セキュリティースレッド
■ このスレッドは過去ログ倉庫に格納されています
0001名無しさん＠お腹いっぱい。
2001/07/13(金) 22:56ID:E2ZAzpeMhttp://www.japu.org/sa/
http://www.lac.co.jp/security/information/Cgisecurity/
http://www.w3.org/Security/faq/001031wwwsfj.ja.sjis.html
http://www.cert.org/tech_tips/cgi_metacharacters.html
http://www.w3.org/Security/
0101nobodyさん
02/07/23 03:02ID:???ｼｮﾋﾟﾝｸﾞｶｰﾄのもろよわ性ｷﾀ━━━━━━━(゜∀゜)━━━━━━━!!
実はコマンドも飛ばせる様で大変な事になってまつ
0102nobodyさん
02/07/23 03:38ID:n0NOCmVf半分以上化け化けで読めないのでなんとかしていただけませんか？
0104nobodyさん
02/07/23 10:12ID:???0105nobodyさん
02/07/23 10:45ID:???ｵﾏｴﾗとっとと4.2.2にあげませう.
0107nobodyさん
02/08/07 16:19ID:npc3aggE0108nobodyさん
02/08/07 16:32ID:j7/wvgk/0109名無しさん＠Ｍｅａｄｏｗ
02/08/07 22:52ID:???0110nobodyさん
02/08/07 23:09ID:???http://ch2.s2.xrea.com/source/035.txt
0111nobodyさん
02/08/20 14:44ID:???0112山崎渉
03/01/15 13:51ID:???0113nobodyさん
03/01/29 18:20ID:???なんでやねん？
別におかしくないと思うが？
半角カタカナコードをちゃんと持っているキャラクタエンコードで
ドキュメント書いてあるじゃん。
今時Shift_jisに対応できないブラウザも皆無だしね。
だから>>108はもちっと勉強してきなさい。
0114nobodyさん
03/01/29 18:23ID:???してあるのだが、まずいか？
0115nobodyさん
03/01/29 21:37ID:???してあるのだが、まずいか？
0116nobodyさん
03/01/29 22:58ID:???してあるのだが、まずいか？
0117nobodyさん
03/02/25 20:10ID:???0118山崎渉
03/03/13 17:23ID:???0119山崎渉
03/04/17 12:22ID:???0120山崎渉
03/04/20 06:12ID:???（ ＾＾ ）＜ ぬるぽ（＾＾）
0121山崎渉
03/05/22 02:14ID:???0122山崎渉
03/05/28 17:14ID:???ﾋﾟｭ.ｰ ( ＾＾ ） ＜これからも僕を応援して下さいね（＾＾）。
＝〔~∪￣￣〕
＝ ◎――◎ 山崎渉
0123100 ◆at3WtOaT8I
03/06/25 18:32ID:???禿同
話変わるけど、携帯ゲーム機"プレイステーションポータブル(PSP)
このPSPは、新規格UMD(ユニバーサルメディアディスク)というディスクを利用しており、そのサイズは直径6cmととても小さい(CDの半分程度)。 容量は1.8GBとなっている。
画面は4.5インチのTFT液晶で、480px x 272px(16:9)。MPEG4の再生やポリゴンも表示可能。外部端子として、USB2.0とメモリースティックコネクタが用意されているという。
この際、スク・エニもGBAからPSPに乗り換えたらどうでしょう。スク・エニの場合、PSPの方が実力を出しやすいような気がするんですが。
任天堂が携帯ゲーム機で圧倒的なシェアをもってるなら、スク・エニがそれを崩してみるのもおもしろいですし。かつて、PS人気の引き金となったFF７のように。
突然こんな事言い出してごめんなさい・・・
0124山崎 渉
03/07/15 11:20ID:???__∧＿∧_
|（ ＾＾ ）| ＜寝るぽ（＾＾）
|＼⌒⌒⌒＼
＼ |⌒⌒⌒~| 山崎渉
~￣￣￣￣
0125山崎 渉
03/08/02 02:32ID:???（ ＾＾ ）＜ ぬるぽ（＾＾）
0126ぼるじょあ ◆ySd1dMH5Gk
03/08/02 05:09ID:???ﾋﾟｭ.ｰ （ ・３・） ( ＾＾ ） ＜これからも僕たちを応援して下さいね（＾＾）。
＝〔~∪￣￣￣∪￣￣〕
＝ ◎――――――◎ 山崎渉&ぼるじょあ
0127nobodyさん
03/08/12 13:00ID:qodMea/v0128nobodyさん
03/08/12 13:13ID:4SueGnu3★☆ 夏休みは ＧＥＴＤＶＤで 満喫・満喫！
☆★☆★☆★☆★☆★☆★☆★☆★☆★☆★☆★☆★☆
☆★ 送料激安！！ 送料激安！！ 送料激安！！
★☆ http://www.get-dvd.com
☆★ 激安アダルトＤＶＤショップ
★☆ お買い得！！ 1枚500円〜 急げ！
☆★ インターネット初！「きたぐに割引」
★☆ 北海道・東北の皆様は送料も激安！
☆★ http://www.get-dvd.com
★☆ スピード発送！
☆★ http://www.get-dvd.com
★☆ 商品が豊富！
☆★ http://www.get-dvd.com
★☆
☆★☆★☆★☆★☆★☆★☆★☆★☆★☆★☆★☆★☆
0129nobodyさん
03/08/12 13:28ID:???0130nobodyさん
03/08/14 21:46ID:1oiwHjhP0131nobodyさん
03/08/14 21:46ID:1oiwHjhP0132nobodyさん
03/08/14 21:46ID:1oiwHjhP0133nobodyさん
03/08/14 21:46ID:1oiwHjhP0134nobodyさん
03/08/14 21:46ID:1oiwHjhP0135nobodyさん
03/08/14 21:47ID:1oiwHjhP0136山崎 渉
03/08/15 22:31ID:???│ ＾ ＾ │＜これからも僕を応援して下さいね（＾＾）。
⊂| |つ
（＿）（＿） 山崎パン
0137nobodyさん
04/03/23 22:44ID:QuSZZVdw<img src="http://www.hoge.com/fuga.php">
しかし、ブラウザのステータスバーの地球マークの左横に
赤い「セキュリティレポート」のマークが出てしまいます。
外部スクリプトの何が原因でこれが出るのでしょうか？
出さない方法を知りたいです。
外部スクリプトで行っているのは、閲覧者のIPアドレス、ユーザーエージェントを取得して、
DBに保存しているだけです。Cookieの取得はやっていません。
0138nobodyさん
2005/08/09(火) 19:39:08ID:7ru0P+Yn今なら、はてなダイアリーにて、ウザいキーワードをこっそり削除できますよ？
----
naoya 『キーワード登録の際のPOSTの中身に、cnameとoldcnameというのがあって、
これらが異なっていればカテゴリ移動と判断されて「change category to」扱いになります。
つまり、もともと削除予定キーワードであっても、oldcmaneをウェブとかにして、
cnameを削除予定にすれば、 change category to 削除予定キーワードが連続で
記録されることになります。』 (2005-08-08 13:15:43)
naoya 『ということは逆に、削除予定にしたいけど編集者に通知メールを送りたくない、
という場合には、oldcname，cnameをともに削除予定にしてしまえば
（change category扱いにならないので）よいわけです。』 (2005-08-08 13:17:36)
----
0139nobodyさん
2005/08/10(水) 03:44:35ID:???http://i.hatena.ne.jp/idea/4775
0140nobodyさん
2005/10/29(土) 01:57:47ID:???isapiフィルタを使って、もしくは何かしらのフィルタをかけて
querystringの特定文字列をreplaceする方法ってどうやりますか？
サニタイジングを一括で出来ればいいなと思ってまして。
またpostの場合も同様の処理は出来ますか？
0141nobodyさん
2005/11/03(木) 00:32:17ID:TOE31wc50142nobodyさん
2005/11/04(金) 13:35:35ID:Q76NS+42http://itpro.nikkeibp.co.jp/article/NEWS/20051102/223939/
Fedora core3の場合はどうすればいいんだろう。
RPMがどこかで公開されているのだろうか、それとも自分でmakeとやらを
しなければいけないのだろうか。
自鯖ってこういう時に困る。
0143nobodyさん
2005/11/04(金) 13:39:36ID:8vYWqcZu0144nobodyさん
2005/11/04(金) 19:48:30ID:???0145nobodyさん
2005/11/05(土) 08:44:47ID:???$_SERVER = array_map('htmlspecialchars', $_SERVER);
これでおｋ？
0146nobodyさん
2005/11/05(土) 08:52:14ID:???User-Agentだけでも大丈夫かなあ。
0149nobodyさん
2005/11/05(土) 11:46:22ID:???0150nobodyさん
2005/11/05(土) 17:49:34ID:???改行、ヌル、タブが送られてきてもそのスクリプトは大丈夫かい？
HTTPヘッダが丸見えになったり、ブラウザが真っ白になったり、データファイルが破壊されたりしないかい？
0151nobodyさん
2005/11/07(月) 12:46:07ID:X4GSH3T+ttp://itpro.nikkeibp.co.jp/article/NEWS/20051102/223939/
上のソース付きで
PHPのセキュリティホールが見つかったのでバージョンを上げてくれって
メールを４日ほど前に送ったんだが、未だに返事が無い・・・
うかつにバージョン上げたら、既に動いているスクリプトに影響があるので
対応が難しいのは判るんだが、セキュリティホールに対して対応するのは鯖屋の
義務じゃないのだろうか？
サーバがダウンするようなスクリプト組めば、鯖屋も対応してくれるかな？
0152nobodyさん
2005/11/07(月) 13:38:08ID:???ＥＣとかで不具合起こした会社とかってあるのかな。
こういうことがあると商用の共有サーバはリスキーだね。
0153nobodyさん
2005/11/07(月) 15:18:16ID:ST4RY6Aohttp://members.jcom.home.ne.jp/j-bridge/
http://j-bridge.da.tvdo.net/cam.htm
0154151
2005/11/09(水) 13:23:07ID:???ついてのまとめが投稿されたようです。
ttp://ns1.php.gr.jp/pipermail/php-users/2005-November/027936.html
思ったよりたいした事無いのかな？
register_globals = offなら、問題ないということで。
0155nobodyさん
2006/01/04(水) 23:40:24ID:???ＰＨＰがいかにセキュリティ的にダメダメかを物語っているな。'
0156nobodyさん
2006/01/05(木) 16:37:59ID:pttN5xUJ漏れが発行したcookieが結構な確率でdeletedってなってるみたいなんだけど・・・
0157nobodyさん
2006/01/09(月) 02:15:18ID:???0158nobodyさん
2006/01/22(日) 15:58:21ID:WlGV7h6d1 PHP
2 Perl
3 C
0159nobodyさん
2006/02/14(火) 03:26:25ID:???イマイチ自信が持てないセキュリティー
これを押さえとけってのがあるといいんだがなぁ
0160nobodyさん
2006/03/03(金) 23:25:40ID:R8+Du6gihttp://takagi-hiromitsu.jp/diary/20060129.html#p01
0161nobodyさん
2006/03/28(火) 20:10:52ID:fZ61wIgX認証時に送るデータのひとつに、PasswordDigest というものがあって、
「Nonce, Created, パスワード(はてなアカウントのパスワード)を文字列連結し
SHA1アルゴリズムでダイジェスト化して生成された文字列を、
Base64エンコードした文字列」という説明があります。
自分のパスワードに色々文字列をくっつけた、ハッシュ (ダイジェスト) 値って事ですよね。
という事は、正しいかチェックするには生パスワードが必要になるわけですよね。
つまり、はてなのサーバ側ではパスワードの管理を、ハッシュ値ではなくて、
元の文字列そのままデータベースに保存している、と。
話にならないセキュリティですね。
WEB2.0だアジャイルだと寝言ポエム唱える前に、基礎的な技術を習得すべきですよ。
0162nobodyさん
2006/03/28(火) 23:09:15ID:???0163nobodyさん
2006/04/09(日) 04:27:52ID:???0164nobodyさん
2006/05/05(金) 04:48:24ID:0pIEn1FP0165nobodyさん
2006/05/05(金) 21:35:35ID:DVXSQw0sお前なんでこんな面白スレ、今まで隠してたんだよ。
>>161には大笑いさせてもらった。さすがwebprog板、香ばしさが一味違う。
0166nobodyさん
2006/05/21(日) 06:36:50ID:???費用対策効果を考えると順当だとか、問題視することかなぁ、とか書いてあるが、
問題なく出来ることをしないのは訳が分からない。
アホか？とか思うんだけど、俺がアホなんでしょうか。
0168nobodyさん
2006/05/23(火) 22:37:52ID:???ttp://secunia.com/advisories/20178/
CRITICAL: Moderately critical
SOLUTION: Contact the vendor for updated versions. ttp://www.myweb-jp.com/resq/
0169nobodyさん
2006/05/30(火) 08:23:54ID:???0170nobodyさん
2006/08/03(木) 06:41:53ID:HjJyuduF昨夜、うちのメールフォームから10通連続で変な送信がありました。
遅れないはずの BCC やら CC に宛先を加えているのです。
ヤフってみたら同じようなのが数件出てきました。
CC:[email protected]
BCC:[email protected]
ttp://search.yahoo.co.jp/[email protected]
これは、スパムの中継にしようとしてるのでしょうか？
0171170
2006/08/03(木) 16:16:35ID:R1Mf9tarCGIのセキュリティホールを突かれてる？
0172nobodyさん
2006/08/03(木) 22:31:38ID:???まずメールフォームに使ってるCGIとそのバージョンを書け。
世の中にメールフォームがどれだけあると思ってるんだ。
0173nobodyさん
2006/08/04(金) 15:33:16ID:???0174nobodyさん
2006/08/07(月) 16:33:42ID:yYQHYFxU閲覧されないようにするためにすべき常套手段ってどんなの？
「オレはこうやってる」というのでも良いので披露して下さい。
1.htaccessでCGI等からしかアクセスできないよう制限をかける。
2.拡張子をcgiにする（必要に応じてパーミッション変更）。
3.上記併用。
4.その他。
ちなみに、1と2だとどっちの方が強固？
0175nobodyさん
2006/08/07(月) 18:19:46ID:???0176nobodyさん
2006/08/07(月) 19:31:48ID:???拡張子をcgiにするのは格好悪いからやめたほうがいいんじゃないかな。
多くのHTTPDでは.で始まるファイルはインデックスに表示されないし
標準的なApacheなら.htで始まるファイルは Deny from all なので
.htmydataみたいなファイル名にするのが俺的おすすめ。
でも他人の管理が前提なら必ず.で始まるファイルが作れないと言ってくるので
やめたほうがいいと思うけど。
0178174
2006/08/08(火) 15:52:09ID:x4/Y+pQ1自分の知識の低さを露呈してしまって恥ずかしい限りです。
>>175
うぅむ、確かにそれが一番手っ取り早くて安全かも。
>>176
詳しいアドバイスどうもです！
レン鯖なんかだと無作法な覗き屋さんが居たりすることもあるっぽいので
拡張子をcgiにしとけばcsvやdatなんかよりは多少なりともカモフラージュになるかな、
という理由もあって、おまじないのような感じでcgiにしてる。
でも、やっぱカコ悪いよね・・・。
>.htmydataみたいなファイル名にするのが俺的おすすめ。
こんな発想微塵もなかった！すごい！
Windows環境で直接データファイルを扱うときのことや
レン鯖のことを考えると汎用性は若干落ちるけど、
現状では問題ないので、さっそくマネさせてもらいます。
でも、
>ディレクトリのパーミッションを700にするのもあり。
これが一番簡単な気がする・・・。けど磐石ではない？
>>177
>別サーバのDBMSに突っ込む
これだと、第三者はパスもほぼ推測不能だし最強だなぁ。
でも、セキュリティと手間とを天秤に掛けると個人的には気後れしちまう。
いわゆる一流企業の個人情報管理とかだとこんなの当たり前だったり？
0179nobodyさん
2006/08/08(火) 23:18:27ID:???＞いわゆる一流企業の個人情報管理とかだとこんなの当たり前だったり？
それ以上。暗号化して格納してたりする。鯖ごと持ってかれても解読不能。
0180nobodyさん
2006/08/09(水) 00:11:30ID:???保険という意味でも悪くないと思うがな。
phpだと大規模なフレームワークやオープンソースプロジェクトも同じ対策取ってるし。
0181nobodyさん
2006/08/09(水) 17:12:26ID:???既存のシステムだけでこと足りて、その利点をうまく流用した評価すべき例だと思うんだが。
無知なクライアントに対してはとりあえず使っとけ、みたいな感じはするけど、
そんなとこから「格好悪い」というイメージが出たのかな。
0182nobodyさん
2006/08/09(水) 22:11:43ID:???サーバのドキュメントルートの配下に、
不特定の第三者に、見られて困るような情報を、置くべきではないです。
0183nobodyさん
2006/08/09(水) 22:20:21ID:???上の例は極端ですが、前提条件を明確にせずに言い合いしても
意味ないですよ。セキュリティーは青天井ですから。
0184nobodyさん
2006/08/09(水) 22:46:28ID:???cgiという拡張子で実行ビットが立っていないものは、そのまま
送信するという動作に、突然変えられたらどうする気だ?
0185nobodyさん
2006/08/11(金) 22:16:49ID:???実際のところドキュメントルート下に置いてある拡張子cgiのファイルを
悪意の第三者が見ることは可能なの？
0186nobodyさん
2006/08/11(金) 23:10:30ID:???＞正攻法とか裏技とか原則とかそういう観念的なことは別にして
そこを別にされるとなんとも答えようが無いが、何も対策してなければ
覗き見自体はいくらでも可能。
0187nobodyさん
2006/08/12(土) 00:37:16ID:???0188nobodyさん
2006/08/12(土) 01:30:13ID:???0189nobodyさん
2006/08/13(日) 01:45:24ID:???0190nobodyさん
2006/08/13(日) 16:33:52ID:???間違いがあれば容赦なく訂正してください。
>>185
187の言う通り条件による。拡張子をcgiにする方法は、httpdが
1. cgiの拡張子がついたファイルを常にcgiとして実行しようとすること
2. 1で実行属性のない場合や実行するファイルとして不正な内容だった場合にエラーを返すこと
3. 2のエラー表示にファイルの内容が含まれないこと
という動作をする場合に限り有効。ファイルの存在そのものを隠すためには
4. 2のエラーは404を返す
こと。
0191nobodyさん
2006/08/13(日) 16:42:20ID:???0193nobodyさん
2006/08/14(月) 09:07:30ID:???> 不正な内容だった場合にエラーを返すこと
不正な内容であることを確認するためには実行する必要があるが、
その結果エラーになることをhttpdは担保できない。
0194nobodyさん
2007/03/23(金) 17:16:32ID:???セキュリティは、どんなところに気をつければいいでしょうか？
0195nobodyさん
2007/03/29(木) 19:31:14ID:???wiki風の言語を作る
0196nobodyさん
2007/04/25(水) 23:19:16ID:B1ZZgxV3IE6馬鹿ブラウザは、HTMLファイルとしてレンダリングしてしまうので、
XSSなどの脆弱性が生じる。
つまり、投稿フォームを閲覧しただけで、何らかのスクリプトが発動可能になる。
<img>タグは、許可しない方がいい。
ダブルクォートは、実体化した方がいい。
0197nobodyさん
2007/04/28(土) 01:19:52ID:2O4EKOL8WEB+DBプレスを見た。
はまちちゃんがデブサキモヲタでショック。
あのサスペンダーはありえないでしょう。
そりゃ「中学出たての未成年女子」だとは
思ってなかったけどさ。これはひどい。
いまどき吊りズボンかよっ。
0198nobodyさん
2007/05/18(金) 17:52:29ID:GL1hkE7jられるんですけど、これ何なのでしょう？ ページの最後に
見覚えのないJavaScriptのタグが埋め込まれています・・・。
<script language="JavaScript">e = '0x00' + '54';str1 = "%EF%B・・・
といった感じのやつです。
一つではなく、複数のサイトで被害にあっているんですが、これ
ってウイルス仕込まれているんでしょうか？
0199nobodyさん
2007/05/18(金) 18:24:00ID:???ttp://www.rockettheme.com/forum/index.php?topic=11361.msg56175
0200nobodyさん
2007/05/18(金) 18:33:03ID:GL1hkE7jttp://givecnt.info/ld/ment/
というurlを隠しフレームで表示するコードでした・・・。
0201nobodyさん
2007/07/09(月) 07:25:08ID:L9K9FUBd■ このスレッドは過去ログ倉庫に格納されています