2021-02-08

■

夢日記

洞窟の中で高校の予習をしていたら、今日の授業の教科書をぜんぜん持ってきていないことに気づいて、親に持ってきてもらうかどうか悩んでいた。自転車で往復すると時間がかかる。

定期的に忘れ物をする夢を見る。

2021-02-07

洗濯の夢

夢日記

浴槽から洗濯機に水を移す前に、浴槽に洗剤を入れてしまう、洗濯物が多すぎて洗濯機に入らない、このままでは何も片付かない、と散々な夢を見た。

2021-02-05

GitHub Actionsを使ったDDoSに巻き込まれた

技術

事例集です。

きのう、GitHubの通知を見たら、個人のリポジトリに My First PR というタイトルのPRが来ているのに気づいた。PR出すところを間違えたのかな、と思って見てみたがどうも様子がおかしい。

prog という名前のバイナリファイルを置いている
.github/workflows/ci.yml*1の中身をガッと書き換えている
- on: [pull_request] でworkflowを起動している
- 20並列でjobが走るようにmatrixを設定している
  - fail-fast: false なので、どれか1つのmatrixが失敗しても他のジョブは続行される
- base64 encodeした文字列をdecodeしてevalしている
  - ドメインの名前解決を行ったあと ./prog を実行するコマンドにdecodeされた
PRをめちゃくちゃな回数closeしてreopenしている
PRを出したユーザーではなく、リポジトリのオーナーがcommitしたかのようにcommit logを偽装している

走ってるworkflowリストを見にいったらめっちゃenqueueされている!! ひとまず当該PRを出してきたユーザーをブロックして、enqueueされたworkflowを全部キャンセルした。

当該ユーザーのリポジトリ一覧を見ると、めちゃくちゃforkして同様のPRを出しまくっている*2。これはいかんなーと思ってabuse reportを書いて送信した。

他の人は認識してないのか、とちょっとTwitterを検索してみると、GitHub ActionsがDDoSに使われているという @github へのメンションがあった。

@github @natfriedman A button to cancel all running workflows would be kinda handy when GitHub Actions was used for some DDOS attacks
— Pascal Berger (@hereispascal) 2021年2月4日

これに対してGitHubの中の人が反応していた。

Well that sucks. Looking into it now. Did you report the user already?
— Martin Woodward (@martinwoodward) 2021年2月4日

どうやら状況を認識されたようで、中の人の反応から数十分ぐらい待ったら当該ユーザーのアカウントが消えた。

リプライツリーには、このリポジトリのスクリプトを使って攻撃を仕掛けているという報告もあった。片っ端からpublicなリポジトリを見つけてはforkしてPRを作りまくるというのをやっていたようだ。

GitHub Actionsについてちょっと考えてみると、任意コードをいくらでも並列に実行できる環境があちこちに転がっているということになって、攻撃者にとっては魅力的ではありそう。そういう使い方をしないでほしい。

しかし、生きてるといろいろありますね。

*1:テストを走らせるworkflow YAML

*2:最後に見たときは250個ぐらいforkしてた

2021-02-03

ゲーミングアイコン

無彩色ベースだと思ったよりゲーミング感が出ない。

.gaming {
  animation: 0.5s infinite gaming;
}

@keyframes gaming {
  0% {
    filter: hue-rotate(0deg);
  }
  50% {
    filter: hue-rotate(180deg);
  }
  100% {
    filter: hue-rotate(360deg);
  }
}

2021-02-02

まちカドまぞく6巻発売まで

「まちカドまぞく」今月は休載でしたが、来月発売のコミックス第6巻の表紙ができましたので公開します！
発売日は今月より少し早い2月25日となります、お楽しみに。 pic.twitter.com/sL07BQdTxc
— まんがタイムきらら編集部 (@mangatimekirara) 2021年1月28日

まちカドまぞく (6) (まんがタイムKRコミックス)