水無月ばけらのえび日記

bakera.jp > 水無月ばけらのえび日記 > dynabookのサイト直った

dynabookのサイト直った

2006年11月8日(水曜日)

dynabookのサイト直った

「東芝のサイトが恐ろしくセキュリティ的に激しく超超超超超ヤバイ」という話ですが、修正された模様です。

ちなみに「"g" を忘れている」というのは何の話だったのかというと、貫通方法から推測されたプログラムミスの話です。最初の問題修正後、「パラメータとして渡される URL に %22 などが含まれているとその文字は削除される」という仕様になっていたのですが、%22 を2個以上渡すと最初の1個しか削除されなかったため、%22 を複数書くと貫通することができたのでした (ちなみに %3c や %3e なども同様)。

推測ですが、プログラマは本来

$url =~ s/"//g;

というような処理を意図していて、しかしながら実際には

$url =~ s/"//;

と書いてしまっていたために、誤動作していたものと思われます。つまり、末尾の "g" を忘れていると。

※とは言っても完全に想像の域を出ません。そもそも Perl なのかどうかすら分かりませんし。

それから実はもう一つ貫通方法がありました。「渡された URL が http://dynabook.com で始まらない場合は蹴る」という処理が行われていたのですが、この処理では駄目です。なぜなら、http://dynabook.com.bakera.jp などという URL が通ってしまうからです。

今では「URL が http://dynabook.com/ で始まらない場合は蹴る」という処理になっていて、別ドメインへの誘導は行えなくなった模様です (たぶん)。

ともあれ、私が把握していた範囲については直ったということで。

関連する話題: Web / セキュリティ

最近の日記

関わった本など

インクルーシブHTML+CSS & JavaScript 多様なユーザーニーズに応えるフロントエンドデザインパターンデザイニングWebアクセシビリティ - アクセシブルな設計やコンテンツ制作のアプローチ体系的に学ぶ 安全なWebアプリケーションの作り方 脆弱性が生まれる原理と対策の実践ウェブの仕事力が上がる標準ガイドブック 5 WebプログラミングWeb Site Expert #13Dreamweaver プロフェッショナル・スタイル [CS3対応] (Style for professional)

その他サイト