水無月ばけらのえび日記

WEBインベンターがCookieを使うようになった

公開: 2010年4月11日21時50分頃

「URLを知られたらアウトな管理画面」の話ですが、「管理プログラムのセキュリティーの向上 (mag.wb-i.net)」というアナウンスが出ていますね。

パスワードをURLにつけて引き回すのをやめて、Cookieを使うようにした模様です。下の方にサンプルへのリンクがあるので、早速確認してみると……。

• サンプルのログイン画面にアクセス: http://wb-i.kir.jp/sample/SPF910/setup.cgi (wb-i.kir.jp)
• パスワードに「1234」を入力して「認証」を押す。
• Cookieが使われるようになったらしいので、ブラウザのアドレスバーに javascript:document.cookie と入力してCookieの値を表示。

すると、こうなります。

……。

ちなみに、表側の方もCookieを使うようになったようです。

• サンプルの会員登録画面にアクセス: http://wb-i.kir.jp/sample/SPF910/entry.cgi?mode=add0&order= (wb-i.kir.jp)
• 適当な値 (たとえば名前=お名前、パスワード=PASSWORD) を入力して「会員登録[確認]」を押す。
• ブラウザのアドレスバーに javascript:document.cookie と入力してCookieの値を表示。

すると、こうなります。

※"%82%A8%96%BC%91O" は、Shift_JISの「お名前」。

ユーザが会員登録時に入力したパスワードや、名前などの個人情報のデータなども、全てそのままCookieに格納しているようですね。Cookieを使うようになったというのは間違いではないようですが、ちょっと普通はしない使い方ではあります。

これだけで直ちに脆弱性と言えるかは微妙なところです。ただ、万が一、どこかにXSS脆弱性があったりすると、生のパスワードや個人情報などがそのまんま漏れてしまうことになります。そうなると、通常のXSS脆弱性よりも被害が大きくはなりますね。

※2011-01-12追記: そして、実際にXSS脆弱性があってパスワードが漏れる状態でした。いちおう修正されたようです……WEBインベンター、XSSを修正か。

• 「WEBインベンターがCookieを使うようになった」へのコメント (1件)

関連する話題: Web / セキュリティ / WEBインベンター