新生鳩丸掲示板♯

あっしも出張の時羽田空港で見かけてつい買っちゃいました。馬鹿馬鹿しくて良いですよね（笑）。

>アドバイスありがとうございました。ＷｉｉではＳＤカードに保存した画像を見ることができました。ＤＳｉでは、アルバム０枚となり見ることができませんでした。ＤＳｉに問題がありますか？修理に出さなければならないんでしょうか？

　他の方々のコメントを見ると、そもそも、DSiではDSiで撮った写真しか見られないようですね。どうぶつの森の写真をDSiで見るのは不可能、ということのようです。

アドバイスありがとうございました。ＷｉｉではＳＤカードに保存した画像を見ることができました。ＤＳｉでは、アルバム０枚となり見ることができませんでした。ＤＳｉに問題がありますか？修理に出さなければならないんでしょうか？ＳＤカードは、任天堂Ｗｉｉ

ＳＤメモリーカード５１２ＭＢです。

>>ip (範囲)をチェックすれば良いと思います。

>　同組織内に攻撃者がいたら防げません。携帯サイトならばそれなりに効果があると思いますが、PCサイトでは危険ではないでしょうか。

むしろ全員が特定少数のゲートウェイからのアクセスになってしまう携帯サイトでは効果が期待できないと思います。

それはそれとして、以下の2つの分類は同じ「メタ文字の不適切な取り扱いバグ」が原因の脆弱性なのにも関わらず、出力先がHTMLかそうでないかで別になっているのが気になります。攻撃対象がクライアント側かサーバ側かということなのかもしれませんが、この分類方法だといわゆるタイプ2のXSSが漏れるので良くない感じがします。

・入力値をそのまま出力してしまう「エコーバック問題」

・ 悪意のパターンが注入されてしまう「入力問題」

>外装というとこれのことでしょうか。

>http://www.hummingheads.co.jp/column/seminar/seminar08.html

　ですね。

　なんか増えているような気がしますが……。

外装というとこれのことでしょうか。

http://www.hummingheads.co.jp/column/seminar/seminar08.html

>　同組織内に攻撃者がいたら防げません。携帯サイトならばそれなりに効果があると思いますが、PCサイトでは危険ではないでしょうか。

　いや、携帯サイトでも危険は危険ですよね。Referer漏洩の危険が相対的に少ない、というのはあるのかもしれませんが。

# 携帯サイトだって、好きでURLにつけているわけではないはず。

>それだけではまずいです。以下の"それマルチバイトで"のところ参照。

　文字符号化方式についてはここでは議論していませんが、それは別途注意すべきでしょうね。属性値に限らず、XSSに限らず発生する問題です。

>data: スキーマも危険です。

　それは「など」に含んでいるつもりです。tel: や mailto: なども場合によっては問題がありますし、危険なものを列挙する方向では考えたくないですね。その後ろに書いてあるように、http: か https: 以外は入ってこないようにした方が良いという考えです。

>ip (範囲)をチェックすれば良いと思います。

　同組織内に攻撃者がいたら防げません。携帯サイトならばそれなりに効果があると思いますが、PCサイトでは危険ではないでしょうか。

投稿ミスったかな…。

>属性値を動的生成する場合、属性値を必ず二重引用符で括り、" と & と < をエスケープする。

それだけではまずいです。以下の"それマルチバイトで"のところ参照。

openmya.hacker.jp/hasegawa/public/20061209/momiji.html

>javascript: などで始まることがないように注意する。

data: スキーマも危険です。

>たやすいですかね? 確かにXSSがあればたやすいのですが、他の脆弱性がなければ難しいと思うのですけどね。

>しかし、本当にたやすく盗まれるのだとすると、どういう対策をしたら良いのでしょう。Cookieを使わずにとなると、携帯サイトのようにURLにつけたりする事になると思いますが、それはもっと危険だと思いますし……。

ip (範囲)をチェックすれば良いと思います。中間者攻撃には意味ないですが、セッションハイジャックは防げます。ただし、セッションハイジャックができるということは正規利用者を操ることができるため、どこまで有効かは分かりませんが。

追加で。

IPA流出事件…特許庁と民間企業の癒着、そしてインサイダーか？

http://blog.livedoor.jp/petawarosu/archives/50783736.html

IPA騒動に急展開、驚愕の流出情報の数々

http://www.tanteifile.com/newswatch/2009/01/08_01/index.html

>IPA(独立行政法人情報処理推進機構)職員による流出騒動に、またもや大きな進展があった。

>流出内容には、企業の内部情報や関係書類だけでなく、社員や顧客等の氏名、住所、電話番号、メールアドレスといった各種の個人情報が数多く含まれていた。

>流出が確認されているもののごく一部を挙げると、味の素、西武、ソニー、帝国データバンク、ニフティ、博報堂、日立、富士通、富士フィルム、マイクロソフト、ミノルタ、ユネスコ、早稲田大学など、大手企業ばかりか国際機関や大学も含まれている。

これはもうだめかもわからんね。

>DSiでDSiで撮った写真以外の画像が見られるという情報はあるのでしょうか?

>そういう情報をみた覚えがなかったので、DSiはDSiで撮った写真にしか対応していないものかと思って、深く追求せずにあきらめてしまったのですが。

RTFMですが、DSiでは、DSiで撮影した写真しか見られません。ついでに言うと、DSiから持ち出して加工した写真も見られないようです。

>・DSi以外の機器では写真を見られますか?

>　DSi側の問題でSDカードを認識できていない可能性もあります。DSi以外で(たとえばWiiで)そのSDカードの写真が読めるのか試してみてください。それで読めるようならDSi側の問題です。

同じように「街へいこうよ どうぶつの森」で撮った写真がDSiで見えませんでした。

DSiでDSiで撮った写真以外の画像が見られるという情報はあるのでしょうか?

そういう情報をみた覚えがなかったので、DSiはDSiで撮った写真にしか対応していないものかと思って、深く追求せずにあきらめてしまったのですが。

>IDの重複は直ったようですが、今度はIDが重複していたときに付けられたコメント(たとえば「IPA職員がWinny経由で情報流出」へのコメント http://bakera.jp/ebi/topic/3380/comment )が、全く別の記事へコメントしたことになってしまったようです。

　おおっと。

　修正しましたです。

>　トピックのIDが重複していました。

IDの重複は直ったようですが、今度はIDが重複していたときに付けられたコメント(たとえば「IPA職員がWinny経由で情報流出」へのコメント http://bakera.jp/ebi/topic/3380/comment )が、全く別の記事へコメントしたことになってしまったようです。

>というか「GET /../」の記事のURLだったはずの

>http://bakera.jp/ebi/topic/3382

>をクリックしても「螺鈿迷宮」が出てきます。いったい何が起きているのでしょうか。

　トピックのIDが重複していました。

　IDは手動でつけているのでたまにうっかり重複したりするのですが、重複するとエラーになるので分かるはず……と思いきや、年をまたがるとIDが重複してもエラーにならないというバグがあって残念なことになっていたようです。

このツリーは「GET /../」という記事へのコメントだったはずなのですが、なぜか「螺鈿迷宮」という記事へのコメントということになっています。というか「GET /../」の記事のURLだったはずの

http://bakera.jp/ebi/topic/3382

をクリックしても「螺鈿迷宮」が出てきます。いったい何が起きているのでしょうか。

とりあえず日付指定の

http://bakera.jp/ebi/2008/11/15

なら記事が読めるようです。

プラチナでバトルしてくれるひと募集中！

>　これが事実無根であり、そのようなことはまったく起きていないということでしょうか?

以下が問題の書き込みのようです。

http://yui.cynthia.bne.jp/test/read.cgi/newanime/1225342766/70 (削除済み)

http://changi.2ch.net/test/read.cgi/anime4vip/1226736906/227 (上記を最初に2chで貼ったと思われるレス。過去ログ落ち)

http://changi.2ch.net/test/read.cgi/anime/1228472504/204 (過去ログ落ち)

画像がアップロードされた掲示板は2chではありませんが、2chに画像のアップロード機能はないのである意味当たり前です。

>Ｗii本体の設定が何か必要なんですか？また、保存できない場面の写真があるんでしょうか？

　そういうものはないはずです。写真が撮れない場面はありますが、撮れたなら保存はできるはず。念のため以下のようなことを確認したいですね。

・写真を撮った後、保存していますか?

　撮っただけでは保存されません。保存の操作が必要です。「保存しましたと表示がでた」との事なので保存はされているのだろうと思いますが、念のため確認させてください。

・DSi以外の機器では写真を見られますか?

　DSi側の問題でSDカードを認識できていない可能性もあります。DSi以外で(たとえばWiiで)そのSDカードの写真が読めるのか試してみてください。それで読めるようならDSi側の問題です。

・保存できない現象は繰り返し再現しますか?

　品質の低いSDカードでは、まれにデータが壊れることがあります。たまたま、そのときだけデータが壊れたのかもしれません。同じことを繰り返しやってみると保存できる可能性もあります。

・再現する場合、そのSDカードにほかのデータは保存できますか?

　Wiiとの相性が悪いSDカードも存在します。どうぶつの森に限らず、Wiiのあらゆるデータが保存できないのかもしれません。

　あるいは、単にSDカードが壊れているのかもしれません。その場合はフォーマットしなおしてみて、それでも駄目ならそのカードはあきらめる感じかと思います。