KENT WEB 総合スレ Part2
■ このスレッドは過去ログ倉庫に格納されています
0001nobodyさん
04/03/11 16:59ID:tlc4t215KENT WEB
http://www.kent-web.com/
前スレ：KENT氏を超えたい！
http://pc2.2ch.net/test/read.cgi/php/997199513/l50
0377nobodyさん
2005/05/03(火) 05:23:34ID:???ログのファイル名は変更できるようになっていたし、現在はデフォルトで
ファイル名を*.cgiにするという厨房的なｗ対策が取られているようですが？
0378nobodyさん
2005/05/03(火) 17:13:29ID:???0379nobodyさん
2005/05/03(火) 22:38:57ID:npj+5J4H0381nobodyさん
2005/05/04(水) 03:00:17ID:???ろくにFTPソフトの使い方も分からない人向けの、CGI。
ファイルを分割すると、それだけ設置が困難になる。
そもそもソースがフリーで配布されてるんだから、暗号化なんてしたって気休め程度にしかならないし、別ファイルにしたところで、それがどうした。って感じ。
0382nobodyさん
2005/05/04(水) 05:55:24ID:???0384 ◆GrsqjXpGxE
NGNGサーバがCGIと認識しないと、パスワードばればれってことですか？
どうすりゃいいんだ？？？
ｶﾞｸｶﾞｸﾌﾞﾙﾌﾞﾙ ｶﾞｸｶﾞｸﾌﾞﾙﾌﾞﾙｶﾞﾀｶﾞﾀｶﾞﾀｶﾞﾀｶﾞﾀｶﾞﾀｶﾞﾀｶﾞﾀ ｶﾞｸｶﾞｸﾌﾞﾙﾌﾞﾙ ｶﾞｸｶﾞｸﾌﾞﾙﾌﾞﾙ
0386nobodyさん
2005/05/06(金) 08:45:19ID:???わかってる人ならpublic_htmlの外に出すなり.htaccessでdenyするなりすればいい
0387nobodyさん
2005/05/06(金) 18:22:53ID:???何も分かってねぇな
0388nobodyさん
2005/05/10(火) 17:10:46ID:m6Wm4QYInihongogayomenaihitodesuka?
0389nobodyさん
2005/05/10(火) 20:33:06ID:???0390ID
2005/05/21(土) 23:55:52ID:FHilS/kC0391nobodyさん
NGNG0392nobodyさん
2005/05/27(金) 06:59:36ID:???MIMEを間違えて、CGIのスクリプトファイルをダウンロードなんて聞いたことないけど、
そんなことがあるの？
かなりでかいセキュリティーホールだと思うんだけど。
0393nobodyさん
2005/05/27(金) 20:52:05ID:???0395nobodyさん
2005/06/05(日) 04:13:01ID:???ただし、オペレーションミスって言うとカッコ悪いから、負荷が高くて予期せぬことが起きました（＞_＜）って顧客には言うんだよ。
0396676
2005/06/18(土) 15:14:54ID:???ログファイルを消去すると、正常に表示されるのですが、
ログファイルをアップロードするとソースファイルが表示されるようになり、
正常に表示できません。
色々調べたのですが、原因が不明です。
ご存知のかたご教授くらさい。
サーバーはXREA使っています。
0397nobodyさん
2005/06/29(水) 11:28:57ID:FK9GhTI+0398nobodyさん
2005/07/01(金) 18:11:38ID:???訪問者が少ないうちはそこらへんのでよかった。
が、アクセス数が増えると耐え切れなくなってKENTにした今は快適。
LOCKの方法とかでやっぱ変わるもんなの？
0399nobodyさん
2005/07/01(金) 20:23:54ID:???0401nobodyさん
2005/07/02(土) 16:13:48ID:???. /////_ﾊ ヽ＜ 釣れた！＞ ハ
ﾚ//ｊ け ,fjlﾘ / ∨∨V ヽ h. ﾟl;
ﾊｲｲﾄ､"ヮノﾊ // |::: ｊ ｡
/⌒ヽヾ'ﾘ、 // ヾ､≦ '
. { j｀ｰ' ﾊ // ヽ∧∧∧∧∧∧∨/
ｋ～'ｌ ﾚﾍ. ,r'ス ＜ 初めてなのに ＞
| ヽ ＼ ト､ ヽ-kヾｿ ＜ 釣れちゃった！＞
. l ＼ ｀ｰ‐ゝ-〈/´ / ∨∨∨∨∨∨ヽ
l `ー-､___ﾉ
ﾊ ´￣｀ 〈/‐-､
0402nobodyさん
2005/07/03(日) 14:07:47ID:???是非自分でそれを実践して欲しい
0403nobodyさん
2005/07/04(月) 00:05:05ID:???エロイ人。
0404nobodyさん
2005/07/05(火) 12:56:58ID:???0405nobodyさん
2005/07/06(水) 15:34:34ID:???0406nobodyさん
2005/07/07(木) 11:27:27ID:???てかいいのかな？
おせぇてハイパーエロい人！
0407nobodyさん
2005/07/07(木) 12:06:35ID:+pEo1rFG0408nobodyさん
2005/07/07(木) 15:00:29ID:+pEo1rFG0409nobodyさん
2005/07/08(金) 01:00:34ID:???自分で書くのマンドクセェsubなんかをいただいて使うのが、
正しいKENTの使い方だな。
0410nobodyさん
2005/07/08(金) 01:25:14ID:???0411nobodyさん
2005/07/08(金) 09:29:55ID:???0412nobodyさん
2005/08/10(水) 06:02:31ID:???一瞬えええとか思っちゃったｗ
0413nobodyさん
2005/08/28(日) 19:15:42ID:Y5c+o1LH注文も問題なく出来るがメール受信がおかしい
注文者と当方とそれぞれ注文確認メールが行って欲しいのに２通ともこちらに来ています。
（注文者に確認メールが行っていない状態）
これはどの部分がおかしいのでしょうか、教えて下さい。
0414nobodyさん
2005/10/05(水) 12:59:07ID:???広告バナー貼ってもいいんですかね？
個人ならいいと“思う”って↓に書いてあるけど本当？
ttp://www.kent-web.com/support/old/47/0056.html
0415nobodyさん
2005/10/05(水) 17:08:26ID:???0416nobodyさん
2005/10/05(水) 21:10:01ID:???名前変えるとか拡張子変えるとかしないと。
ま、鯖がsuExec導入してなかったら何やっても無駄だが。
0418nobodyさん
2005/10/06(木) 15:05:08ID:???問題は起きてないのかな。設置側も分かってはいるんだろうが。
0419nobodyさん
2005/10/13(木) 18:33:12ID:3ZzSfZm6レスが100までなんだけど
どうしたらよいざまそ？
0420nobodyさん
2005/10/15(土) 18:20:32ID:0gUTD1OC一部で配布されているフォームメールのセキュリティホール、
脆弱性を突いた大量メール送信行為が多数確認されております。
同行為が確認された場合は、一旦アカウントを停止させていただきます。
こちらで調査いたしましたが、問い合わせ者からの送信されてくるデータのチェックが甘いことにあります。
・入力データの文字列の長さのチェックをしていない等が、大抵の原因となっております。ご注意ください。
確かにこれ文字数の制限がないんです。このフォームメールに
文字数制限かけるにはどうすればよいのでしょうか？
0421nobodyさん
2005/10/17(月) 02:01:29ID:Hzo0orq60422nobodyさん
2005/10/18(火) 01:01:49ID:pyI9eqAAURLキボンヌ
0423nobodyさん
2005/10/23(日) 13:32:34ID:???ToやらCCやらに渡されるメアドの個数チェックして、
IPで連投チェックとBBQでも入れりゃ良いんじゃね？
プログラム見てないからわからんけど。
0424nobodyさん
2005/10/23(日) 15:16:25ID:r1c7mRi0俺のアカウントは凍結された。今このあらし多いみたい。
具体的にやり方教えて頂けないでしょうか？
0425nobodyさん
2005/10/28(金) 01:44:01ID:???何か謝礼金とか貰えるの？
0426nobodyさん
2005/10/28(金) 01:49:08ID:???0427nobodyさん
2005/10/28(金) 01:51:41ID:???ソース見れば分かる。使ってる香具師は使用中断した方が良さげ。
致命的にゃ。
0429nobodyさん
2005/10/28(金) 02:05:25ID:???(自分で組むときはstrict, warningsは必須だけど)
パスワード関連のCGIで自由にユーザ追加が出来るのはどうかと思う。
0430nobodyさん
2005/10/28(金) 02:14:05ID:???0431nobodyさん
2005/10/28(金) 19:37:06ID:???0432nobodyさん
2005/10/29(土) 03:00:05ID:???0434nobodyさん
2005/10/29(土) 13:50:23ID:???0435nobodyさん
2005/10/29(土) 13:55:28ID:???というか、そういうサイトないのかな？
0436nobodyさん
2005/10/29(土) 13:57:48ID:???0438nobodyさん
2005/10/30(日) 14:55:54ID:???どーせPerlの起動の方が時間かかるんだしさ
0441kent
2005/11/03(木) 11:13:26ID:JxCCjzQP0442nobodyさん
2005/11/12(土) 06:06:24ID:???これの脆弱性には呆れたよ。
KentはCGI制作業もやってるんだろ・・・。
こんな素人がやるようなミスをおかすなと。
1. Perlのソースが汚い
推奨されていないことも平気でやるわ、コーディングの質も悪いわ、
タブやインデントの入れ方も汚い、use strict すらしていない。
こういうのがセキュリティホール、実行速度低下、バグの原因になる。
2. 出力するHTMLのソースが汚い
W3C準拠が望ましいのは勿論だが、そういうレベルじゃなく汚いね。
例えば、テーブルにボーダーをつけるためだけに、そのテーブルを色つきのテーブルで囲っている。
CSSを数行追加すればボーダーぐらいできるのに、テーブルで囲ったりするから、
ソースは汚くなるわ、容量は大きくなるわ、第三者が修正しにくくなるわでめちゃくちゃ。
KentのCGI修正しようとするとこの汚さでストレスがたまる。
しかも、コーディングルールを決めていないせいか、インデント、タブが適当なのはもちろんのこと、
ダブルクオートやシングルクオートも使ったり使わなかったりでめちゃくちゃ、修正時に自動置換するなどのことができなくなってる。
3. パスワードをCGIに直書き
管理用のパスワードをCGIに直書き、非常にレベルが低いとしか言いようが無い。
そもそも、CGIが保存するデータはWebサーバのドキュメントルート外におくべきだ。
実害がないとかほざくかもしれないが、サーバの不具合でCGIのソースが見えてしまったりすることもある。
過負荷で処理できない場合や、動作するCGIの拡張子を変えた場合などに見えてしまうかもしれない。
ドキュメントルート内に見られて困るデータを置くこと自体が間違えなんだ。
これは少しでも業務でWebプログをやったことがある人にとっては常識だと思う。
（勿論、他の方法でセキュリティ対策していればいいが、Kentは拡張子がcgiだから問題ない、といった低レベルな理論を主張しているだけ）
0443nobodyさん
2005/11/12(土) 07:38:59ID:???0445nobodyさん
2005/11/26(土) 01:02:04ID:???どこのスクリプトも探してみるとやっぱり悪いとこはあるよ、きっと。
嫌なら使わなければいいしね。442さん説明ありがとう。
0446nobodyさん
2005/11/26(土) 14:27:29ID:90o6uaFGだいたい、メール送信するだけのCGIぐらい自分で作れよ
xreaからのアナウンスを引用:
| ・送信されてくるデータの改行コード「\n」を削除、もしくは、エスケープせず、そのままsendmailに渡している
| ・入力データの文字列の長さのチェックをしていない
| ・問い合わせ者のメールアドレスの入力データの文字列に[,]が含まれることを許可し、かつ、自動返信している
http://sb.xrea.com/showthread.php?t=10113
このうち2番目の長さチェックは本件とは関係無いし、こういったセキュリティ対策は推奨しない。
http://pcweb.mycom.co.jp/articles/2005/07/12/wasf/
> 高木氏はこれについて「『サニタイズ』はろくな対策をしていないことを一言で表現できる便利な言葉であり、現在『サニタイズって言うな』キャンペーンを行っているところ」と不満をあらわにした。
ようするに、「メールアドレス欄を50文字までに制限すれば、100個も200個もカンマで区切ったアドレスを入れることは出来ない。」というとんでもない理論。
こういったコーディングは美しくないし、長いメールアドレスを利用したい人が困る。
「,」や「\n」などのエスケープを行えばそもそも防げたはずだ。
Kentもこのエスケープをしなかったのがセキュリティホール。
0447nobodyさん
2005/11/26(土) 14:28:04ID:90o6uaFG1回のPOSTで1件迷惑メールを送信することがどうしても可能になるよね。
0448nobodyさん
2005/11/26(土) 21:24:36ID:???0449nobodyさん
2005/11/30(水) 09:25:14ID:???8000円ﾀｶｽｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗ
0450nobodyさん
2005/11/30(水) 17:56:18ID:FwI7Ttbtまあ有料サービスを受けてる人がフリーソフトに切り替えることを
思えば安いもんだよ、うん
0451nobodyさん
2005/12/14(水) 23:14:43ID:NI6ppHas現象が起きたのだがそんなバグ知られてる?
0452nobodyさん
2005/12/15(木) 16:42:41ID:???0453nobodyさん
2005/12/15(木) 20:51:21ID:nB7eSA1h確かにここ１ヶ月ほどマルチ広告攻撃にあっているので「変なソフトで書き込み」は大量に
されてます。
> 改行コードとかおかしくなるんじゃないの
そんな感じですね。 しかしそういうことが起こらないようにスクリプト側で
対応するべきですよね。
0454nobodyさん
2005/12/15(木) 20:54:02ID:???あともう１つの症状としてpastno.datがリセットされて番号が１にもどっちゃうんです。
これも困りますね。
0455nobodyさん
2005/12/15(木) 22:26:51ID:???0458nobodyさん
2005/12/16(金) 21:49:19ID:???yybbs.cgi 設定項目に追加
# 多数のURL書き込みを禁止する
# 3に設定すると、http://～を4以上書き込んだ場合は投稿不可
$ngurl = 3;
ログ書込処理サブルーチンに追加
#----------------#
# ログ書込処理 #
#----------------#
sub regist {
®ist_check;
#▼ここから▼
$j = $in{'comment'};
&jcode'convert(\$j, 'euc');
if ($j !~ /[\xA1-\xFE][\xA1-\xFE]/) { &error("不適切な投稿です"); }
if ($in{'url'} && $in{'comment'} =~ /\Q$in{'url'}\E/i) { &error("不適切な投稿です"); }
$urlnum = ($in{'comment'} =~ s/http/http/g);
if ($urlnum > $ngurl) { &error("不適切な投稿です"); }
#▲ここまで追加▲
0459nobodyさん
2005/12/16(金) 21:52:52ID:???1) http が $ngurl以上本文にあると拒否
2) 本文が英文のみだと拒否
3) URL欄と同じURLが本文に表れたら拒否。
0460nobodyさん
2005/12/16(金) 21:53:13ID:???0461nobodyさん
2005/12/18(日) 10:34:43ID:???KENTと同じで遊びで作っていて自称スキル無しらしいけど
http://f20.aaa.livedoor.jp/~wahaa/protection/yybbs/yybbs.cgi
>サポート掲示板で便利なパッチ見つけたので張っとく。
レベル低杉
つか、約２名の押し売りｳｻﾞｰ
0462nobodyさん
2005/12/18(日) 19:32:10ID:???0463nobodyさん
2005/12/23(金) 07:12:09ID:???cgiをリネームするのがてっとり早いか。
0464nobodyさん
2005/12/23(金) 08:55:05ID:???一応、461のスパム対策で自動スパムと手動は禁止ワードで防げている
板に直倫で来る客が多いからリネームとかしていないけど
KENTのサポ板に出ていた対策や新たに紹介されたスパム回避は客からのクレームが多かったよ
多分、串対策と不正投稿の対策が今のところ効いているのだと思う
0466nobodyさん
2005/12/24(土) 02:15:34ID:???kentが自演して攻撃してるとか
0467nobodyさん
2005/12/24(土) 10:25:18ID:???アドレス削れ。某双葉系みたいなので分別汁
KENTは俺からすると初級～中級序盤までの訓練教材としては良い物だとは思う
中盤までに清書と添削の教材としてスキルアップ利用すると面白いとは思うけどな
が、慣れてしまうとド壷に填り癖になりキッチリした書き方ができなくなる諸刃の剣。
他を見て吸収しないヒキコだと余り関心しないように育ってしまうんだよな…
ま、遊びでスキルの押し売りせず自分だけで遊ぶとか線引きし自覚していれば良いのだけどね。
0468465
2005/12/24(土) 23:32:28ID:???>>464
串対策は苦情出ませんか? 昔大会社で働いてた時は外部には会社の串を通してしか
アクセスできなかった。 他の不正投稿の対策は全部使っているのですか?
URL欄廃止は面白いですね。 確かに無くても客はあまり文句を言わないかも、で
それがあることを前提としているスクリプトは跳ねられそうですね。 今のところこの
欄を埋めないのは見たことが無いですね。
0469nobodyさん
2005/12/25(日) 00:56:24ID:???全部は使っていない実装だけして飾りにしてある
実験したらICONとURIの不正チェックが、かなりイイ感じに効いているみたいです
串に関しては、串通す客が少ないのでクレームは無いですね
串通してもアレなら使える串はありますし、主要な串を押さえていると思う。
串のルーチン下に特定ホスト見て$denyを0にして通してやればイイんじゃないの？
いつの間にかサンプル板の改造が芳ばしくなっている件についてｗ
0470nobodyさん
2005/12/26(月) 00:35:41ID:???宣伝プログラムに検知されている可能性ってないでしょうか。 やる立場としてはそれを
検出して新しい対策をしたほうがいい訳ですから。
これひょっとして
投稿は正常に処理されました
0471nobodyさん
2005/12/26(月) 00:39:08ID:???すまん、切れてしまった。
…これはひょっとして
投稿は正常に処理されました
というのはうそでエラーでした
というメッセージを出したら、正常に書いたと思って同じ手段で書き込み続け、
同じアルゴリズムで拒否し続けられるのでは？
0472nobodyさん
2005/12/26(月) 12:13:48ID:???>宣伝プログラムに検知されている可能性
無いと断言する。
不特定の板を設定しオートで流すのに専用ブラウザを作り
エラー情報の文字まで検索し取得対策するなんてありえない。
というか、このスレとは無関係な話題が続いているがイイのか？
0473nobodyさん
2005/12/26(月) 14:27:22ID:QpuP5/3X送信：確認画面へ
という、ボタンの値まで表示されてしまいます。これを消すにはどうしたら
良いのでしょうか？
0474nobodyさん
2005/12/26(月) 18:23:10ID:???使っていない俺からすると何を言いたいのかわかんねーけど
アドレスの類とは思うが、見える事に何か脆弱や不都合でもあるのか？
あるなら的確に簡素に伝えるようにのべよ。
もしくは、素直にKENT WEBのサポ板に行くがよい
0475nobodyさん
2005/12/26(月) 18:26:41ID:???0476nobodyさん
2005/12/28(水) 09:05:36ID:???早速導入した。
㌧クス。
ちなみに、Web Patio に導入する場合にどうすれば良いか書いとくな。
新規投稿用には、
sub regist {
local($sub,$key,$flag,$i,@top);
の次あたりに、
修正投稿用には、
if ($in{'job'} eq "edit2") {
のあとのパスワードチェックが終わったあたりに次のコードを追加すれば良い。
# スパムフィルター
$j = $i_com;
&jcode'convert(\$j, 'euc');
if ($j !~ /[\xA1-\xFE][\xA1-\xFE]/) { &error("英文のみの投稿は禁止ですよっと。"); }
if ($in{'url'} && $i_com =~ /\Q$in{'url'}\E/i) { &error("URL欄とコメント欄に同じURLはスパムとみなします。"); }
$urlnum = ($i_com =~ s/http/http/g);
if ($urlnum > 4) { &error("URLが多すぎます。5個以上あったら駄目です。"); }
■ このスレッドは過去ログ倉庫に格納されています