【PHP】下らねぇ質問はID出して書き込みやがれ 134
■ このスレッドは過去ログ倉庫に格納されています
0001nobodyさん
2014/07/04(金) 10:14:06.30ID:???過去スレ、関連スレ、FAQなどは>>2-10辺り
次スレは>>980が立てる。10分以内に立たない場合、宣言してから立てたい人が立てること。
◆前スレ
【PHP】下らねぇ質問はID出して書き込みやがれ 133
http://kanae.2ch.net/test/read.cgi/php/1397862294/
◆質問用テンプレ
【OS名】CentOS
【PHPのバージョン】5.5
【連携ソフトウェア】MySQL ImageMagick
【質問内容】
◆質問する時の注意
・ スレを上げて自分のIDを表示させること。(メール欄に何も記述しない。専ブラのsageチェックを外す)
・ 己の行った操作、変更などを詳しく明記すること。
・ エラーメッセージはそのまま表記すること。「エラーが出ます」だけでは回答不可。
・ 質問者として、態度をわきまえること。
・ 事前に関連リンクの公式マニュアル、リファレンス本くらいはちゃんと目を通しておくこと。
(PHPで最良の教本はこの公式マニュアル。市販の書籍は嘘が多いので鵜呑みにしない。)
◆質問後の注意
・2回目以降は最初に質問した際のレス番号を入れて、偽者防止に必ずIDを表示させること。
・解決しなくても回答をもらった場合はお礼を言うこと。
(荒らし、煽りは除く。煽られたときも、無闇に反論せずスルーすること。)
◆回答者への注意
・誰にレスしているのか分からないと困るので、>>(アンカー)をつけて回答すること。
【その他諸注意】
・SQL・正規表現・PEAR・テンプレート(Smarty等)・フレームワークは各該当スレへ
0076nobodyさん
2014/07/06(日) 22:05:37.79ID:???PHPで他のサーバーに読みにいって、ディスクに書き出しているならば、
ソレをやめれば早くできるかもしれません。
細かいことが書いてないので分かりませんが、
Apatchでリバースプロキシとか?
0078nobodyさん
2014/07/06(日) 22:15:26.73ID:???0079nobodyさん
2014/07/06(日) 22:20:00.56ID:HgbXJAFoあー…やろうとしている事は確かにリバースプロキシ的です
外部サーバ->自サーバのデータ移動が終わる前に自サーバ->クライアントのデータ送信を問題なく開始できないかなとか考えていました
調べてきます
>>77
別人だと思うんだけど、やろうとしている事・聞き方に問題があったかもしれないので
その某所を教えてもらえませんか
0080マッチ棒
2014/07/06(日) 22:44:42.16ID:HbjK2WMoふつうに「おれは嫌い、おれは迷惑」って言うならわかるけんど、
みんなが嫌ってる、なんてなんとまあ女々しいやつやな
そんな性格だからいまだに童貞ニートなんやぞ
0082nobodyさん
2014/07/06(日) 22:58:30.05ID:???こう見えても基本情報技術者や電気工事士もってるプロですよ!
0083nobodyさん
2014/07/06(日) 22:59:44.29ID:???そこまでして自己顕示欲を満たしたいマジクズの>>76はリアルでもそうなんだろうなw
0084nobodyさん
2014/07/06(日) 23:02:14.80ID:???0086nobodyさん
2014/07/06(日) 23:25:48.60ID:???0087nobodyさん
2014/07/06(日) 23:56:25.73ID:???0091nobodyさん
2014/07/07(月) 01:35:25.18ID:unboj4MN0092nobodyさん
2014/07/07(月) 02:38:31.80ID:???0095nobodyさん
2014/07/07(月) 06:49:49.62ID:???0096nobodyさん
2014/07/07(月) 10:14:33.61ID:vUq82o6P質問1.
PHPによるログイン機能において多重ログインを防止しなかった場合、
セキュリティ的に問題はありますか?
ログインを記録したログを見ると、数分間で5〜10回ほど連続してログイン
(多重ログイン)しているユーザーがいます。
この点について、セキュリティ上問題があるのか疑問です。
質問2.
上記ログイン機能は、ログイン直後にリダイレクトにより会員ページに
遷移するもので、通常は、1秒かからず遷移します。
ところが、上記ユーザーは、アクセスログを見ると、どういう訳か、
多重ログインを試みた後、5分〜10分後に会員ページにリダイレクトしています。
このような不審な挙動にセキュリティ上の脅威はありますか?
よろしくお願いします。
0097nobodyさん
2014/07/07(月) 10:18:14.13ID:???なんかまともな質問内容になってきたので答えようと思うんだが、
大体何文字くらいいきそうなん? RFC上は無制限で
普通Webサービスとブラウザ等の制限しか気にしなくていいんだが
その程度ならば、遠く制限におよばねーよ。
0098nobodyさん
2014/07/07(月) 10:38:02.59ID:???今の今でもあるかわからんけど、ガラケーのブラウザ特にKDDIとか古い仕様引き継いでたような
現実的なのは出来るだけCookie・sessionに入れ込むとか、引数をbase64とかでまとめてやるとか?
1か0かの値ばっかりなら、順番に並べてまとめて2進数扱いしたあとに10進数なり16進数なり64なりに変換とか稀にやる
>>96
同一IPからのまったくの別人のアクセスじゃないんなら
わかってて会員ページの仕組み調べてんだろう
ただ多重ID使って自演するなどのコミュニティ的な害以外だと
成りすましに、XSSに、アタックの前調査に、と推測できる脅威の元ネタはいくつか浮かぶが
どうやってログイン機能実装してるのかどんな作りなのか全然わからないから、具体的には答えようがない
質問1も質問2も同じ、そんな断片の情報だけじゃ無理あるってことに気付け
010196
2014/07/07(月) 11:30:40.54ID:vUq82o6Pご回答ありがとうございます。
質問が曖昧だったようで申し訳ありません。
同一IPから同一のユーザーアカウントでの重複ログインです。
ですので、自演ということは無いと思います。
ログインに成功したら、ログイン画面を表示させない処理をすれば
良いのでしょうか?
たとえば、ログイン中に再度ログインページを開いたら、
ログアウトページに一度、リダイレクトさせるとか。
この点、一般的には、どう設計されてるのでしょうか?
010297
2014/07/07(月) 11:37:07.20ID:???古いDoCoMoが256文字未満だな。256文字よりちょい少なかったはず。
だが、>>43のは、それよりはるかに短いからいけるってだけだよ。
>>96
1. そんなのセキュリティポリシー次第。
1アカウント多重ログインによる利用を禁止するかどうかとか。
多重ログインによる利用を禁止しているならば、システム的にそれが出来ていることに問題があるし、
禁止していなければ、システム的にはポリシーに乗っ取った仕様通りってだけに見えるけど。
なお、それがクラックによる不正なログインかどうかとかはそれだけじゃわからんよ。
2. それこそ不明。
通常のブラウザではなく、他の何らかのスクリプト等によりログイン後のセッションを確立できる何かを収集しておいて、
それを配布などをしているのだろうとか予測できるけど、
それが問題ならば、ユーザに問い合わせ出してみたらええんじゃないのかね。
どちらもポリシーや規約上どうなってるかもわからず答えられる問題じゃないと思う。
010396
2014/07/07(月) 12:20:26.74ID:vUq82o6P質問2.については、やはり推測の域を出ないですよね。
同一のユーザーアカウントによる重複ログインは、望ましくないので、
禁止するようコードを修正したいと思います。
ログイン中に再度ログインページを開いたら、ログアウトページに一度、
リダイレクトさせるよう変更します。
貴重なご意見ありがとうございました。
0104nobodyさん
2014/07/07(月) 12:37:49.30ID:???日本の攻撃元はほとんどが踏み台にされてるこういうゴミシステム
0105nobodyさん
2014/07/07(月) 12:50:56.38ID:???010696
2014/07/07(月) 13:03:31.04ID:vUq82o6P同一のユーザーアカウントによる重複ログインに、
どのようなセキュリティの脆弱性があるのか、あなたは説明できますか?
脆弱性を指摘できないくせに悪口だけですか?
0107nobodyさん
2014/07/07(月) 13:14:42.10ID:???010996
2014/07/07(月) 13:28:11.62ID:vUq82o6P説明してくださいお願いします。
さあ、どうか説明してください。
まさか口だけではないですよね?
0110nobodyさん
2014/07/07(月) 13:35:53.96ID:???0111nobodyさん
2014/07/07(月) 13:43:38.91ID:???質問するのに適切な情報も出せないのは馬鹿未満。
そういう知恵遅れを甘やかすからマッチ棒みたいにサポセンと勘違いして居座るんだよ。
やりたいなら専用スレ立ててそっちでやってくれ。
0113マッチ棒
2014/07/07(月) 13:55:19.85ID:dmGB7fI9ちまいらと2週間かけて開発した案件管理DBもいよいよ大詰めです。
もうひとふんばり頑張ってください。
>>112
そう毛嫌いするでない。こう見えてもイケメンなのだぞ
011496
2014/07/07(月) 14:01:39.00ID:vUq82o6P>>またこうやってヴァカがセキュリティ的に脆弱なゴミシステムをリリースするのか
脆弱性があると判断するには十分だったようですが。
そのくせ、その脆弱性の説明ができなければ口先だけと思われますね。
0115nobodyさん
2014/07/07(月) 14:34:08.59ID:???この屑は何でこのスレを荒らそうと思ったんだろうね
0117nobodyさん
2014/07/07(月) 14:48:23.78ID:???名無しに戻ってあおれば答えてくれると思ってるマッチ棒さん
そろそろセキュリティ関連の質問来るだろうなとは思ってた
0118nobodyさん
2014/07/07(月) 14:52:09.55ID:???100%は無理だから、どれぐらいのお金と時間をかけてどれぐらいの堅牢性を求めるのが
妥当か、というビジネスとしての判断がもっとも重要
>>96 はそこが分かってないから100%を求めようとして的外れな質問になるのだろう
「なんとなく怖い」からなんとかしようとする、それは反原発派にも通じるメンタリティがあるね
0119マッチ棒
2014/07/07(月) 14:57:33.41ID:dmGB7fI9いま質問内容をまとめてるから待っときたまえ
0120nobodyさん
2014/07/07(月) 15:11:54.87ID:???毎日昼夜問わずいるけど職場から書き込んでるとはさすがに思えないし
0121nobodyさん
2014/07/07(月) 15:34:04.92ID:???まともに質問すらできない低能には理解できないから答えるだけ無駄
まともに質問できるようになってから出直せ池沼
0122マッチ棒
2014/07/07(月) 16:01:31.71ID:dmGB7fI9ちみも童貞ニートでしょ
仲間同士たすけあおうや(*^_^*)
0123nobodyさん
2014/07/07(月) 16:16:54.47ID:???0124nobodyさん
2014/07/07(月) 16:17:04.75ID:???0125nobodyさん
2014/07/07(月) 16:24:12.06ID:???0126nobodyさん
2014/07/07(月) 16:28:43.22ID:???ID:vUq82o6Pと同じく存在価値なし。
0127nobodyさん
2014/07/07(月) 17:19:58.33ID:???0128nobodyさん
2014/07/07(月) 18:11:22.68ID:???この馬鹿はいつまで自演する気だろう
0129nobodyさん
2014/07/07(月) 19:27:26.00ID:???マッチングサイトで嘘八百並べて請け負ったのか
013096
2014/07/07(月) 20:12:01.99ID:56LgSEO/日が暮れちゃいましたね。
どうやら説明できないようです。
結局、知ったかで嘘つきだったようですね。
>>98 >>102 さんには感謝です。
ありがとうございました。
0132nobodyさん
2014/07/07(月) 20:28:44.56ID:???安価でレスもらってるから書くけども
> 同一IPから同一のユーザーアカウントでの重複ログインです。
> ですので、自演ということは無いと思います。
同一IDで重複ログインって普通はさせないんじゃないか
例えば万が一sniffされて別人にログインされても、本人がその事に気付けないし…それ以前に、
> ログインに成功したら、ログイン画面を表示させない処理をすれば
> 良いのでしょうか?
> (以下略)
これまた「ログイン」システムをどう実装してるかによるんだけど
そもそもどういう仕組みでこれが成り立ってるか、理解してんのか?↑をみると怪しい
PHPでログイン機能を作ろうと思うとたいていCookie/sessionを使うことになると思うんだが
だとして、sessionがどういう仕組みで成り立ってて、サーバ側がCookieやsessionをどう扱うか理解してるか?
ある人物が、同一PCの中でブラウザを開きまくってログイン後に別窓でログインを試みたらどうなる?
それがサーバからみて同一IPかつ別PCだったら?別IPだったらどうなる?ってのを把握できてんのか?
ずっと前にmixiであった はまちちゃん とかが簡単にできそうな悪寒
0133nobodyさん
2014/07/07(月) 20:52:51.87ID:???当たり障りのない対応をする側の立場を考えたこともないんだろ
だから社会に適合できてると勘違い
0134nobodyさん
2014/07/07(月) 20:56:00.19ID:???013696
2014/07/07(月) 20:56:46.88ID:56LgSEO/スレが荒れ気味になってしまっているところ、
アドバイスくださり有難うございます。
Cookieやsessionの仕組みは概ね理解しています。
>>ある人物が、同一PCの中でブラウザを開きまくってログイン後に別窓でログインを試みたらどうなる?
>>それがサーバからみて同一IPかつ別PCだったら?別IPだったらどうなる?ってのを把握できてんのか?
この2点のリスクについては理解できてないです。
同一のユーザーアカウントによる重複ログインが、
望ましくないことまではわかるのですが。
実際、どのようなリスクがあるのでしょう?
なお、ログイン画面を除いて、CSRF対策としてはワンタイムトークンで対処済みです。
0137nobodyさん
2014/07/07(月) 21:03:19.67ID:???リスクが理解できてないなら対策の立てようはないはずなんだが
そういうなんとなく怖いからというのは一番やってはいけない方法なので
理解できてから書き込むべき
0139nobodyさん
2014/07/07(月) 21:15:06.95ID:???重複ログインを許すのか許さないのかはサイトの仕様だと思うんだけど
サイト側の処理上都合が悪いことが起こるなら、重複は許すべきではないし
リスクがあるかないかは、サイト側ならわかるんじゃない?
014096
2014/07/07(月) 21:26:47.90ID:56LgSEO/サイトの仕様次第ということなので他サイトを見てみました。
今まで自分のサイトのことばかり考えていたのですが、
他サイトであるGmailに重複ログイン(ieとfirefox)してみたら普通にできました。
これを見ると、セキュリティーリスクは無いような気もするのですが。。
もちろん、セッションデータ等の整合性が取れないとかの不具合はありそうですが、
それは自己責任ともいえますし。
0141nobodyさん
2014/07/07(月) 21:27:01.15ID:???その2点(3点?)については、リスクがあると言ってるわけじゃない
そもそもどういう結果になるのか自分の頭の中で描けるのか、と聞いてるだけ
Cookieやsessionを理解できてて、CSRF対策もやってる程度なら話は別(おかげで今書いてた文章無駄になったわ)
だが>>96が扱ってるサイトがどんなものかモヤモヤしたままなのは変わらん
しかし・・・多重ログインが望ましくないのはわかってるのに、それがどんなリスクに繋がるかわからない、ってのはどうなん?
普通は逆だろ、リスクがあるとわかってて、それが望ましくないから対策するわけで
重複ログインそのものに、端的に、どんなリスクが考えられるかっちゅーと、>>139が言ってる通りサイトによる。真の同一人物か、会社内でのID使い回し等か、成り済ましかで切り分けると楽
ゲームのサイトだったら、重複ログイン自体が面倒な結果を起こすこともあるだろう
でかい額の金銭が絡むサイトだったら、重複ログインそれ自体は問題じゃなくても問題の端緒であることが多いだろう(運営者の責を問われかねない)
カートや決済に使う情報の引き回し方によっては、重複ログインしてる各々のユーザが意図しない結果が出て、問題となるケースもあるだろう
どんなサイトでどんな作り方されてるのか、わかってればこうやって考えられるし、わかってなきゃ無理よ
0142nobodyさん
2014/07/07(月) 21:33:23.39ID:???なるとしてもPHP関係ない言語仕様と無縁のところの問題、それはわかってるんだよな・・・?
0143nobodyさん
2014/07/07(月) 21:37:57.22ID:???社用の共有アカウントで運用する場面もあるな
誰かが不正ログインしてると自分が入れないとか本末転倒だし
状況にもよるが、通常は運用面でカバーすべき問題だな
ログインされたら通知するとか、未登録のIPからログインされたらIP登録をさせるとか
0144nobodyさん
2014/07/07(月) 21:42:56.40ID:???そんなところがどういう仕組み採用してようが知ったこっちゃない
0145nobodyさん
2014/07/07(月) 21:47:54.08ID:???ログイン/ログアウトを実現ってどんな手があるんだ?
鯖側でIPとIDを記録してUA辺りをチェックに使って状態保持するくらい?
0146nobodyさん
2014/07/07(月) 21:54:57.24ID:???> ログイン中に再度ログインページを開いたら、ログアウトページに一度、
> リダイレクトさせるよう変更します。
これで重複ログインに対応と言ってる時点で
Cookieやsessionを理解できてないだろ
014796
2014/07/07(月) 22:06:43.49ID:56LgSEO/おっしゃる通りです。お恥ずかしい。
確かに別ブラウザで開けば何の対応にもなっていませんね。
>>141 さんをはじめ、貴重なお時間を割いてアドバイスくださり
本当に有難うございます。
もう一度、自分の疑問と賜ったアドバイスをよく咀嚼して
サイトの修正にとりかかりたいと思います。
また、スレが荒れ気味になったことお詫びします。
有難うございました。
0148nobodyさん
2014/07/07(月) 22:15:20.10ID:???0150nobodyさん
2014/07/07(月) 22:23:35.91ID:???実に面白い
0151nobodyさん
2014/07/07(月) 22:25:11.07ID:???145:nobodyさん :2014/07/07(月) 21:47:54.08 ID:??? [sage]
PHP使ってて、Cookieもsessionも使わずに
ログイン/ログアウトを実現ってどんな手があるんだ?
鯖側でIPとIDを記録してUA辺りをチェックに使って状態保持するくらい?
0152nobodyさん
2014/07/07(月) 22:33:53.31ID:???いい加減消えてくれない?
レスしてやれば消えるかと思ってレスしてやってるのに何度も何度も糞みたいな書き込みするなら
今後一切レスしないほうがいいかね?
0153nobodyさん
2014/07/07(月) 22:50:17.75ID:???0155マッチ棒
2014/07/08(火) 00:13:51.43ID:???0156nobodyさん
2014/07/08(火) 00:30:12.36ID:???と思って面接時に実技の軽いテストさせたらことごとく散々な結果だった経験が
0157nobodyさん
2014/07/08(火) 00:50:19.58ID:???0160nobodyさん
2014/07/08(火) 04:27:22.14ID:r4pi9+cf> もちろん、セッションデータ等の整合性が取れないとかの不具合はありそうですが、
> それは自己責任ともいえますし。
多重ログインしたユーザの責任だと言ってるんだよね。
ということは、セッションデータが不整合を起こしたまま操作を行わせることを許すってことなんだよね。
たぶん混乱してるんだろうけど、それが一番のリスクになるよ。
0161nobodyさん
2014/07/08(火) 04:56:32.14ID:???金からんでるならこんなとこで聞かない
0162nobodyさん
2014/07/08(火) 05:48:04.09ID:???設計しちゃいけない程度のスキルの持ち主
そんな印象がある
0163マッチ棒
2014/07/08(火) 08:11:33.30ID:HCgrRx7b何も産まないやつよかあがいてる奴のがマシやろ
0164nobodyさん
2014/07/08(火) 08:49:18.32ID:???0165nobodyさん
2014/07/08(火) 09:10:32.90ID:???0166nobodyさん
2014/07/08(火) 09:13:22.91ID:???0167マッチ棒
2014/07/08(火) 11:18:22.02ID:BGOtup1J画像をみていただき、要は表の見出しをどうするかと思ってください
projAとかprojBとかいうのは実際は顧客名が入るのである
その案件の売上から支払う経費ですよというのがしっくりくる用語はありませんけ
http://i.imgur.com/7e49J6v.jpg
0168nobodyさん
2014/07/08(火) 11:58:35.41ID:???0169nobodyさん
2014/07/08(火) 12:06:15.84ID:???受注元
0170nobodyさん
2014/07/08(火) 12:07:29.04ID:???0171マッチ棒
2014/07/08(火) 12:13:23.78ID:BGOtup1Jさあ、もっといい案はないのけ
0172nobodyさん
2014/07/08(火) 12:23:49.43ID:???0173nobodyさん
2014/07/08(火) 12:32:36.38ID:???むしろNGしてるのに言及するほうがアホ
0174nobodyさん
2014/07/08(火) 12:34:35.69ID:???お前にできることは興味があるならさっさと転職しろ
■ このスレッドは過去ログ倉庫に格納されています