じぶんコインと言うサービスをハックしてみた[調査編]

## [秘密のCode売ってます...第二弾..じぶんコインと言うサービスをハックする][@jibun]

こちらハックといっても、クラックをしたりするわけではなく、
`事前調査`と言うものをします。


### まずは、[じぶんコインと言うサービス][@jibun]の紹介から...
[じぶんコイン][@jibun]とは、

```
フォロワー数からあなたのオリジナルコインを発行され、 1時間に1回、無料でコインを増やせます。

コインは、500種類以上のプレゼントと交換出来るサービスです。
```

元々は"お金では買えない、無価値"と言う名目上で紹介されていたが、
実際のところ、お金でも買える価値も生まれてきたせいか、
価値そのものの定義が変わってしまったものかと思われ...

そんな無料で価値のあるサービスが本当に安全か？を検証してみました。

# 今回、ハック第一弾として、サーバ情報の調査結果まとめ [調査編]

## 本題の前に開発者様への謝辞から...

今回ご協力頂いた[じぶんコイン][@jibun]の作成者「[ひさしAppさん][@hisashi_vc]」の承諾を得た上で、
監修も行って頂き、実際のサーバで行わせてもらいました。
改めて、[ひさしAppさん][@hisashi_vc]ご協力頂き、ありがとうございました。

"誰でもできる"簡単方法で、行なっており、全く持って、
悪意はなく、善意を持って行わせてもらいました。
またこれによる実際のサーバへの悪影響もありません。


**※注意※**
この記事では、全てを公開せず、一部抜粋して公開させて頂きます。
その他にも、以前こちらで公開して記事をじぶんコインで販売していますので、
是非、[ご購入][@jihan]頂けますと幸いです。少々、お高いですがw

### ハックしてどうするの？

ハックといっても、実際は「その分野に詳しくなる=ハッキング」と云う。
なので、勘違いしてもらいたくないのは、クラッキングとハッキングの本来の意味であり、
今回は、`その分野に詳しくなる事`を前提に、行っております。
そもそもハッキングとは、「善意ある行動、行為」を指し、クラッキングが「悪意ある行動、行為」を指す。
一般的にも勘違いされているのは日本くらいじゃないかと思われますので...非常に残念ですが、これを機に広めていきましょうw

座談は、これくらいにして、本題へ進みます。

## 早速、使っているサーバを取得してみる

### 1.逆引き
通常、ドメインから得る情報は、正引きと言って、
DNSを返して、クライアント側よりサーバの情報が提供されます。
逆に、IPアドレスから得る情報は、逆引きと言う。

一般的なネットワーク上では、ドメインとIPアドレスは、相対であり、同一のものである。
今回は、せっかくなので、hackerぽく、直接IPアドレスからサーバ情報を得たいと思います。

Chromeのデベロッパーツールを開き、デベロッパーツール内のタブの中から、
Networkを選び、"command(OR Control)+R"で一度、更新します。

続いて、一番上にくる`?m=xxxxx`を選択します。
`xxxxx`は、そのページ内のTwitterのアカウント名となっていました。
Networkタブ内にある「General」内からIPアドレスが書いてあるのが分かります。

```
Remote Address: 183.90.245.9:443
```

この`183.90.245.9`部分は、IPアドレスといって、
サーバへ接続するために、必要な住所のようなものです。

これらドメインとIPアドレスは、「ドメイン=IPアドレス」となり、
通常、人間が読み易く、覚えやすい英単語になってますが、
実際裏側では、`"crypto-app.tokyo"="183.90.245.9"`となります。

このドメインと言われているものは、DNSと言うシステムが変換して、
指定されたIPアドレスへ接続者は導かれ、接続を行なっています。

### 2.サーバ情報取得
続いて、あるツールを利用して、
調べたところ、使用されているIPアドレスは、
`sv2008.xserver.jp`と分かりました。
こちらのあるツールは、[秘密のCodeをご購入][@jihan]頂けると分かる特典となっていますので、悪しからず。

### 3.セキュリティ編
続いて、 セキュリティ面を調べてみました。
このサービスでは、SSL接続が有効になっており、
信頼ある接続で提供されています。
その信頼ある接続には、証明書というものが存在しており、
その証明書の発行元を確認してみました。

こちら使用されている証明書は、
"[Let's Encrypt][@le]"と記載されている事を確認できました。
これは、「SSL/TLSサーバ証明書」を無料で発行する認証局(CA)となります。
最近だと色々なところで、使われている証明書になります。
様々なdeviseにも対応しており、
個人や小規模、初動の運転などには、最適な証明書と言えるでしょう。
今回のサービスも個人開発のサービスなので、妥当な証明書でもあると思います。

さらに、上記に加えて、通信的セキュアな通信(脆弱性)が確保されているかを確認してみました。
`TLS1.2`が利用可能である事を確認しました。
なので、デヴァイス側の設定で、`TLS1.2`に強制対応されていても安心して、ご利用になれます。
ただ、TLS1.1(脆弱性あり)でも、接続できるため、少し危険性はありますが、
レンタルサーバでは、よくある対応なので、今後非推奨となる事を切に願いましょう。

### 4.雑感...
また、最も危険性がありそうなのは、`ftp`のPORTが開いているのが気になりました。
おそらくレンタルサーバで、アップロードする際に利用されているのかと思われます。
...その他にもCGIへ送っているパラメータや使用されているWebサーバなど、
色々調査した結果については、PDFにまとめて公開しておりますので、
ご興味ある方は是非、[ご購入][@jihan]頂き、詳細を確認してください。

## 今回の調査結果まとめ...

### 調査結果
JavaScriptにもエラーは見られませんし、
通信速度、データ通信周り、セキュリティなど、
諸々を考慮した結果、`安心、健全なWebるサービス`であると思います。
詳細は、[自動販売機を購入][@jihan]しよう。

#### 広告[AD]
以前に、Qiitaで投稿した`ようつべさんから動画をうんちゃら`って奴も
ココで[絶賛販売中][@jihan2]です。


追記:じぶんコインに関する記事
[製作者の記事:月数100万アクセスをDB使わず超簡単にさばく][@hv]

以上、じぶんコインハックでした。

<!-- Link`s -->
[@jibun]:https://crypto-app.tokyo/qCoin/
[@hisashi_vc]:https://twitter.com/hisashi_vc
[@le]:https://letsencrypt.org/
[@jihan]:https://crypto-app.tokyo/qCoin/?m=xapa_ace#zihanki4
[@jihan2]:https://crypto-app.tokyo/qCoin/?m=xapa_ace#zihanki3
[@hv]:https://qiita.com/Hisashi_vc/items/a50b49ad6a75d51c880a