さかどんテストブログ記事No.731 (コメント追加)

	パーツはありません。

[最新順表示]　 1 件
[リストを表示]	１頁3件 1/1（1件）


	まあ気が向いてるので、色々書こう。このブログサービスでは、URI（URLとも言いますね）が `hoge.asp?user=username~id` のような形ですが、ちょっとURIに小細工をすると、やはりこれもXSSな感じになって割と簡単に以下略。ここで怖いのは、URIでの判定で内部プログラムのバグを当たられたりして、もごもごされちゃった日にはサーバ側が最悪な事になる危険性も！一番いやなのは、ユーザリストが見えたりしたり、ユーザの情報が引き出されたりなど、ですかね。出来れば、URIの設計も見直した方が良いかもしれません。サービス開始した後だから難しいかもしれないけど…。何事も基礎があるから自治が形成されると思うので、基本的な対策は打っておいて損はありません。この辺のリスクマネジメントをしっかりと行なう事でユーザも安心して使ってくれるのではないでしょうか。


			ツイート


	Posted by お疲れぷろぐらま (2008/12/07 14:56:15) 通報
	URI
	URLはISAサーバで名称で特定しているので詐称はなかなか難しいと思うけれど、現在でも hoge/usename でリダイレクトされ参照できるようにはしているので、徐々に移行しなければと思うのだが・・。 IISの特性上、ASPはエラー判定でリダイレクトするため、機能を優先すると公式にその利用を促すのは難しく、ユーザー判定部分を厳密に判定する方法で検討中。問題はアフリエイト用に用意されたサイドバーのリンク・・・。 Java動かさなければASPのjava動かせんしねぇ。まあただ、ご指摘の通り、アクセスや書き込みはまだ少ないので人間が監視しているけど、リスクマネジメントに関しては自動化したいので、何かとアドバイス求む。


	お名前
	URL
	タイトル
	コメント



			※この番号を下記に「半角数値」で入力してください。
	画像認証

	コメントの投稿時には画像認証に表示されている番号を入力してください。
	投稿記事が削除された場合は、同時にコメントも削除されますのでご了承ください。
	ブログの管理者が承認しないとコメントが反映されない場合もあります。
	宣伝を含むコメントは予告せずに削除いたしますのでご了承ください。
	その他、ソフトンハウス運営チームが予告せずに削除する場合があります。
	アダルト関係のリンクの掲載は利用規約違反とみなします。
	公序良俗に反するコメントは不正アクセスとして通報させて頂きます。

さかどん

	パーツはありません。

	パーツはありません。

本サイトに関するお問い合わせ、広告等の掲載依頼はソフトンハウス運営チームまでご連絡ください。