ICMP偽装の送信元見破りとか、やり方知らないので誰か教えて。
ちなみに、ルータでのフィルタを解除したところ、やはり落ちた。
・・つづく

・・つづき。

以下推測
・部屋を建てた時、2専(主)PCで、飛んできたUDPパケットをwhois検索してjpドメインのアドレスだけリスト
・リストされたIP宛に、IP偽装ICMPポートスキャンちっくなパケット飛ばす
　※偽装IP例（192.168.123.119、192.168.123.160等）
・ポート開いてたら、exploit仕込んだTCPパケット送信(from 218.218.190.218)→部屋落ち
　※exploitにはrtfタグのバグを突いているものが使用されていると推測

上記を自動処理させるプログラムを動かしてるのではないかと。
尚、現時点(06281945)は不審なICMPは届いていない。
MXの挙動についてちゃんと調べたﾜｹじゃないので間違ってるところがあったら突っ込んで下さい。
ﾊﾟｹｯﾄの流れから、こういう動きをしてるんだろうなという推測で述べてるところが大部分です。

●rtfタグについて
特定のrtfタグをユーザー名等に組み込んだ場合、同室している人のPC(管理人含む)のMXを
アプリケーションエラーで落としてしまう。

以下の事象を併せて考えると、色々と邪推できる。
・RCMSの公開中止(部屋毎の許可制移行)情報の連絡
・手動でのrtfタグ使用部屋落とし公表のタイミング
・2専部屋及び主ｸﾗの素早い対応VerUP
・上記パケット監視の結果

現在、rtfタグによる部屋落としを防ぐには下記の条件が必要

%windir%\system 又は %windir%\system32　内の Riched32.dll がVer5.0.2134.1よりも下位のものである。
　※システムフォルダ内の Riched32.dll を旧バージョンに上書きするのは色々と弊害が起こる
　　可能性があるので、MXのインストールフォルダに当該ファイルをコピーすればOK

Windows Server2003 でも大丈夫という話は聞くが、真偽のほどは定かではない。


疲れた。。