セキュリティースレッド
■ このスレッドは過去ログ倉庫に格納されています
0001名無しさん＠お腹いっぱい。
2001/07/13(金) 22:56ID:E2ZAzpeMhttp://www.japu.org/sa/
http://www.lac.co.jp/security/information/Cgisecurity/
http://www.w3.org/Security/faq/001031wwwsfj.ja.sjis.html
http://www.cert.org/tech_tips/cgi_metacharacters.html
http://www.w3.org/Security/
0077名無しさん＠お腹いっぱい。
01/12/17 16:48ID:???0078名無しさん＠お腹いっぱい。
01/12/17 18:01ID:???裏2chの事？(笑
ちょっと見たけどスクリプト使ってるみたいだね。
取り合えずJavascript関連全てOFFを呼びかけるしか無いんじゃないかな
実際問題そろそろ2chにも認証コードが必要な段階だと思う。
IEにはもう一つこわ〜〜ぃ仕様が潜んでるからね(笑
こっちはセキュリティーレベル関係無いし・・・
0079名無し
01/12/18 04:45ID:???罠が起動するのはIEだけだよ。
NetscapeやOperaじゃJavaScriptのイベントが起動しないので
書き込まれない。ってこの部分はWeb制作板だーね。
0080仕様書無しさん
01/12/18 06:16ID:???78もその辺りを言ってるんだと思う。
何時か来るとは思ってたが、こう言う事する奴はそのうち気が付いて
しまうからね。
0081しぽなし〜
01/12/18 07:40ID:???でも一番使いやすいんだよなぁ。。。。
0082名無しさん＠お腹いっぱい。
02/01/30 16:57ID:???0083名無しさん＠お腹いっぱい。
02/02/10 09:52ID:???0084
02/02/17 15:24ID:4sbq6zfThttp://qb.2ch.net/test/read.cgi/accuse/1013447591/l50
＜アース神族軍メンバー一覧表＞
氏名 役職 種族 領地 神格 ＨＰ メール 現住所
Messiel リーダー アース神族 八畳程度 二 ○ ○ 東京都府中市
ネオ麦茶 エインフェリア 人間 実家に自室あり ／ ○ ／ 京都府医療少年院
むねお エインフェリア 人間 不明 ／ ○ ／ 不明
神風 エインフェリア 人間 不明 ／ ／ ○ 兵庫県神戸市
たかし エインフェリア 人間 不明 ／ ／ ／ 大阪狭山市
テキーラ エインフェリア 人間 不明 ／ ／ ／ 不明
佐々木 ヤクザ 人間 不明 ／ ／ ○ 北朝鮮
木村 ヤクザ 人間 不明 ／ ○ ／ 東京都荒川区東日暮里
(´ー｀)y−~~~トイレ掃除 人間 不明 ／ ／ ／ 不明
あひゃ 調理師 人間 不明 ／ ○ ○ 愛知県半田市
0085名無しさん＠お腹いっぱい。
02/02/19 17:09ID:???げ。
0086名無しさん＠お腹いっぱい。
02/02/19 19:22ID:KfIYHh+Mなんかの法に抵触する行為？
0087名無しさん＠お腹いっぱい。
02/02/19 19:27ID:???パスワードかかってたらね。
0088名無しさん＠お腹いっぱい。
02/02/19 19:34ID:KfIYHh+Mサンクス。つまりパス掛かってなければ合法と・・・φ(．．)ﾒﾓﾒﾓ
8080とか3128とかアリキターリなポート使ってるところは
バンバン使って良しですね！サンクス！
0089名無しさん＠お腹いっぱい。
02/02/21 01:37ID:Jl0qH0YLだれかが攻撃したのでしょうか？
0090名無しさん＠お腹いっぱい。
02/02/21 20:21ID:???http://pc.2ch.net/test/read.cgi/mobile/1012982631/n410-
かわいそうな山田くん…。
0091名無しさん＠お腹いっぱい。
02/02/21 21:48ID:???まあ、これは違法アクセスには該当しない好例だね。
ただのリンクだからな。
0092串厨逝ってよし ◆JAPUTeX.
02/02/27 23:55ID:???Multiple Remote Vulnerabilites within PHP's fileupload code
http://security.e-matters.de/advisories/012002.txt
ちょっと古いけど BUGTRAQ より:
mod_ssl Buffer Overflow Condition
http://marc.theaimsgroup.com/?l=bugtraq&m=101484301309557
0094ガイシュツかなぁ
02/03/03 20:41ID:???sendmailの標準入力に、(submitするデー
タに改行を入れて)外部から宛先を仕込
めるスクリプトが結構あるような気がす
るんだけど、あれってスパムの送信に使
われたりしないのか？
0097nobodyさん
02/03/04 11:06ID:???結構役に立つと思う。
0098nobodyさん
02/07/20 13:26ID:ttoiziGEhttp://www.office.ac/tearoom/noframe.cgi#No.962
0099nobodyさん
02/07/22 13:08ID:???什器ネットマンセー！
0100nobodyさん
02/07/22 13:38ID:anf0ZJkjレッツPHPが昔やったIP抜きには萎えた
0101nobodyさん
02/07/23 03:02ID:???ｼｮﾋﾟﾝｸﾞｶｰﾄのもろよわ性ｷﾀ━━━━━━━(゜∀゜)━━━━━━━!!
実はコマンドも飛ばせる様で大変な事になってまつ
0102nobodyさん
02/07/23 03:38ID:n0NOCmVf半分以上化け化けで読めないのでなんとかしていただけませんか？
0104nobodyさん
02/07/23 10:12ID:???0105nobodyさん
02/07/23 10:45ID:???ｵﾏｴﾗとっとと4.2.2にあげませう.
0107nobodyさん
02/08/07 16:19ID:npc3aggE0108nobodyさん
02/08/07 16:32ID:j7/wvgk/0109名無しさん＠Ｍｅａｄｏｗ
02/08/07 22:52ID:???0110nobodyさん
02/08/07 23:09ID:???http://ch2.s2.xrea.com/source/035.txt
0111nobodyさん
02/08/20 14:44ID:???0112山崎渉
03/01/15 13:51ID:???0113nobodyさん
03/01/29 18:20ID:???なんでやねん？
別におかしくないと思うが？
半角カタカナコードをちゃんと持っているキャラクタエンコードで
ドキュメント書いてあるじゃん。
今時Shift_jisに対応できないブラウザも皆無だしね。
だから>>108はもちっと勉強してきなさい。
0114nobodyさん
03/01/29 18:23ID:???してあるのだが、まずいか？
0115nobodyさん
03/01/29 21:37ID:???してあるのだが、まずいか？
0116nobodyさん
03/01/29 22:58ID:???してあるのだが、まずいか？
0117nobodyさん
03/02/25 20:10ID:???0118山崎渉
03/03/13 17:23ID:???0119山崎渉
03/04/17 12:22ID:???0120山崎渉
03/04/20 06:12ID:???（ ＾＾ ）＜ ぬるぽ（＾＾）
0121山崎渉
03/05/22 02:14ID:???0122山崎渉
03/05/28 17:14ID:???ﾋﾟｭ.ｰ ( ＾＾ ） ＜これからも僕を応援して下さいね（＾＾）。
＝〔~∪￣￣〕
＝ ◎――◎ 山崎渉
0123100 ◆at3WtOaT8I
03/06/25 18:32ID:???禿同
話変わるけど、携帯ゲーム機"プレイステーションポータブル(PSP)
このPSPは、新規格UMD(ユニバーサルメディアディスク)というディスクを利用しており、そのサイズは直径6cmととても小さい(CDの半分程度)。 容量は1.8GBとなっている。
画面は4.5インチのTFT液晶で、480px x 272px(16:9)。MPEG4の再生やポリゴンも表示可能。外部端子として、USB2.0とメモリースティックコネクタが用意されているという。
この際、スク・エニもGBAからPSPに乗り換えたらどうでしょう。スク・エニの場合、PSPの方が実力を出しやすいような気がするんですが。
任天堂が携帯ゲーム機で圧倒的なシェアをもってるなら、スク・エニがそれを崩してみるのもおもしろいですし。かつて、PS人気の引き金となったFF７のように。
突然こんな事言い出してごめんなさい・・・
0124山崎 渉
03/07/15 11:20ID:???__∧＿∧_
|（ ＾＾ ）| ＜寝るぽ（＾＾）
|＼⌒⌒⌒＼
＼ |⌒⌒⌒~| 山崎渉
~￣￣￣￣
0125山崎 渉
03/08/02 02:32ID:???（ ＾＾ ）＜ ぬるぽ（＾＾）
0126ぼるじょあ ◆ySd1dMH5Gk
03/08/02 05:09ID:???ﾋﾟｭ.ｰ （ ・３・） ( ＾＾ ） ＜これからも僕たちを応援して下さいね（＾＾）。
＝〔~∪￣￣￣∪￣￣〕
＝ ◎――――――◎ 山崎渉&ぼるじょあ
0127nobodyさん
03/08/12 13:00ID:qodMea/v0128nobodyさん
03/08/12 13:13ID:4SueGnu3★☆ 夏休みは ＧＥＴＤＶＤで 満喫・満喫！
☆★☆★☆★☆★☆★☆★☆★☆★☆★☆★☆★☆★☆
☆★ 送料激安！！ 送料激安！！ 送料激安！！
★☆ http://www.get-dvd.com
☆★ 激安アダルトＤＶＤショップ
★☆ お買い得！！ 1枚500円〜 急げ！
☆★ インターネット初！「きたぐに割引」
★☆ 北海道・東北の皆様は送料も激安！
☆★ http://www.get-dvd.com
★☆ スピード発送！
☆★ http://www.get-dvd.com
★☆ 商品が豊富！
☆★ http://www.get-dvd.com
★☆
☆★☆★☆★☆★☆★☆★☆★☆★☆★☆★☆★☆★☆
0129nobodyさん
03/08/12 13:28ID:???0130nobodyさん
03/08/14 21:46ID:1oiwHjhP0131nobodyさん
03/08/14 21:46ID:1oiwHjhP0132nobodyさん
03/08/14 21:46ID:1oiwHjhP0133nobodyさん
03/08/14 21:46ID:1oiwHjhP0134nobodyさん
03/08/14 21:46ID:1oiwHjhP0135nobodyさん
03/08/14 21:47ID:1oiwHjhP0136山崎 渉
03/08/15 22:31ID:???│ ＾ ＾ │＜これからも僕を応援して下さいね（＾＾）。
⊂| |つ
（＿）（＿） 山崎パン
0137nobodyさん
04/03/23 22:44ID:QuSZZVdw<img src="http://www.hoge.com/fuga.php">
しかし、ブラウザのステータスバーの地球マークの左横に
赤い「セキュリティレポート」のマークが出てしまいます。
外部スクリプトの何が原因でこれが出るのでしょうか？
出さない方法を知りたいです。
外部スクリプトで行っているのは、閲覧者のIPアドレス、ユーザーエージェントを取得して、
DBに保存しているだけです。Cookieの取得はやっていません。
0138nobodyさん
2005/08/09(火) 19:39:08ID:7ru0P+Yn今なら、はてなダイアリーにて、ウザいキーワードをこっそり削除できますよ？
----
naoya 『キーワード登録の際のPOSTの中身に、cnameとoldcnameというのがあって、
これらが異なっていればカテゴリ移動と判断されて「change category to」扱いになります。
つまり、もともと削除予定キーワードであっても、oldcmaneをウェブとかにして、
cnameを削除予定にすれば、 change category to 削除予定キーワードが連続で
記録されることになります。』 (2005-08-08 13:15:43)
naoya 『ということは逆に、削除予定にしたいけど編集者に通知メールを送りたくない、
という場合には、oldcname，cnameをともに削除予定にしてしまえば
（change category扱いにならないので）よいわけです。』 (2005-08-08 13:17:36)
----
0139nobodyさん
2005/08/10(水) 03:44:35ID:???http://i.hatena.ne.jp/idea/4775
0140nobodyさん
2005/10/29(土) 01:57:47ID:???isapiフィルタを使って、もしくは何かしらのフィルタをかけて
querystringの特定文字列をreplaceする方法ってどうやりますか？
サニタイジングを一括で出来ればいいなと思ってまして。
またpostの場合も同様の処理は出来ますか？
0141nobodyさん
2005/11/03(木) 00:32:17ID:TOE31wc50142nobodyさん
2005/11/04(金) 13:35:35ID:Q76NS+42http://itpro.nikkeibp.co.jp/article/NEWS/20051102/223939/
Fedora core3の場合はどうすればいいんだろう。
RPMがどこかで公開されているのだろうか、それとも自分でmakeとやらを
しなければいけないのだろうか。
自鯖ってこういう時に困る。
0143nobodyさん
2005/11/04(金) 13:39:36ID:8vYWqcZu0144nobodyさん
2005/11/04(金) 19:48:30ID:???0145nobodyさん
2005/11/05(土) 08:44:47ID:???$_SERVER = array_map('htmlspecialchars', $_SERVER);
これでおｋ？
0146nobodyさん
2005/11/05(土) 08:52:14ID:???User-Agentだけでも大丈夫かなあ。
0149nobodyさん
2005/11/05(土) 11:46:22ID:???0150nobodyさん
2005/11/05(土) 17:49:34ID:???改行、ヌル、タブが送られてきてもそのスクリプトは大丈夫かい？
HTTPヘッダが丸見えになったり、ブラウザが真っ白になったり、データファイルが破壊されたりしないかい？
0151nobodyさん
2005/11/07(月) 12:46:07ID:X4GSH3T+ttp://itpro.nikkeibp.co.jp/article/NEWS/20051102/223939/
上のソース付きで
PHPのセキュリティホールが見つかったのでバージョンを上げてくれって
メールを４日ほど前に送ったんだが、未だに返事が無い・・・
うかつにバージョン上げたら、既に動いているスクリプトに影響があるので
対応が難しいのは判るんだが、セキュリティホールに対して対応するのは鯖屋の
義務じゃないのだろうか？
サーバがダウンするようなスクリプト組めば、鯖屋も対応してくれるかな？
0152nobodyさん
2005/11/07(月) 13:38:08ID:???ＥＣとかで不具合起こした会社とかってあるのかな。
こういうことがあると商用の共有サーバはリスキーだね。
0153nobodyさん
2005/11/07(月) 15:18:16ID:ST4RY6Aohttp://members.jcom.home.ne.jp/j-bridge/
http://j-bridge.da.tvdo.net/cam.htm
0154151
2005/11/09(水) 13:23:07ID:???ついてのまとめが投稿されたようです。
ttp://ns1.php.gr.jp/pipermail/php-users/2005-November/027936.html
思ったよりたいした事無いのかな？
register_globals = offなら、問題ないということで。
0155nobodyさん
2006/01/04(水) 23:40:24ID:???ＰＨＰがいかにセキュリティ的にダメダメかを物語っているな。'
0156nobodyさん
2006/01/05(木) 16:37:59ID:pttN5xUJ漏れが発行したcookieが結構な確率でdeletedってなってるみたいなんだけど・・・
0157nobodyさん
2006/01/09(月) 02:15:18ID:???0158nobodyさん
2006/01/22(日) 15:58:21ID:WlGV7h6d1 PHP
2 Perl
3 C
0159nobodyさん
2006/02/14(火) 03:26:25ID:???イマイチ自信が持てないセキュリティー
これを押さえとけってのがあるといいんだがなぁ
0160nobodyさん
2006/03/03(金) 23:25:40ID:R8+Du6gihttp://takagi-hiromitsu.jp/diary/20060129.html#p01
0161nobodyさん
2006/03/28(火) 20:10:52ID:fZ61wIgX認証時に送るデータのひとつに、PasswordDigest というものがあって、
「Nonce, Created, パスワード(はてなアカウントのパスワード)を文字列連結し
SHA1アルゴリズムでダイジェスト化して生成された文字列を、
Base64エンコードした文字列」という説明があります。
自分のパスワードに色々文字列をくっつけた、ハッシュ (ダイジェスト) 値って事ですよね。
という事は、正しいかチェックするには生パスワードが必要になるわけですよね。
つまり、はてなのサーバ側ではパスワードの管理を、ハッシュ値ではなくて、
元の文字列そのままデータベースに保存している、と。
話にならないセキュリティですね。
WEB2.0だアジャイルだと寝言ポエム唱える前に、基礎的な技術を習得すべきですよ。
0162nobodyさん
2006/03/28(火) 23:09:15ID:???0163nobodyさん
2006/04/09(日) 04:27:52ID:???0164nobodyさん
2006/05/05(金) 04:48:24ID:0pIEn1FP0165nobodyさん
2006/05/05(金) 21:35:35ID:DVXSQw0sお前なんでこんな面白スレ、今まで隠してたんだよ。
>>161には大笑いさせてもらった。さすがwebprog板、香ばしさが一味違う。
0166nobodyさん
2006/05/21(日) 06:36:50ID:???費用対策効果を考えると順当だとか、問題視することかなぁ、とか書いてあるが、
問題なく出来ることをしないのは訳が分からない。
アホか？とか思うんだけど、俺がアホなんでしょうか。
0168nobodyさん
2006/05/23(火) 22:37:52ID:???ttp://secunia.com/advisories/20178/
CRITICAL: Moderately critical
SOLUTION: Contact the vendor for updated versions. ttp://www.myweb-jp.com/resq/
0169nobodyさん
2006/05/30(火) 08:23:54ID:???0170nobodyさん
2006/08/03(木) 06:41:53ID:HjJyuduF昨夜、うちのメールフォームから10通連続で変な送信がありました。
遅れないはずの BCC やら CC に宛先を加えているのです。
ヤフってみたら同じようなのが数件出てきました。
CC:[email protected]
BCC:[email protected]
ttp://search.yahoo.co.jp/[email protected]
これは、スパムの中継にしようとしてるのでしょうか？
0171170
2006/08/03(木) 16:16:35ID:R1Mf9tarCGIのセキュリティホールを突かれてる？
0172nobodyさん
2006/08/03(木) 22:31:38ID:???まずメールフォームに使ってるCGIとそのバージョンを書け。
世の中にメールフォームがどれだけあると思ってるんだ。
0173nobodyさん
2006/08/04(金) 15:33:16ID:???0174nobodyさん
2006/08/07(月) 16:33:42ID:yYQHYFxU閲覧されないようにするためにすべき常套手段ってどんなの？
「オレはこうやってる」というのでも良いので披露して下さい。
1.htaccessでCGI等からしかアクセスできないよう制限をかける。
2.拡張子をcgiにする（必要に応じてパーミッション変更）。
3.上記併用。
4.その他。
ちなみに、1と2だとどっちの方が強固？
0175nobodyさん
2006/08/07(月) 18:19:46ID:???0176nobodyさん
2006/08/07(月) 19:31:48ID:???拡張子をcgiにするのは格好悪いからやめたほうがいいんじゃないかな。
多くのHTTPDでは.で始まるファイルはインデックスに表示されないし
標準的なApacheなら.htで始まるファイルは Deny from all なので
.htmydataみたいなファイル名にするのが俺的おすすめ。
でも他人の管理が前提なら必ず.で始まるファイルが作れないと言ってくるので
やめたほうがいいと思うけど。
■ このスレッドは過去ログ倉庫に格納されています