【ZenCat】osCommerce系 ３号店【OSC】
■ このスレッドは過去ログ倉庫に格納されています
0001nobodyさん
2006/12/09(土) 15:29:12ID:eSahH2NqosCommerce系 Part2
http://pc8.2ch.net/test/read.cgi/php/1108362994/
関連 >>2-5あたり
∧∧ ∧∧ ∧,,∧
/⌒ヽ)/⌒ヽ) ｳﾚﾈ .ﾐ⌒ヾﾐ .客
(___ ( __) ﾐ __ﾐ ｺﾈｰﾖ..
0052nobodyさん
2006/12/14(木) 22:01:23ID:???Guest Account v 2.0
ttp://www.oscommerce.com/community/contributions,1511
0054nobodyさん
2006/12/15(金) 01:19:20ID:???0055nobodyさん
2006/12/15(金) 02:04:48ID:???これだけ煩雑になっちまったもんをどう修正できるというんだ。
日曜クラッカーレベルの厨房にも楽勝でイタズラできる無料鶴で客商売を続けるのか、
せめて数十万程度の投資をしてまっとうなビジネスをするのか、こりゃ経営者のモラル
の問題だぜ。金を払うのが嫌なら時間をかけて学んで、自分でサイト構築すりゃいい。
だがOSCやZENの類で客のクレカ情報まで扱うのは完全な詐欺行為。
0056nobodyさん
2006/12/15(金) 02:31:30ID:???高い金だせばまっとうになるとか、
なんでそう、金額で決まると思っちゃうんだか。
0057nobodyさん
2006/12/15(金) 02:44:54ID:???oscのカスタマイズまで請け負っているところも詐欺になるんだ。
警察署へ駆け込んでみてはいかが？
でもって>>54の回答だれかくれぇー
0058nobodyさん
2006/12/15(金) 03:47:39ID:???0059nobodyさん
2006/12/15(金) 03:49:30ID:???おそらくOSCやZENCARTのどこが危ないのかさえ理解していないから、「危ない」という
意識が芽生えないのだろう。ネットが初心者でも使えるようになった弊害だ。
0061nobodyさん
2006/12/15(金) 05:21:42ID:???0062nobodyさん
2006/12/15(金) 08:40:59ID:???ttp://www.oscommerce.com/community/bugs
公式で開発途中のosCommerce 3.0 Alpha 3 "Spekulatius"を落としてきて
セキュリティに詳しいおまいが片っ端からフィードバックすれば、
いいosC3になるんじゃないかな。日本語も標準対応してくれるかもしれないし。
今の所、英語、スペイン語、スウエーデン語しか入ってないし。
_ ∩
( ゜∀゜)彡 NIPPON！NIPPON！
⊂彡
0063nobodyさん
2006/12/15(金) 08:53:22ID:???そう思ってosc落として、とりあえずincludesの中を覗いた。
結論
ゼロから全て書き直さないと安全にならない
0064nobodyさん
2006/12/15(金) 09:50:36ID:???0065nobodyさん
2006/12/15(金) 09:57:34ID:???へぇへぇ。それなら、一箇所ぐらい危険なところを指摘できるのでしょうね？
それができなきゃ、お前はただのASP提供している業者かなにかだｗ
0068nobodyさん
2006/12/15(金) 11:50:06ID:???汎用性を存分に利用して複雑にするとメチャクチャ重くなるから
あまり意味ないっつーのはあるなぁ
0071nobodyさん
2006/12/15(金) 12:29:32ID:???売れてないシェアウェア買い物かご作者のたわごとじゃない？ｗ
osC系じゃないけどEC-CUBEも1.0.2になったね。ダウソしたけど使ってないｗ
0072nobodyさん
2006/12/15(金) 12:35:11ID:???Google Store Worldwide
ttp://www.google-store.com/index.php
0075nobodyさん
2006/12/15(金) 23:54:24ID:???使っている日本とは異なるだろうからな。
日本の場合は海外の動向に合わせて頻繁にFIXして公開している
ってわけでもなさそうだし。
0076nobodyさん
2006/12/16(土) 00:07:22ID:???いっこうに問題が起きないのはなぜだ？
OSC恐怖信者は理屈の無い宗教だな。
0077nobodyさん
2006/12/16(土) 00:37:37ID:???家に鍵をかけている泥棒恐怖信者は理屈のない宗教だな。
0078nobodyさん
2006/12/16(土) 01:26:22ID:???どこのASPだ？ ま、想像はつくがな。
0079nobodyさん
2006/12/16(土) 02:11:21ID:???ここでそんなこと書いて悪用されたら誰が責任を取るんだ？
ZENやOSCは少しでもPHPをかじった奴ならすぐに１０や２０の穴くらい簡単に見つけられるほど
酷いできだぞ。特にincludes内はメチャクチャだ。SQLの飛ばし方も無防備極まりないしな。
これがもしオープンソースでなければ誤魔化しも効くだろうが、露骨にOSCを使っているとわかる
ショップだとモロに攻撃対象にされかねない。実際、被害に遭っているのに気がついていないバカ
は多いだろうな。
0080nobodyさん
2006/12/16(土) 02:20:04ID:???>>79
> 実際、被害に遭っているのに気がついていない
これはいそうだね。
0082nobodyさん
2006/12/16(土) 02:25:53ID:???俺は別にｱﾝﾁってわけじゃないけど、穴が無いとは思えないよ。
つか、きっとどこかにはあると思う。（俺は知らんが）
穴の無いｿﾌﾄなんて皆無に等しいでしょ。
それに>>79にもあるけど、そんな事こんなとこに晒したらｼｬﾚにならない店もあるんじゃないか？
どんな穴なのかによるだろうけどさ。
ﾊﾟｯﾁが用意されていない穴は不用意に書くべきじゃないと思う。
と第三者的意見を述べてみる。
0083nobodyさん
2006/12/16(土) 02:37:04ID:???馬鹿はお前だろう。穴があればコミュへ突っ込めばいい話。その方がosC的にも全然良い。
それがopensourceの利点ってものじゃないのかい？
>>ZENやOSCは少しでもPHPをかじった奴ならすぐに１０や２０の穴くらい簡単に見つけられるほど
冗談にしてはあまりにも面白くない。
>>71が売れないシェアウェア作者じゃない?とか言っているがお前のスキルじゃそれにも程遠いだろう。
それともお前はopensourceであるものに対し、bugfixを見つけたら誰にも言わずに自分の中だけに留めておくのか？
明確に提示できない以上知ったかぶりのかまって君としてしか取られないのは当たり前。
includesディレクトリ内の何のファイルのどこのSQL文がむちゃくちゃなのか書きなよ。
っつーかかまってほしいならVIPに行け。
次書き込むときはちゃんとbugfixを明確に提示するんだよ。知ったかぶり君。
0084nobodyさん
2006/12/16(土) 02:37:10ID:???そのうち3つは同じスクリプトの脆弱性だから実質8つだな。
もっとよく探せば他にもあると思う。
これだけだと業者乙とか煽られそうだから建設的な意見を・・・
とりあえず使わないモジュールを入れっぱにしとくのはヤメレ。
オーバーライドの機能は使わないのが○
スクリプト書き換えないでできる対処法といったらこのくらいだなぁ。
osc作り変えて商売してるところはちゃんとセキュリティホール埋め
てくれてるのか？
0085nobodyさん
2006/12/16(土) 02:41:04ID:???これはヒドイｗｗ
俺だってすぐに見つけたのにｗ
ぽまい、もちつけって。
デカい穴がﾎﾞｺﾎﾞｺあいてるのは事実じゃん。
セキュリティホールを見つけたから警告してくれた79はまだ親切なほうだと思うぞ。
普通なら見つけても自分と関係ないからって何も言わないんじゃね？
しかしこれ、SQLインジェクションには無防備だよな。
パッチでてるの？
0086nobodyさん
2006/12/16(土) 02:43:29ID:???どうすればoscだってわかるんだ？外見以外で
0088nobodyさん
2006/12/16(土) 02:58:22ID:???0089nobodyさん
2006/12/16(土) 03:17:44ID:???0090nobodyさん
2006/12/16(土) 03:37:02ID:???0091nobodyさん
2006/12/16(土) 03:44:20ID:???めでたしめでたし
0092nobodyさん
2006/12/16(土) 03:55:19ID:???0093nobodyさん
2006/12/16(土) 04:04:32ID:???セキュリティ対策が万全なものを求めるなら、それ相応の金を出せ。
金がないなら頭を使え。
0094nobodyさん
2006/12/16(土) 06:03:24ID:???>>オーバーライドの機能は使わないのが○
>>85
>>しかしこれ、SQLインジェクションには無防備だよな。
どこのファイル？includesディレクトリ配下？
0095nobodyさん
2006/12/16(土) 06:17:26ID:???>
> どこのファイル？includesディレクトリ配下？
（；´_ゝ`） <･･･
0096nobodyさん
2006/12/16(土) 06:21:32ID:???[security] osCommerce 2.2-MS1 SQL Injection Vulnerability は、
その後のR6aで対策は、されている。
osCommerce MS1 日本語版 R6a July 01, 2004
■R5 からの主な変更点
o SQLインジェクション脆弱性対策
o クロスサイトスクリプティング脆弱性対策
o セッションハイジャック対策
お金が絡むから
いい加減な事を言いふらすと、業務妨害で訴えられるかもよ。
0097nobodyさん
2006/12/16(土) 06:24:23ID:???やめたほうがいい。
0098nobodyさん
2006/12/16(土) 06:29:27ID:???サーバの設定次第ではシングルクォートでイタズラするだけでも容易にパラメータを
いじれるぞ。マルチバイトを受け入れないフィールドなら無問題なようだが･･･
これはおそらく日本語版開発段階でのミスだろうな。
つか、俺も暇人だな。
0099nobodyさん
2006/12/16(土) 06:35:13ID:???メンバー登録時のサニタイジング漏れ発見。
これは容易に修正できるが、ド素人がネトで質問しつつ導入している
ような店ではどうかねぇ。危ねえと思うが。
0100nobodyさん
2006/12/16(土) 07:19:25ID:???少なくとも最新のものを使えばいいんじゃん。2006年08月17日の修正でも
・ Magic Quotes Compatibility Layer Fix
・ Parse GET Variables In Cache Functions
・ PHP 3 Session ID XSS Issue
・ Product Attributes SQL Injection
・ Resize Images To Round Numbers
・ Use The Correct Country Name Value When Formatting Addresses
・ Prevent The Session ID Being Passed In Tell-A-Friend E-Mails
・ Properly Remove Deleted Products That Exist In Shopping Carts
これだけセキュリティ上の問題やバグがあったようだし。
セキュティに関しては、ここの人のセキュリティ情報を集めているサイトの
人からの情報GulfTech Security Research ttp://www.gulftech.orgを参考にしたよう。
それでもセキュリティ上に問題があるかもしれないけど、それ以上は諦めるしかないんじゃないかな。
セキュリティヲタのサイトの人が指摘できないようなセキュリティホールに気づけと言う方がなかなか無理ってもんだよ。
0101nobodyさん
2006/12/16(土) 07:28:04ID:???Tep-jのメーリングリストも、その手の技術向上に全く役立ってないし、
「お互いにソフトを高め合おう。助け合おう」って姿勢が失われてる。
0103nobodyさん
2006/12/16(土) 08:10:52ID:???気がつかない人間がよくて、気がついて教えてくれる人間がだめなのかよ。
どっかに報告するのは義務じゃないだろ。それをわざわざ教えてくれる人が
いるんだから感謝こそすれ文句を言える問題じゃない。
0104nobodyさん
2006/12/16(土) 08:28:31ID:???メーカーのサイトに、おまいとこの金庫はある工具を使えばピッキングできる
って書いたら、メーカーに教えているのか、犯罪を助長していると感じるのかは
人それぞれですがね。
0105nobodyさん
2006/12/16(土) 08:35:00ID:???俺も>>102じゃないが一言。
>>気がつかない人間がよくて、気がついて教えてくれる人間がだめなのかよ。
気づいたら報告する義務はないが報告すべきことだと思う。そのソフトウェアの御地を浴びているのであれば。
より良いソフトウェアの開発が出来るってものじゃないかな。まぁそこら辺はモラルの問題だけど。
0106nobodyさん
2006/12/16(土) 08:41:14ID:???ようするに、OscommerceやZencartはセキュリティ的にかなりまずいってことだろ。
だったらこれ使う香具師はそれなりの対策をとればいいだけの話だ。
少なくとも商売の道具として使うのなら、被害が出ても無知を言い訳にはできないのだから。
0107nobodyさん
2006/12/16(土) 08:43:39ID:???> これは容易に修正できるが、ド素人がネトで質問しつつ導入している
これはヤバイくないか。99はネットやスレでみて導入する人や
本を買って導入するような一般人もいる事を認識した上でこの発言をしているわけで
加害の意図ありってことかな？詳しくは事が起こったときに警察にでも聞かないとわからないけど。
0108nobodyさん
2006/12/16(土) 08:48:11ID:???公式サイトの情報に従って常に最新のものにするなど
通常知りえる範囲のセキュリティ対策をすれば心配ないのでは？
それに普通は免責条項も約款にに入れてあるだろ。
それでもだめなら裁判所でお会いしましょうでOKじゃない？
0109nobodyさん
2006/12/16(土) 08:49:43ID:???はぁ？
>>97がいいこといってるぞ
ちゃんと読んどけ。
セキュリティホールの指摘が加害になるなら、そんなものを使って商売をする人間は完全に
モラルの範疇外。客商売にOSCだのZENだのを使ってる奴は顧客に対する最低限の義務さ
えはたしてない。
0110nobodyさん
2006/12/16(土) 08:51:18ID:???落ち着いてるぞ。
商用で使うものだからこそそのような情報を与えてはならないってことを>>104は言いたいんじゃないかな。
まぁ俺は遊びでコード見てるぐらいだからどうでもいい話になってしまうわけだが。
0111nobodyさん
2006/12/16(土) 08:51:37ID:???きちんとセキュリティホールが埋めてあるならOSCやZENを使うことに問題はない。
だが、他力本願の>>107みたいなのは確実にセキュリティに問題がある状態で使っているだろうから、
107だけでなくその顧客にも被害がでる恐れがある。
0112nobodyさん
2006/12/16(土) 08:58:34ID:???要するに >>99は
乗っ取り放題、取り放題！！ 俺はやり方知ってるぞ ｳｹｹｹ･･･
俺以外のｼｮｯﾌﾟはトットと閉鎖しろ！！
さもないと.... ﾊｧﾊｧ
ってことだろ。
0113nobodyさん
2006/12/16(土) 09:03:04ID:???OSCやZENを使ってる奴は、そもそも、みんな他力本願だよ....
拾ってきたソフトなわけだし... (￣o￣;)ボソッ
0114nobodyさん
2006/12/16(土) 09:22:23ID:???あるある言うばかりで具体性があることが一つかかれていない。
0115nobodyさん
2006/12/16(土) 09:25:29ID:???俺も俺も。
漏れも漏れも
なんだ？ このあからさまな自作自演はｗ
0116nobodyさん
2006/12/16(土) 09:26:22ID:???穴を教えてやればやったで筋違いの注文をつける奴がいると思ったら、
逆に114みたいなのもいるのか。どっちも救いがたいアホだな。
0117nobodyさん
2006/12/16(土) 09:39:48ID:???具体的に言えないのですか？>>116
御ふざけもホドホドにしてください
includes/functions/database.php
includes/functions/general.php
より関数（tep_db_prepare_input、tep_sanitize_stringなど）が使われます。
0118nobodyさん
2006/12/16(土) 09:46:00ID:???0119nobodyさん
2006/12/16(土) 09:49:13ID:???なにいっているんですか？ 穴を教えてないから、誰からも信用されてないんですよ？
あなたがやっているのは、適当なシステム見つけて、
穴がある。穴がある。とさけんでいるだけ。
Amazonには穴がある。
某ASPショッピングカートには穴がある。
某Webシステム開発会社のシステムには穴がある。
あなたの手法を使えばどんなシステムでも穴があることに出来ちゃいます。
あなたは、ocCommerceでなかったら何を薦める気ですか？
あなたが薦めるものには、すべて穴があるんですが？ｗ
0120nobodyさん
2006/12/16(土) 09:51:04ID:???無料かどうかは関係ないな。
それを言ったら、一番使われているApache Webサーバーだって無料なんだし。
どのシステムでも使われているPerlやPHPだって無料だ。
無料かどうかよりも、実績の方が大事。
ショッピングカーとの分野でosCommerceやzen cartよりも
実績があるシステムなんてほとんど無い。
0121nobodyさん
2006/12/16(土) 09:51:59ID:???> includes/functions/general.php
> より関数（tep_db_prepare_input、tep_sanitize_stringなど）が使われます。
あっそうなの
だから？
ユーザー定義関数がどうしたってんだよ、池沼
お前にわからないものイコール存在しないものじゃないってことだよ。
あまりにもアホ過ぎて相手にしてられんわ。
このスレにマトモな住人は少ししかいないようだな。
0122nobodyさん
2006/12/16(土) 09:55:00ID:???＞実績があるシステムなんてほとんど無い。
ぷｗｗ
実績だってｗｗｗ
じゃあその実績とやらを列挙してもらおうか。
どんな実績があるのかも書かずに「実績がある」なんて屁理屈は通用しないだろｗ
少なくとも
＞ 穴を教えてないから、誰からも信用されてないんですよ？
とまでいってんだからｗｗ
さあ、世界一の実績とやらちゃんと書いてねｗｗｗ
0123nobodyさん
2006/12/16(土) 09:55:14ID:???釣られるな。
>>116 = >>99 は、厨。 具体的な穴なんて何も言っていない。
日本語版 R6a のFixすら知らない馬鹿だ。
0124nobodyさん
2006/12/16(土) 09:56:52ID:???歴史も開発者のレベルも完成度も何から何まで違いすぎる。
0125nobodyさん
2006/12/16(土) 09:57:25ID:???具 体 的 に 言 っ て み ろ ！！
言えないんだろ？
0127nobodyさん
2006/12/16(土) 09:57:46ID:???いくらでもでてくるが？
http://www.os-commerce.jp/
次はあなたの番ね。
少なくともこれ以上の実績があるものを出さないと
世界一と言うのは覆せないよ。
0128nobodyさん
2006/12/16(土) 09:58:18ID:???0130nobodyさん
2006/12/16(土) 10:01:33ID:???0131nobodyさん
2006/12/16(土) 10:03:32ID:???>>99=>>116=>>121 の 基地外さんへ
具 体 的 に 言 っ て み ろ ！！
言えないんだろ？ わかんないだろ？
0132nobodyさん
2006/12/16(土) 10:04:58ID:???0133nobodyさん
2006/12/16(土) 10:05:51ID:???俺はOSCなんぞ使ってないし、暇つぶしにソース覗いただけなんでそこまで
付き合うのはよしとく。異常に粘着されたり逆の事をいわれたりして不快だしな。
一言だけいっとくが、少なくともいっぱしのプログラマならOSCなんてものを盲信
したりはしない。というか、できない。それはphp初心者レベルでもソース見れば
わかるだろ。 じゃあな
0135nobodyさん
2006/12/16(土) 10:09:04ID:???逃 げ る な よ ！！
具 体 的 に 言 っ て み ろ ！！
言えないんだろ？ わかんないだろ？ カス野郎
0136nobodyさん
2006/12/16(土) 10:09:57ID:???有名な奴なのか？
0138nobodyさん
2006/12/16(土) 10:11:10ID:???ワロスｗｗｗ
0139nobodyさん
2006/12/16(土) 10:12:07ID:???閑古だわ
0140nobodyさん
2006/12/16(土) 10:13:19ID:???のたまってたあのキチガイか？だったらたぶん>>131のことじゃね？
0141nobodyさん
2006/12/16(土) 10:14:57ID:???ドッカン
ｍ ドッカン
＝＝＝＝＝） ）) ☆
∧_∧ | | ／ ／￣￣￣￣￣￣￣￣￣￣￣
（ ）| |＿＿＿＿＿ ∧＿∧ ＜ おらっ！出てこい 基地外
「 ⌒￣ | | || （´Д｀ ） ＼＿＿＿＿＿＿＿＿＿＿＿
| / ￣ | |/ 「 ＼
| | | | || || /＼＼
| | | | | へ//| | | |
| | | ﾛ|ﾛ |／,へ ＼| | | |
| ∧ | | | |／ ＼ / （ ）
| | | |〈 | | | |
/ / / / | / | 〈| | |
/ / / / | | || | |
/ / / / =-----=-------- | |
0142nobodyさん
2006/12/16(土) 10:15:18ID:???なんだよそりゃ
無償ボラがオープンソースコミュの開発者のことなら、そんなサービスする義務はないだろ。
0143nobodyさん
2006/12/16(土) 10:17:16ID:???0144nobodyさん
2006/12/16(土) 10:18:45ID:???ドッカン
ｍ ドッカン
＝＝＝＝＝） ）) ☆
∧_∧ | | ／ ／￣￣￣￣￣￣￣￣￣￣￣
（ ）| |＿＿＿＿＿ ∧＿∧ ＜ おらっ！ 基地外
「 ⌒￣ | | || （´Д｀ ） ＼ 具体的に言ってみやがれ！
| / ￣ | |/ 「 ＼ . ＼＿＿＿＿＿＿＿＿＿＿＿
| | | | || || /＼＼
| | | | | へ//| | | |
| | | ﾛ|ﾛ |／,へ ＼| | | |
| ∧ | | | |／ ＼ / （ ）
| | | |〈 | | | |
/ / / / | / | 〈| | |
/ / / / | | || | |
/ / / / =-----=-------- | |
0145nobodyさん
2006/12/16(土) 10:20:40ID:???それがね、無償開発者は名声を得るから使用者にサポセンまがいのフォローを入れる義務があるとか
根拠も無くのたまうキチガイがいたのよ。文体とかがすごく>>137に似てるんで、たぶん同一人物。
OSCを絶対的な存在として捉えているのも同じだし。
0146nobodyさん
2006/12/16(土) 10:20:53ID:???0147nobodyさん
2006/12/16(土) 10:22:54ID:???0148nobodyさん
2006/12/16(土) 10:24:07ID:???付き合うのはよしとく。異常に粘着されたり逆の事をいわれたりして不快だしな。
一言だけいっとくが、少なくともいっぱしのプログラマならOSCなんてものを盲信
したりはしない。というか、できない。それはphp初心者レベルでもソース見れば
わかるだろ。 じゃあな
0149nobodyさん
2006/12/16(土) 10:25:19ID:???隔離スレが必要な気がしないでもないｗ
というか、もしかしてこのスレそのものが隔離スレ的存在なのかｗ
0150nobodyさん
2006/12/16(土) 10:26:26ID:3HeuHHgc自演じゃないぞ。とりあえずID晒す。
これ以上本スレでネチネチやられたら他の人が質問しずらいんじゃね？
0151nobodyさん
2006/12/16(土) 10:27:34ID:???って手遅れか
■ このスレッドは過去ログ倉庫に格納されています