04/02/06 02:03
(アクセス制御機構なんて無かったというでたらめに対するテンプレ)
URIの一部をファイル名に変えるだけで侵入できた、
だからアクセス制御機構など無いと言い張る輩がいますが、
それは偽情報に騙されていますね。
件のアクセス制御機構回避事件に関しては、
(1)CGIの引数に対する適切な処理が行われていないケースがあるかどうかをかなり執拗に
探索する。
(2)不適切な処理の内容からCGIの引数をどのように与えればCGIのソースを見る事が出来るか
を試行錯誤して導き出す。
(3)得られたCGIのソースに書いてあるファイルオープンの箇所等を見て、
通常は絶対に知られる事のないサーバーに置いてあるファイル名が何であるかに関する
情報を得る。
(4)(1)と同じ手法に、(3)で得られた情報を組み合わせてCGIの引数を考え出し、それを
GETパラメーターとして与えて情報を盗み出す。
このようなプロセスが必要になります。
「誰にでもみれる状態だったし、違法などではない」という主張が明らかに嘘、だましである事が
わかるでしょう。
もし、「誰にでもみれる状態だったし、違法などではない」というのなら、
今でも同じバグが改善されていないスクリプトを使っているサイトがある事は周知の事実ですので、
あなたがそこのサイトからファイルを取ってきて下さい。
あなたの説によればそれは誰にでも出来て、違法ではないのですからすぐに出来ますよね？
その主張の正しさを証明するため是非ともお願いします。