KENT WEB 総合スレ Part2
■ このスレッドは過去ログ倉庫に格納されています
0001nobodyさん
04/03/11 16:59ID:tlc4t215KENT WEB
http://www.kent-web.com/
前スレ：KENT氏を超えたい！
http://pc2.2ch.net/test/read.cgi/php/997199513/l50
0441kent
2005/11/03(木) 11:13:26ID:JxCCjzQP0442nobodyさん
2005/11/12(土) 06:06:24ID:???これの脆弱性には呆れたよ。
KentはCGI制作業もやってるんだろ・・・。
こんな素人がやるようなミスをおかすなと。
1. Perlのソースが汚い
推奨されていないことも平気でやるわ、コーディングの質も悪いわ、
タブやインデントの入れ方も汚い、use strict すらしていない。
こういうのがセキュリティホール、実行速度低下、バグの原因になる。
2. 出力するHTMLのソースが汚い
W3C準拠が望ましいのは勿論だが、そういうレベルじゃなく汚いね。
例えば、テーブルにボーダーをつけるためだけに、そのテーブルを色つきのテーブルで囲っている。
CSSを数行追加すればボーダーぐらいできるのに、テーブルで囲ったりするから、
ソースは汚くなるわ、容量は大きくなるわ、第三者が修正しにくくなるわでめちゃくちゃ。
KentのCGI修正しようとするとこの汚さでストレスがたまる。
しかも、コーディングルールを決めていないせいか、インデント、タブが適当なのはもちろんのこと、
ダブルクオートやシングルクオートも使ったり使わなかったりでめちゃくちゃ、修正時に自動置換するなどのことができなくなってる。
3. パスワードをCGIに直書き
管理用のパスワードをCGIに直書き、非常にレベルが低いとしか言いようが無い。
そもそも、CGIが保存するデータはWebサーバのドキュメントルート外におくべきだ。
実害がないとかほざくかもしれないが、サーバの不具合でCGIのソースが見えてしまったりすることもある。
過負荷で処理できない場合や、動作するCGIの拡張子を変えた場合などに見えてしまうかもしれない。
ドキュメントルート内に見られて困るデータを置くこと自体が間違えなんだ。
これは少しでも業務でWebプログをやったことがある人にとっては常識だと思う。
（勿論、他の方法でセキュリティ対策していればいいが、Kentは拡張子がcgiだから問題ない、といった低レベルな理論を主張しているだけ）
0443nobodyさん
2005/11/12(土) 07:38:59ID:???0445nobodyさん
2005/11/26(土) 01:02:04ID:???どこのスクリプトも探してみるとやっぱり悪いとこはあるよ、きっと。
嫌なら使わなければいいしね。442さん説明ありがとう。
0446nobodyさん
2005/11/26(土) 14:27:29ID:90o6uaFGだいたい、メール送信するだけのCGIぐらい自分で作れよ
xreaからのアナウンスを引用:
| ・送信されてくるデータの改行コード「\n」を削除、もしくは、エスケープせず、そのままsendmailに渡している
| ・入力データの文字列の長さのチェックをしていない
| ・問い合わせ者のメールアドレスの入力データの文字列に[,]が含まれることを許可し、かつ、自動返信している
http://sb.xrea.com/showthread.php?t=10113
このうち2番目の長さチェックは本件とは関係無いし、こういったセキュリティ対策は推奨しない。
http://pcweb.mycom.co.jp/articles/2005/07/12/wasf/
> 高木氏はこれについて「『サニタイズ』はろくな対策をしていないことを一言で表現できる便利な言葉であり、現在『サニタイズって言うな』キャンペーンを行っているところ」と不満をあらわにした。
ようするに、「メールアドレス欄を50文字までに制限すれば、100個も200個もカンマで区切ったアドレスを入れることは出来ない。」というとんでもない理論。
こういったコーディングは美しくないし、長いメールアドレスを利用したい人が困る。
「,」や「\n」などのエスケープを行えばそもそも防げたはずだ。
Kentもこのエスケープをしなかったのがセキュリティホール。
0447nobodyさん
2005/11/26(土) 14:28:04ID:90o6uaFG1回のPOSTで1件迷惑メールを送信することがどうしても可能になるよね。
0448nobodyさん
2005/11/26(土) 21:24:36ID:???0449nobodyさん
2005/11/30(水) 09:25:14ID:???8000円ﾀｶｽｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗ
0450nobodyさん
2005/11/30(水) 17:56:18ID:FwI7Ttbtまあ有料サービスを受けてる人がフリーソフトに切り替えることを
思えば安いもんだよ、うん
0451nobodyさん
2005/12/14(水) 23:14:43ID:NI6ppHas現象が起きたのだがそんなバグ知られてる?
0452nobodyさん
2005/12/15(木) 16:42:41ID:???0453nobodyさん
2005/12/15(木) 20:51:21ID:nB7eSA1h確かにここ１ヶ月ほどマルチ広告攻撃にあっているので「変なソフトで書き込み」は大量に
されてます。
> 改行コードとかおかしくなるんじゃないの
そんな感じですね。 しかしそういうことが起こらないようにスクリプト側で
対応するべきですよね。
0454nobodyさん
2005/12/15(木) 20:54:02ID:???あともう１つの症状としてpastno.datがリセットされて番号が１にもどっちゃうんです。
これも困りますね。
0455nobodyさん
2005/12/15(木) 22:26:51ID:???0458nobodyさん
2005/12/16(金) 21:49:19ID:???yybbs.cgi 設定項目に追加
# 多数のURL書き込みを禁止する
# 3に設定すると、http://～を4以上書き込んだ場合は投稿不可
$ngurl = 3;
ログ書込処理サブルーチンに追加
#----------------#
# ログ書込処理 #
#----------------#
sub regist {
®ist_check;
#▼ここから▼
$j = $in{'comment'};
&jcode'convert(\$j, 'euc');
if ($j !~ /[\xA1-\xFE][\xA1-\xFE]/) { &error("不適切な投稿です"); }
if ($in{'url'} && $in{'comment'} =~ /\Q$in{'url'}\E/i) { &error("不適切な投稿です"); }
$urlnum = ($in{'comment'} =~ s/http/http/g);
if ($urlnum > $ngurl) { &error("不適切な投稿です"); }
#▲ここまで追加▲
0459nobodyさん
2005/12/16(金) 21:52:52ID:???1) http が $ngurl以上本文にあると拒否
2) 本文が英文のみだと拒否
3) URL欄と同じURLが本文に表れたら拒否。
0460nobodyさん
2005/12/16(金) 21:53:13ID:???0461nobodyさん
2005/12/18(日) 10:34:43ID:???KENTと同じで遊びで作っていて自称スキル無しらしいけど
http://f20.aaa.livedoor.jp/~wahaa/protection/yybbs/yybbs.cgi
>サポート掲示板で便利なパッチ見つけたので張っとく。
レベル低杉
つか、約２名の押し売りｳｻﾞｰ
0462nobodyさん
2005/12/18(日) 19:32:10ID:???0463nobodyさん
2005/12/23(金) 07:12:09ID:???cgiをリネームするのがてっとり早いか。
0464nobodyさん
2005/12/23(金) 08:55:05ID:???一応、461のスパム対策で自動スパムと手動は禁止ワードで防げている
板に直倫で来る客が多いからリネームとかしていないけど
KENTのサポ板に出ていた対策や新たに紹介されたスパム回避は客からのクレームが多かったよ
多分、串対策と不正投稿の対策が今のところ効いているのだと思う
0466nobodyさん
2005/12/24(土) 02:15:34ID:???kentが自演して攻撃してるとか
0467nobodyさん
2005/12/24(土) 10:25:18ID:???アドレス削れ。某双葉系みたいなので分別汁
KENTは俺からすると初級～中級序盤までの訓練教材としては良い物だとは思う
中盤までに清書と添削の教材としてスキルアップ利用すると面白いとは思うけどな
が、慣れてしまうとド壷に填り癖になりキッチリした書き方ができなくなる諸刃の剣。
他を見て吸収しないヒキコだと余り関心しないように育ってしまうんだよな…
ま、遊びでスキルの押し売りせず自分だけで遊ぶとか線引きし自覚していれば良いのだけどね。
0468465
2005/12/24(土) 23:32:28ID:???>>464
串対策は苦情出ませんか? 昔大会社で働いてた時は外部には会社の串を通してしか
アクセスできなかった。 他の不正投稿の対策は全部使っているのですか?
URL欄廃止は面白いですね。 確かに無くても客はあまり文句を言わないかも、で
それがあることを前提としているスクリプトは跳ねられそうですね。 今のところこの
欄を埋めないのは見たことが無いですね。
0469nobodyさん
2005/12/25(日) 00:56:24ID:???全部は使っていない実装だけして飾りにしてある
実験したらICONとURIの不正チェックが、かなりイイ感じに効いているみたいです
串に関しては、串通す客が少ないのでクレームは無いですね
串通してもアレなら使える串はありますし、主要な串を押さえていると思う。
串のルーチン下に特定ホスト見て$denyを0にして通してやればイイんじゃないの？
いつの間にかサンプル板の改造が芳ばしくなっている件についてｗ
0470nobodyさん
2005/12/26(月) 00:35:41ID:???宣伝プログラムに検知されている可能性ってないでしょうか。 やる立場としてはそれを
検出して新しい対策をしたほうがいい訳ですから。
これひょっとして
投稿は正常に処理されました
0471nobodyさん
2005/12/26(月) 00:39:08ID:???すまん、切れてしまった。
…これはひょっとして
投稿は正常に処理されました
というのはうそでエラーでした
というメッセージを出したら、正常に書いたと思って同じ手段で書き込み続け、
同じアルゴリズムで拒否し続けられるのでは？
0472nobodyさん
2005/12/26(月) 12:13:48ID:???>宣伝プログラムに検知されている可能性
無いと断言する。
不特定の板を設定しオートで流すのに専用ブラウザを作り
エラー情報の文字まで検索し取得対策するなんてありえない。
というか、このスレとは無関係な話題が続いているがイイのか？
0473nobodyさん
2005/12/26(月) 14:27:22ID:QpuP5/3X送信：確認画面へ
という、ボタンの値まで表示されてしまいます。これを消すにはどうしたら
良いのでしょうか？
0474nobodyさん
2005/12/26(月) 18:23:10ID:???使っていない俺からすると何を言いたいのかわかんねーけど
アドレスの類とは思うが、見える事に何か脆弱や不都合でもあるのか？
あるなら的確に簡素に伝えるようにのべよ。
もしくは、素直にKENT WEBのサポ板に行くがよい
0475nobodyさん
2005/12/26(月) 18:26:41ID:???0476nobodyさん
2005/12/28(水) 09:05:36ID:???早速導入した。
㌧クス。
ちなみに、Web Patio に導入する場合にどうすれば良いか書いとくな。
新規投稿用には、
sub regist {
local($sub,$key,$flag,$i,@top);
の次あたりに、
修正投稿用には、
if ($in{'job'} eq "edit2") {
のあとのパスワードチェックが終わったあたりに次のコードを追加すれば良い。
# スパムフィルター
$j = $i_com;
&jcode'convert(\$j, 'euc');
if ($j !~ /[\xA1-\xFE][\xA1-\xFE]/) { &error("英文のみの投稿は禁止ですよっと。"); }
if ($in{'url'} && $i_com =~ /\Q$in{'url'}\E/i) { &error("URL欄とコメント欄に同じURLはスパムとみなします。"); }
$urlnum = ($i_com =~ s/http/http/g);
if ($urlnum > 4) { &error("URLが多すぎます。5個以上あったら駄目です。"); }
0479476
2005/12/28(水) 09:55:06ID:???これでしょうか。
0480476
2005/12/28(水) 09:58:18ID:???http://f20.aaa.livedoor.jp/~wahaa/protection/001/spamer.php のも一般的には良い方法なんですが
ブラウザの言語設定、検索エンジン弾き、プロキシチェックはまともな利用者が引っかかる
（アクセスログを見た結果、会社・学校経由と思われる人がこのチェックで引っかかることが確認できた）ようですし、
スパムが酷くならない限りこのままでいこうとおもいます
0481nobodyさん
2005/12/28(水) 10:16:12ID:???2ch系や会社や学校からの利用の板ではダメなんだなっと
串に関しては設定しないとか拒絶回避を仕込めばいいんじゃね？
ま、客の利用とか好き好きだけどね。
関係ないがサンプル板がまた一段と芳ばしくなっているなｗ
0482nobodyさん
2006/01/05(木) 17:41:51ID:WauhCTkQhttp://news19.2ch.net/test/read.cgi/newsplus/1136448301/l50
0483nobodyさん
2006/01/06(金) 20:27:11ID:FZxSPDIeリクエスト掲示板のこと？
0484nobodyさん
2006/01/06(金) 20:38:46ID:???この改造スゴイわ、スパム1日30件ぐらいきてたスパム住処だったのに。
今は1日に3件になった。普通の書き込みは今のとこ問題なし。
0485nobodyさん
2006/01/07(土) 14:34:39ID:???つーかさ、この古くからある手法を今更有り難がるなんて、よほど視野が低い奴等なんだろうな。
好みだが頭でlocal();を指定してやるが良い
対策箇所のみをeucにする自体で根本的に何か間違っている気がするし
URI欄を見るなんつーのも不思議でならないズルポンの普通のテキスト欄と同じなのに。
対策つーて、これみよがしに書かれているのは全部どっかで書かれている物だったりするんだが
笑える話だが視野が狭いと鞭故に神のように崇拝するんだよな。
0487nobodyさん
2006/01/07(土) 21:20:01ID:???そこまで言うなら具体的にやり方教えてくれ。
0488nobodyさん
2006/01/08(日) 22:44:40ID:???http://www15.tok2.com/home/sumire110/index.html
この方の配布している風にひみこーどを追加したのですが脆弱を発見してしまいました。
その為に履歴を残さずに投稿しようとしたのですが上手く出来ません。
http://www.yoshiro.com/js/kako4.html
このJavaScriptを使おうかと思います。
ですがtype="submit"だと無効になってしまうみたいで・・・。
何か良い方法はないでしょうか？
0489nobodyさん
2006/01/11(水) 19:00:16ID:???http://www.j-venture.info/evening/images/kanto06_kenjo.jpg
0490nobodyさん
2006/01/12(木) 03:39:04ID:???へー、こういうのが本職だったのか。 社会保険労務士さん。
http://e-sharoshi.com/
0491nobodyさん
2006/01/13(金) 20:02:50ID:???0492nobodyさん
2006/01/14(土) 14:54:01ID:???もっと最適化できそうだけど、コロンブスのような案は凄いな
隙間埋めと詰めが素晴らしいと思ったよ
スクリプトとしては小汚いが補うのは各自と考えれば良い物だ
マネした対策配布物が出てきそうなくらいだ
0495nobodyさん
2006/01/16(月) 18:35:46ID:???1) 三日三晩華厳の滝に撃たれて祈ってみる
2) 願いが叶うという７つのボールを探しに旅に出てみる
3) 大声でﾊﾟｰﾏﾝ助けてー！！と家の近所を３週してみる
4) 本屋へ逝きエロトピア下さい！と奇声をあげて買ってみる
5) 困ったときは最寄りの役場で相談してみる
6) ｸﾞｸﾞﾙ
7) PCを窓から捨ててみる
8) 出来る限り多くの人に聞いてスキルアップの情報収集の為にも至る場所でマルチポストしてみる
9) 正露丸乗せコーラかけごはんを食べてから、もう一度考えてみる
10) DOS画面 format C： と書き y ボタンを押し ENTER ボタンを押してみる
全部試せば、高確立で質問の内容は考えなくても良くなるはずです。
0497nobodyさん
2006/01/17(火) 09:45:08ID:???例え初心者でも１０分で解る物なんだが
YYBBSの中身見て、PetitBoardの中身見て照らし合わせる事もしねえ猿以下なんだな
しかも、陰気に逆ギレ。>>495ｶﾜｲｿｽ
腐ってるKENTスレでも「WEBプログラミング」板だからな、少しくらい調べたり覚えような>>496
0498nobodyさん
2006/01/17(火) 09:48:46ID:???すみません、私はプロのWebプログラマーですが
Kentの汚いソースは見るだけでいらいらしてキーボードを投げつけたくなるので
30秒以上見ないようにしているのです。
従ってすぐにコピペできるように何処をどうすれば良いか教えていただきたいと思います。
0499nobodyさん
2006/01/17(火) 10:24:38ID:???改造するまでもない、自分で作るか他にしろよ悪いことはいわねーから
小学生かな？素直にKENTｻﾎﾟ利用しろよ
0500nobodyさん
2006/01/17(火) 12:51:49ID:???アイタタタタタ(ﾉД`)
0502nobodyさん
2006/02/07(火) 10:25:21ID:???0503nobodyさん
2006/02/07(火) 13:08:12ID:???テストしてみた。 無問題。 ただコピー(petitlog.cgi -> yylog.cgi) すればそのまま使えるよ。
0504nobodyさん
2006/02/10(金) 16:06:59ID:???自分で禁止ワードのパッチ（？）を追加しなきゃ駄目なんですか？
0505nobodyさん
2006/02/12(日) 01:56:51ID:???0506nobodyさん
2006/02/13(月) 10:22:33ID:???0509nobodyさん
2006/02/24(金) 03:00:42ID:qVHURfWYこちらのミニカートでAUからの注文時に
支払い方法の選択から連絡先入力ページへいけずに、
カートの中身に戻ってしまうのですが
考えられる原因や対処方法などありましたらご指南ください。
よろしくお願い致します。
0510nobodyさん
2006/02/24(金) 03:08:23ID:???0511nobodyさん
2006/02/24(金) 03:56:17ID:???0513nobodyさん
2006/02/24(金) 04:29:31ID:qVHURfWY夜分にご返答ありがとうございました。参考になりました。
再度CGIを見直していろいろと試行錯誤してみます。
それで無理であればサポート掲示板なり有料サポートなり
別の方法で解決の糸口を探してみます。
ありがとうございました。
0514nobodyさん
2006/02/26(日) 13:00:47ID:???KENTのサポ板にいるBALサポ板で改造版の配布してやがるぞ
何か勘違いしているんじゃねーのか？
0516nobodyさん
2006/02/26(日) 14:01:26ID:???なら自分でサポ板つくり自分のところで配布しろつーのｗ
なんでオフィシャルで改造配布するんだ？
逆に説明が嫌ならサポ辞めろみたいなｗ
つーか、abcにツッコミ入れられているしｗ
0517nobodyさん
2006/02/26(日) 17:00:38ID:???BALってﾘｱ厨かﾘｱ高なのかな？
abcはスキル低いけど板を渡り倒した猛者みたいな印象
0518nobodyさん
2006/03/10(金) 17:24:53ID:Qt5BBgMb更新のアナウンスもない。
KENTってやることずさんだな。
一度有名になるとみんなこうやって調子に乗るもんなんだろうな。
たかが１ユーザーの意見と思って、状況の確認すらして無いんだろうな。
0519nobodyさん
2006/03/10(金) 17:53:26ID:KZQqNR4Zhttp://www.bitarea.com/bitsystems/web/products/index.html
0522nobodyさん
2006/03/11(土) 10:35:53ID:???KENT-WEBのサポなんて任せたらメチャクチャになるだけだ
大体にして利用する側（質問者）に見合ったスクリプトとサポータしかいねーし
そのくせ「俺、俺、俺！」ばかりだしな
>>521
ほぼ同意。
俺個人はKENT物を独自に最適化し遊ぶのも良いと思う
実際に勉強になったし
0523nobodyさん
2006/03/11(土) 10:51:05ID:???バグフィックス版の更新なんてやんねぇよな…
0524nobodyさん
NGNGVlad Stepanovて名前でのスパムがスゲー数
相変わらずアンチ暇人だなあ
ったく通報されたいのか？
0525nobodyさん
2006/03/20(月) 11:42:48ID:???0526nobodyさん
2006/03/30(木) 00:50:51ID:???スパムログ参照したらどえらいことになってんだけど
0527nobodyさん
2006/03/30(木) 23:25:48ID:???0529nobodyさん
2006/03/32(土) 17:43:17ID:???0531nobodyさん
2006/03/32(土) 18:43:23ID:???ある意味扱いは楽かもしれんがなｰ
「野性のKENTを飼い慣らそう」ってな感じで
0532nobodyさん
2006/03/32(土) 22:07:35ID:???0533nobodyさん
2006/03/32(土) 22:15:51ID:???自分自身に磨きが掛かると、え？とか思うようになるよ
初心者～中級者の序盤までは教科書でも良いとは思うが
それ以降も崇拝すると教科書からバイブルになるから質が悪い。
いや、質が悪いのはKENTではなく不勉強な信者だが。
0534nobodyさん
2006/03/32(土) 22:35:24ID:???オブジェクト指向気取りで構成するファイルが大量にあるCGIより
KENTのCGIの方が確かに楽だ。
0535nobodyさん
2006/04/04(火) 23:59:15ID:OXvnxl/u0537nobodyさん
2006/04/09(日) 13:12:24ID:???0538nobodyさん
2006/05/02(火) 11:50:34ID:???どんなにレベルの低いものでもうpできますよ？ｗ
0539nobodyさん
2006/05/04(木) 00:13:15ID:???http://search.cpan.org/~dconway/Acme-Don-t/t.pm
ソースは４行
http://search.cpan.org/src/DCONWAY/Acme-Don-t-1.00/t.pm
■ このスレッドは過去ログ倉庫に格納されています