2005年6月27日(月曜日)
セカンダリ DNS 放置プレイ
「ドメイン名の登録と DNS サーバの設定に関する注意喚起 (www.ipa.go.jp)」という文書が出ています。
いわゆるセカンダリの DNS が放置プレイで、ドメインごと消滅していたりしても気づかないということは結構あると思います。いや、実はあんまり他人事ではなくて、弊社でも半年くらい前には同じ状態になっていたという……。たまたま私が DNS 関係の設定を確認していて気づいたのですが、逆に、そういう機会がないと意外に気づかなかったりするのですよね。他の DNS サーバは生きているので一応引けますし、特に問題らしい問題も出なかったりしますので。
最初から全部内部名にしておけば問題ないといえばないのですが、ISP から「この名前で登録しろ」とか言われたものに勝手に名前を付けることには問題がありますし…… (儀礼的な話ではなくて、ISP 側が IP アドレスを変えたときに困る)。
- 「セカンダリ DNS 放置プレイ」にコメントを書く
某所の怖いエラー
うーん、パス名パラメータにドライブ名まで含まれているというケースは初めて見ました。"C:\winnt\……" なんてのを渡すといろいろ見えるのかなぁと思いつつも、怖くて試せないわけですが。
とりあえず明らかに無効な文字列を渡してみると、まあ普通にエラーメッセージが出るわけですが……なんか引数がおかしいとか言われていて、どうも OS コマンドの引数に任意の値がインジェクションできる雰囲気ですね。もちろん試しませんが。
公開されているのかどうか……
なんか某社の社内向けページっぽいものが見えていますが……個人情報丸見えならともかく、こういうものだと意図的に公開している可能性もあり、問題なのかどうかよく分からないのですよね。経緯はこんな感じ。
- スクリプト無効だとトップページから先にはアクセスできないサイト
- 仕方ないのでソースを見る
- すると、アクセス解析用のフリーの CGI を呼んでいる記述を発見
- フリー CGI だけにアクセス解析結果を表示する URL が既知なので、アクセスしてみる
- 普通に見えた。トップページが 50PV/日みたい。この CGI にはアクセス制御機能があるようなので、それを使っていないということは意図的に公開しているのだと思われます。
- Referer のログを見ると、なんかパスに private とか含まれている URL がある (ちなみに、これを発見したのは私ではありません)
- アクセスしてみると、社内向けっぽいページだった。もちろん ID もパスワードも全く訊かれていません。
とりあえず、意図して公開しているものと判断しておきます。
- 前(古い): 2005年6月23日(Thursday)のえび日記
- 次(新しい): 2005年6月28日(Tuesday)のえび日記
