セキュリティースレッド
■ このスレッドは過去ログ倉庫に格納されています
0001名無しさん＠お腹いっぱい。
2001/07/13(金) 22:56ID:E2ZAzpeMhttp://www.japu.org/sa/
http://www.lac.co.jp/security/information/Cgisecurity/
http://www.w3.org/Security/faq/001031wwwsfj.ja.sjis.html
http://www.cert.org/tech_tips/cgi_metacharacters.html
http://www.w3.org/Security/
0002ひろゆき
2001/07/13(金) 23:06ID:???0003age
2001/07/18(水) 20:49ID:???http://www.japu.org/cgi/security/session_vulnerability.html
刑事告発 or 民事訴訟?
http://www.japu.org/sa/
0004名無しさん＠お腹いっぱい。
2001/07/19(木) 09:03ID:CQZNnuRk｜また、某ホームページで記載されている件ですが
｜「不正アクセス行為の禁止等に関する法律」
｜(2000/02/13施行)
｜の一部に該当するおそれがあると思われます。（不正アクセスを助長する行為）
わざわざ自分の馬鹿さ加減を世界に公開しなくてもいいのに。
0005ななし
2001/07/19(木) 20:31ID:0JFzIhxU0006名無しさん＠お腹いっぱい。
2001/07/19(木) 21:04ID:???↓
ｾｷｭﾘﾃｨﾎｰﾙ満載
↓
指摘
↓
逆ギレ
↓
ﾈﾀ(ﾟдﾟ)ｳﾏｰ
0007名無しさん＠お腹いっぱい。
2001/07/25(水) 10:48ID:???0008名無しさん＠お腹いっぱい。
2001/07/25(水) 11:15ID:???素直に受け入れていれば良いものを、
0009名無しさん＠お腹いっぱい。
2001/07/25(水) 11:40ID:smbEF.cM最高に・・・（・∀・）ｲｲ!!
http://kame.tadaima.com/2ch/
0010加奈子
2001/07/25(水) 13:15ID:???0011名無しさん＠お腹いっぱい。
2001/07/26(木) 23:39ID:???http://skully.lib.net/c-board.shtml
http://www.nk.rim.or.jp/~t_kimata/cgi/
0012名無しさん＠お腹いっぱい。
2001/08/23(木) 02:41ID:FYJUZ71gWhat's NewでTHIS WEB SITE IS HACKED BY CHINESEと
出ているけど、マジかなぁ？
0013名無しさん＠お腹いっぱい。
2001/08/23(木) 02:44ID:???本当だとしても span が閉じてないのがへぼいな。
0014名無しさん＠お腹いっぱい。
2001/08/23(木) 02:52ID:???重要度が低い物ばっかだからかな？
0015名無しさん＠お腹いっぱい。
2001/08/23(木) 03:26ID:???001615
2001/08/23(木) 03:27ID:???0017JAPU@このご時世、あゆ萌えとか言ってたらヤバイ?
2001/08/23(木) 05:26ID:???他と比べてセキュリティに関して書かれていることが少ないし、そもそもCGIプログラマの平均レベルが低いからでは。(もちろん、すごい人も多いんだけど。) やっぱ地道に啓蒙していくしかないのかな。
----
WebProgとはちょっと外れるけど、こういうペーパー出てるので、読んでおくと良いかも。
Paper: HTML Form Protocol Attack
http://www.remote.org/jochen/sec/hfpa/
0018名無しさん＠お腹いっぱい。
2001/08/23(木) 09:53ID:???あんがと＞JAPUたん あゆ萌えはダメ！ :-）
0019JAPU@じゃ、スクルド萌えってことで。B-)
2001/08/23(木) 20:36ID:???気をつけなくちゃいけないのは、サーバ・ブラウザの作者とユーザなんで、ちょっとWebProgとは外れちゃいますけどね。
0020名無しさん＠お腹いっぱい。
2001/08/24(金) 02:10ID:???BBSに管理人のコメントがあったけど、レベルの低さに閉口だな。
いくつかスクリプト配布してるみたいだけど、あれも全部ダメなんだろうな。
0021名無しさん＠お腹いっぱい。
2001/08/24(金) 04:45ID:???それ自体セキュリティーホールには成り得ないけれども、CGI等で認証後IDをクッキーで引き回してるだけのところとかあるんで大丈夫か？と思いまして。
0022JAPU@でも、最近は千影たんが気になるんです
2001/08/24(金) 05:23ID:???その考えて正しいです。
QUERY_STRING とか、クッキーの値はまず疑うことから始めなくちゃダメよん。いくらでも自由に設定出来ちゃうから。
002321
2001/08/24(金) 06:05ID:???ですよね。
ありがとうございます。うやむやが解消されました。
でも、やっぱ巷にあふれるCGIってセキュリティー甘いですね。
どもです。
0024名無しさん＠お腹いっぱい。
2001/08/24(金) 06:25ID:ULL5uXLk俺も掲示板の管理人コメント見て藁った。
面倒くさかったら、GETメソッドはダメ、
POSTメソッドでもリンク元が自分のとこじゃ
ないとダメとか自分のIP以外はダメとか
何らかの手段があると思うんだけどね。
0025名無しさん＠お腹いっぱい。
2001/08/24(金) 07:21ID:???>>POSTメソッドでもリンク元が自分のとこじゃないとダメ
これについて解決法が無くて困っています。
一般的にはHTTP_REFERERを見て自サイトかどうか確認しますよね？
でもHTTP_REFERERはクライアント申告だから偽れますよね？
なので困ってます。
昔はCookieで何とかなると思ってたんですけどクッキーもクライアント申告なんですよね。
REFERERとCOOKIEの実装で大概大丈夫だとは思いますが、中途半端な実装であることは間違いないですよね。
今まで中途半端な実装できたんですけど、解決策お持ちの方がいらっしゃったら教えてください。
0026名無しさん＠お腹いっぱい。
2001/08/24(金) 17:56ID:cjfCNev.今のページ、派手に書き換わってるな・・
保存しとこ。
ttp://php.s3.to/
なぜかShift-JIS。
0027名無しさん＠お腹いっぱい。
2001/08/24(金) 18:02ID:cjfCNev.いたずら「しにくく」することは出来るけどね。。
完全な実装は無理だと思う
0028名無しさん＠お腹いっぱい。
2001/08/24(金) 18:41ID:ULL5uXLk俺も保存した。ここまで来ると完全な犯罪だね（ｗ
>>27
すっげー面倒くさいが、
ログイン→認証成功→認証成功したメールアドレス宛に
本ログイン用URLを送信→本ログイン→書き込み
最初のログイン時にIPとセッションIDを作成して保存して、
そのセッションIDを含めたURLで本ログイン。
もちろん、最初のログイン時と本ログイン時のIPが
同一であるかどうかをチェック。
これでどうだろ？ 俺はイヤだ・・・
0029名無しさん＠お腹いっぱい。
2001/08/24(金) 20:43ID:???ダサいなー。。 (-＿-
0030名無しさん＠お腹いっぱい。
2001/08/24(金) 21:00ID:???あのサイトの管理人のスクリプトは危険性大という
ことでよろしいのでしょうか？
0031名無しさん＠お腹いっぱい。
2001/08/24(金) 21:18ID:???適当にApache走らせてcgiに馬鹿みたいな権限与えてるサーバーが
何と多い事か、、、
しかも金取って運営してる有料サーバーだと言うから呆れてしまう
そんなサーバーでは全ユーザーのファイルunlinkする事も簡単に
出来てしまうだろう。
そんな所は絶対使う気になれないよ
0032名無しさん＠お腹いっぱい。
2001/08/24(金) 23:49ID:???もうちょっとスマートで現実的な方法ないですかね？
あきらめてbasic認証するか。
あんなページ書き換えて、なんか楽しいんですかね？
踏み台用にこっそりアカ持っとくってならわかるんだけど・・・。
あそこを書き換えるのが最終目標ってのがなんか気まぐれ犯行ですね。
練習ってのが妥当な解釈でしょうか？
0033名無しさん＠お腹いっぱい。
2001/08/25(土) 01:49ID:???激同
あったかい管理人になると「ユーザー同士は信頼関係で成り立ってますから」
とか、ほんとポカポカしたメッセージをくれたりするんだが(俺が実際喰らった)
こう言う鯖にはこれまたほんわかしたユーザーがevalてんこ盛りの
ファイラー置いてたりして、後者の存在する確立は限りなく100%に近いんだよね
こうなるとベーシック認証も糞もあったもんじゃ無くてテスト以外には
とてもじゃないけど使う気にならない。
むしろCGI止めて欲しいよね。借りるの止めるけど ｗ
0034名無しさん＠お腹いっぱい。
2001/08/25(土) 01:57ID:???自分のサイトに興味がないんだか・・・
003533
2001/08/25(土) 02:03ID:???***非常に***そう言う所が多いです。
なま温かい目で見守ってやりましょう
0036名無しさん＠お腹いっぱい。
2001/08/25(土) 02:38ID:???お前が気にする程管理人は馬鹿じゃ無いから言ってみな
それとも薄っぺらい能書きがばれるのが嫌かい pupu
003733
2001/08/25(土) 02:57ID:???残念ながら、ケビンニトミックに憧れている若き戦士に捧げる
戦術は僕にはにゃぃ ヽ(´ー｀)ノ
cgiのセキュリティーに付いて知りたいならJAPUさんのサイト(一番上を良く見てね :−D )
や他のコマンドや汚染チェックの方法なんかを調べてみれば良い
中華鯖と言ったのが解りにくなったなら、服務器、免費、空間、UNIX、(木富)案、上載
なんかのKEYで探してみるといい、彼等が色んなスクリプトを動かしてるのが解るだろう
実は俺も知ったかぶりしてるだけなんで、これ以上聞かないでくれ （わ
003833
2001/08/25(土) 03:01ID:???0039名無しさん＠お腹いっぱい。
2001/08/25(土) 07:08ID:???> なんっつたりして。ﾈﾀです
そして苦しいｲｲﾜｹ
0040名無しさん＠お腹いっぱい。
2001/08/25(土) 08:55ID:???まだセミが鳴いてるわ (ﾜﾗ
後1週間 か･･･
0041名無しさん＠お腹いっぱい。
2001/08/25(土) 09:17ID:???あーなむなむ
0042名無しさん＠お腹いっぱい。
01/08/29 05:27ID:1UTTw6kkCookieを使ってるのは分かるのですが、自分のクッキーを発行されるたびに見ててもいまいち理解できないです。
知ってる人がいたら教えてください。
0043名無しさん＠お腹いっぱい。
01/08/29 05:37ID:1UTTw6kkPHP4やASPは言語レベルでセッション管理の機能が提供されているのですね・・・。
Cookieとの関連が分からないのはあたりまえで、そもそも関連が無いんですね。
セッション管理のような概念の物をCで実装するにはどのような仕組みを実装すればいいのでしょうか？
ある程度セッションが正しく張れている保証が欲しいので単純なクッキーでは不安です。
良い方法は無いものでしょうか？
0044名無しさん＠お腹いっぱい。
01/08/29 06:17ID:1UTTw6kkがあるけど解決して無いですね。
0045名無しさん＠お腹いっぱい。
01/08/30 23:22ID:Nfn/L6PE書き換えられている模様
ムーノーっぽくなっちゃってます
■ このスレッドは過去ログ倉庫に格納されています