10/04/05 22:54:33 FEB4tIZp0
2004年のプログラムを使ってるから悪いみたいな言い方しておいて、今頃修正してるとか酷すぎだな
183:名無しさん＠十周年
10/04/05 23:14:53 JbsAC0ci0
>>182
>>138で、
＞ショッピングカートが何らかのスパムアクセスの攻撃を受けたと考えられます。
こんなこと言い方してるくらいだからな・・・
「当社は被害者（キリッ」
攻撃じゃなくて、自爆だろ・・・
184:コアセルペート ◆11YHIPHm4M
10/04/05 23:21:06 qqvQ8jLy0 BE:230000639-2BP(34)
普通は.csvファイルにアクセス制限かけるものだが。
185:名無しさん＠十周年
10/04/05 23:24:18 Z1UovCeV0
>>184
今回、メッセサンオーさんはノーガード戦法だったようです
186:コアセルペート ◆11YHIPHm4M
10/04/05 23:24:48 qqvQ8jLy0 BE:153332892-2BP(34)
こんなこともあろうかと、
普通は.csvファイルにアクセス制限かけるものだが。
187:名無しさん＠十周年
10/04/05 23:29:00 g/1lKUAW0
ごめん、素人なんだけどCSVのアクセス制限って暗号化されるん？
つーか、バイナリで読めるような作りにはなってないってこと？
188:名無しさん＠十周年
10/04/05 23:31:26 6tNqqDY30
>>186
ファイルのパーミッションを600かい？
189:名無しさん＠十周年
10/04/05 23:34:38 rQ3nx3XA0
>>188
普通だとサーバ上のプログラムからのみアクセス可能にしておく代物
403 Forbiddenってみたことない？
190:名無しさん＠十周年
10/04/05 23:35:09 rQ3nx3XA0
ミス
>>189は>>187あて
191:コアセルペート ◆11YHIPHm4M
10/04/05 23:38:49 qqvQ8jLy0 BE:306666566-2BP(34)
>>187 >>188
Apacheなら、これで幸せになれるよ。
<FilesMatch "\.csv">
Order allow,deny
Deny from all
</FilesMatch>
192:名無しさん＠十周年
10/04/05 23:38:56 HyJuiMLQ0
>>189
馬鹿まるだし
193:名無しさん＠十周年
10/04/05 23:39:16 BQqUgzfa0
>187
『サーバのアクセス制限』っていうのは暗号化とは別なものだよ。
OSやサーバアプリで『このファイルを見る権利を持っているユーザー』を管理するの。
だから物理的にハードディスクひっこぬいて他のマシンにつなげれば見れたりするね。
194:名無しさん＠十周年
10/04/05 23:41:00 C4pwQvLO0
絶対に謝罪しないって事は外資かな？
195:名無しさん＠十周年
10/04/05 23:41:46 g/1lKUAW0
>>190
そういう意味のアクセス制限ね
CSV関係ないじゃん
196:名無しさん＠十周年
10/04/05 23:41:57 0i/2yoBm0
対策が「metaタグ入れてロボットからクロールされないようにしました」
なんてな事を真顔で言う所だから、あんまり安心出来ないよね。
metaタグは「クロールしないでね」っていう単なる「お願い」に過ぎないんだけど。
197:名無しさん＠十周年
10/04/05 23:43:20 fEWO+ZIi0
>>186
DB入ってるcsvなんかweb鯖共有上に置くのが狂ってる
198:名無しさん＠十周年
10/04/05 23:45:52 mdzT6d1X0
アクセス制限とかじゃなくて、見えちゃいけないファイルは公開ディレクトリより上の
そもそもwebサーバーがアクセスできないパスに置いといて、
cgiからだけ見えるようにしなきゃいけないんでないのか
199:名無しさん＠十周年
10/04/05 23:46:01 MYLbE3bs0
問題なのは不要な情報を集めた事と
情報溜め込んでる事だろ。
200:名無しさん＠十周年
10/04/05 23:49:10 Mdi+7f8o0
うほっ
201:コアセルペート ◆11YHIPHm4M
10/04/05 23:51:06 qqvQ8jLy0 BE:613332689-2BP(34)
>>197 >>198
突っ込みどころ満載だね。
10年以上前から気をつけるべき定石なのに。
202:名無しさん＠十周年
10/04/05 23:52:25 JbsAC0ci0
>>199
問題なのは、公開しちゃいけない情報が漏えいされたこと。
情報の収集、蓄積自体は必要で、
電子帳票保存法のため、７年間の保存義務がある
また、今回の事件に対して、getchu.comが、
以下のようなお知らせをだしたみたいで、
そこにも書かれている。
問い合わせが多かったんだろうな・・・
他店での個人情報漏洩事件に伴う「ご購入履歴」機能の一時停止などについてのお知らせ
URLﾘﾝｸ(www.getchu.com)
＞お客様からお預かりしているお客様の個人情報、ご注文内容ですが、
＞税法上の規定により取引情報については7年間の保存が義務づけられているため、
＞弊社ではその期間内のご注文内容および、その際にお預かりしたお客様の個人情報を保管しております。
203:名無しさん＠十周年
10/04/05 23:52:37 Z4XrV/2E0
>>197-198
それはそのとおりなんだけど
非公開の置き場所が無いレン鯖とかよくあるだろ
これは低レベル過ぎて常識は通用しない世界の出来事だから
204:名無しさん＠十周年
10/04/05 23:53:32 zN3uQSyi0
pass入りURIって超ウルトラCも加わってるからなぁ
205:名無しさん＠十周年
10/04/05 23:54:50 Z1UovCeV0
>>203
そもそも内部管理情報になる顧客情報と商品情報を
外部に公開してるサーバーに置いてる時点で不味いだろ
まともな感覚なら内部情報は絶対に外からアクセス出来ない
サーバーに分離する
206:名無しさん＠十周年
10/04/05 23:57:54 MYLbE3bs0
>>202
年齢で良いところを生年月日を入力させる必要はないだろ
帳簿だって名前まで保存する必要は無いだろ
もし必要なら店頭販売で名前を聞かないといけないんだし
207:名無しさん＠十周年
10/04/06 00:05:24 EtiXBqEx0
>>205
いやだからまともな感覚はこの世界じゃ通用しないんだよ
208:名無しさん＠十周年
10/04/06 00:05:38 XsIpNnFs0
GETのままなのかよ…
209:名無しさん＠十周年
10/04/06 00:07:44 1q06b4JwO
七年分すべてをデータベースに置いておく必要はない。
リスクが大きくなるだけだし。
ゲッチューの前身の同人．ｃｏｍ（？）の頃に使ったっけ
一日経ったら頭が冷えて、発送前にキャンセルしたけど。
210:名無しさん＠十周年
10/04/06 00:10:07 5df73Te10
>>209
同意。過去一年分程度が見れればいいし、表示はテキストベースでなく
テキストを前提としたコピーできないorコピーしても活用の難しい画像形式で見れればなおいい
211:名無しさん＠十周年
10/04/06 00:14:21 VCRECrrM0
今回の件で自分が普段利用しているCGI/ASP系のサイトを調べたが、なんかヤバそうのが結構ある。
Googleは本当に信用できなくなった。Chome消すか…
212:名無しさん＠十周年
10/04/06 00:18:26 FJYOdVMu0
>211
この件で信用できなくなる対象がなぜGoogleなんだ？
213:名無しさん＠十周年
10/04/06 00:18:36 HxNzvPrs0
理系の女の人ってエロゲ好き？
214:名無しさん＠十周年
10/04/06 00:19:47 VbTFjGf4P
正直晒されたヤツいる？
215:名無しさん＠十周年
10/04/06 00:21:42 yYsbPJj+P
クロームがURL入力欄を本社に送るから今回の問題が起きたという書き込みについては大いに疑問がある
URL蘭が送れるならサブミット用の領域もHTTPSでの操作も全て送っている可能性もある
まずソコを確認するのが先決ではないだろうか？
216:名無しさん＠十周年
10/04/06 00:24:10 IspMxNwm0
>>205
一緒のサーバで運用するなんてよくあることだろ。
制限は、管理画面の特定IPから許可にするとかそういうレベルだよ。
コストけちってるのに、なにいってんだ？
217:名無しさん＠十周年
10/04/06 00:25:23 30lyO8+U0
>>215
URL欄じゃなくて、ブラウザがwebサーバに対して出すhttp requestに含まれるアドレス情報だな
218:名無しさん＠十周年
10/04/06 00:26:47 XsIpNnFs0
よく見るとこの会社って法人格名乗ってないんだけど
実態は個人なのか？
219:名無しさん＠十周年
10/04/06 00:27:51 yYsbPJj+P
>>217
そうなのか
とはいえそれだけでも、ほぼ完璧なエンドユーザーのトレースが出来ちゃうな
220:名無しさん＠十周年
10/04/06 00:29:51 EtiXBqEx0
>>215
それをやっていたらほとんどの国で違法だからGoogle終了
221:名無しさん＠十周年
10/04/06 00:29:53 5df73Te10
>>218
ドメインがco.jpだから法人格だな。
222:名無しさん＠十周年
10/04/06 00:30:20 cLDQ9s4Q0
URL認証は認証ではない
知られにくいページにすぎないのよ
223:名無しさん＠十周年
10/04/06 00:31:32 XsIpNnFs0
>>221
WEBインベンターのほうな
224:名無しさん＠十周年
10/04/06 00:31:52 bcf4m00j0
>>209
＞七年分すべてをデータベースに置いておく必要はない。
これはその通り。
ただ法改正前は、紙媒体での保存が義務付けられてて、
改正後は、保存場所などのコスト考えて、
紙->データ の流れになっていったと思う。
データベースじゃなくてメディアに移動保管も可能。
225:名無しさん＠十周年
10/04/06 00:32:40 FAr6HNHL0
>>1
もう、webインベーダーもメッセサンオーも共に滅んでくれていいよ
226:名無しさん＠十周年
10/04/06 00:34:16 As9LelTz0
>>1
＞パスワード付きのＵＲＬ
すまんが、ここを誰か日本語に訳してくれ。
227:名無しさん＠十周年
10/04/06 00:34:38 XsIpNnFs0
whoisでwb-i.net調べたら個人名だた
怪しさ爆発
228:名無しさん＠十周年
10/04/06 00:40:05 P4SJaAyw0
>>220
chomeには少なくともブックマークと検索欄、IPアドレス、一意のインストールトークンは送信されると書いてある
同期とやらをすればグーグルアカウントとも連結されるとな
他のブラウザや他の検索サイトでも検索語やIPアドレスやクッキーで十分個人プロファイルされて
トレースされてるに違いない
229:名無しさん＠十周年
10/04/06 00:40:35 30lyO8+U0
>>219
だからフレームに隠しててもブラウザから見れば丸見え
あるページを要求 （http headerにはフレーム画面のURLを要求）
↓
フレーム画面を表示
↓
フレーム内の構成ファイルをリクエスト ←（http headerにこのパス付きアドレスが含まれる）
↓
フレーム内の画面を表示
なのでブラウザのURL欄に何が表示されてるかなんて関係無い
ブラウザはサーバに対してファイル転送要求を出す際にhtmlだろうがgifだろうがあらゆる
URL情報を出してファイル要求するので、この部分をごっそり何かが監視しててそれなりの
ところに送るのは技術的に可能
230:名無しさん＠十周年
10/04/06 00:42:47 vOCEAR350
>>65
2chに書いた馬鹿は確信犯だろうけどなｗ
231:名無しさん＠十周年
10/04/06 00:44:34 DOOdpfFq0
なんのかんの改善もせずにしのげるもんなんだな。
個人情報流出って大したことじゃないんじゃないのか。
>メッセサンオーの個人情報流出とWEBインベンダーのカートの脆弱性
>URLﾘﾝｸ(blog.livedoor.jp)
>今回の件、4年前にも同じ事件起きてたんだな。
>URLﾘﾝｸ(www.pine.mynetwork.org)
232:名無しさん＠十周年
10/04/06 00:45:59 30lyO8+U0
>>230
メッセサンオーに先に連絡してしらばっくれられてシカトされたから
２ｃｈに書いたとも取れる
少なくとも3/29日の時点で漏洩してることをメッセの内部的には
知っていた（報告があった？）とうかがえる発表になってるし
ν速でのスレは4/1夜からだからそれまで2日間、何も対応しなかった
ということになる
233:名無しさん＠十周年
10/04/06 00:52:56 EtiXBqEx0
馬鹿正直に教えてやる必要はないし
日本は正直者が馬鹿を見る国だから通報はやめておいたほうがいい
見つけたら2chにスレ立てるのが今後の教訓にもなるから一番いい
234:名無しさん＠十周年
10/04/06 01:13:10 bcf4m00j0
>>206
「情報の収集、蓄積」とまとめて書いてしまったせいで、
意図が伝わりにくかったかもしれん。スマン
言いたいこともわかるし、私が言いたかったのは、
収集：必要（集めなきゃ通販できんよね）
蓄積：最低限の情報のみ必要（法律の制約）
ってことです。
あとは、購入契約時の個人情報保護の同意次第かな。
嫌なら同意するも必要ない。
＞年齢で良いところを生年月日を入力させる必要はないだろ
成人商品を扱う以上、建前上でも、何らかの年齢確認は必要と思う。
年齢、生年月日のどちらでもいいと思うけど、あとは店側の判断かな。
（通販だから偽ることだって出来るし、確認もしにくい）
ただ、18歳未満に販売していたという情報も出ていたので、
その点に関しては、本来の目的を見失っていた可能性もあり、
店側は批判されてしかるべきかと思う。
＞帳簿だって名前まで保存する必要は無いだろ
＞もし必要なら店頭販売で名前を聞かないといけないんだし
通販だから販売時の収集は必要だよね。お届けできない。
店頭販売は名乗る必要ないし。
蓄積時には消しても良いと思う。
店側を擁護する気もないし、購入履歴うんぬんの話が出てたから、
法律の制約があるってことだけ言っておきたかった。それだけです。
235:名無しさん＠十周年
10/04/06 01:19:08 UZDqx0nZ0
＞そして、時々パスワードを変更することはいつの場合でも役立ちます。
なんで翻訳調なん？
236:名無しさん＠十周年
10/04/06 01:20:15 MuYwckzC0
>>10
インフラ化ってなんだ？
カルテル化？
237:名無しさん＠十周年
10/04/06 01:24:34 2WNS5N2j0
インフラと化してるって事だろ
238:名無しさん＠十周年
10/04/06 01:47:05 bcf4m00j0
>>232
ｽﾚﾘﾝｸ(news板:153番)
↑お詫びメールのコピペが貼ってある
＞誠に遺憾ながら、先週３月２９日に弊社のサイト「メッセサンオー・ＰＣゲーム館」 の
＞お客様情報が漏洩していることが判明致しました。
いままでの調査の結果、
3/29から公開状態になっていたことが判明したんだろう・・・
3/29から知っていて、4/2まで何の対応もしてなかったたとしたら
いくらなんでもひどすぎるぞｗ
ただ、日付だけわかってもなー・・・
何でgoogleにインデックスされたかを説明しないと・・・
239:名無しさん＠十周年
10/04/06 01:49:56 dlmucXM40
パスワードは認証の時以外に絶対使ってはいけない
セッション切れの場合はセッションIDをクッキーに残して照合するか
バッサリ切り捨てて再認証させた方が良い
最初の認証以外にはＰＯＳＴデータにも絶対パスワードは含めないのが当たり前だろうに
ＵＲＬにパスワードを含めるなど言語道断
ちなみにパスワード変更画面でＨＴＭＬでおもいっきり
新しいパスワードを表示しやがる糞サイトはしんでほしい
240:名無しさん＠十周年
10/04/06 01:51:44 EtiXBqEx0
詳細を公表してもそれを評価する人間は日本に数人しか居ないのに
公表する企業は馬鹿
241:名無しさん＠十周年
10/04/06 01:53:33 7dR1y+a/0
メッセのいう３月２９日は嘘だろ
２chで発見されて騒ぎになるまで通販サイト閉じてないし、お詫びも掲載してないしな
普通はアクション起こすだろう
もし本当に３月２９日にわかってて通常営業してたのなら
被害者ふやすためにわざと放置したとしか思えん
242:名無しさん＠十周年
10/04/06 01:56:11 LONoX1My0
>>241
決算前の最後の追い込みに通販サイト閉じるより、被害者が増えても４月まで逃げ切りたかったんだろ。
243:名無しさん＠十周年
10/04/06 01:58:45 EtiXBqEx0
だから被害を最小限にするには通報じゃなく2chにスレ立てするべし
この国では警察もマスコミも機能していないのだから
244:名無しさん＠十周年
10/04/06 02:06:47 bY+goSac0
>>228
Chrome と ツールバーの通信をデバッガで覗いて解析してる人がいるが、
クエリストリングは(URL内のパスワード)は送信されないらしいぞ
URLﾘﾝｸ(d.hatena.ne.jp)
Chrome / ツールバー 原因説は無理がある気がする。
245:名無しさん＠十周年
10/04/06 02:10:10 bcf4m00j0
>>241
後から遡ってアクセスログなどを調べたら、
3/29から漏れてましたってだけでしょ。
調査が不十分なだけで、もしかしたらそれ以前かもしれんしな。
この程度のスキルで、3/29当初から把握していたとも思えん
まー本当だとして、この日付付近で、何をしたんだ？ってこと
評価というより、補償とともに最低限果たすべき責任だと思う
246:名無しさん＠十周年
10/04/06 02:12:16 dlmucXM40
パスワードを平文で送るシステムがバカすぎ
パスワードは認証だけに使い、認証は暗号化をチョイスできるようにするのが当たり前
247:名無しさん＠十周年
10/04/06 02:16:53 bcf4m00j0
>>239
＞ちなみにパスワード変更画面でＨＴＭＬでおもいっきり
＞新しいパスワードを表示しやがる糞サイトはしんでほしい
え？そんなサイトあるの？
そりゃ目を疑いたくなるね・・・
248:名無しさん＠十周年
10/04/06 02:22:41 7dR1y+a/0
>>242
どっちにせよひどいことだ
>>245
ああ、そういうことか
最初の見つかったgoogleキャッシュの取得は３月２３日のようだけど・・・
249:名無しさん＠十周年
10/04/06 02:29:05 bcf4m00j0
>>248
＞最初の見つかったgoogleキャッシュの取得は３月２３日のようだけど・・・
俺も、直接見た訳じゃないのでわからん。
2chのキャッシュ3/23説が正しいのなら、
メッセのメール報告（3/29）は、
嘘または調査不十分ってことになるからなー
250:名無しさん＠十周年
10/04/06 02:37:50 P4SJaAyw0
>>244
ツールバーとか使ったことないからよくわからないんだけど
ユーザーが任意にログインしてグーグル側に保存してるブックマークをユーザーに無断でクロールしてるのでは？
251:名無しさん＠十周年
10/04/06 02:53:33 vOzBS/fC0
ログインしてようがしてまいがhttpなんか保護されてるコンテンツじゃないよ。
そもそもセッション無しでアクセス可能だったから、ノーガード状態。
252:名無しさん＠十周年
10/04/06 06:54:11 MZnJUe0V0
俺5000万ほどゲーム注文書が送られてきたんだが
被害者の方はメールまたは電話で下記に連絡してください
なんて怖くて連絡できない
253:名無しさん＠十周年
10/04/06 08:11:01 bcf4m00j0
メッセHPに経過報告きてるみたいね
URLﾘﾝｸ(www.messe-sanoh.co.jp)
これはひどい・・・
254:名無しさん＠十周年
10/04/06 08:13:48 bcf4m00j0
3/29（月）
・15：37 お客様より情報漏洩のご指摘をメールにて頂く。
・弊社にて検索サイト経由での漏洩事実を確認する。
・検索サイトに削除要請を出し、対応するＣＧＩの名称変更・管理パスを変更。
255:名無しさん＠十周年
10/04/06 08:18:26 bcf4m00j0
3/30（火）
・緊急対策室を設置。
・IT技術会社に支援を依頼する。
256:名無しさん＠十周年
10/04/06 08:20:12 a/+HrnxVO
>>226
＞暗証番号混入的電脳帳の住所
257:名無しさん＠十周年
10/04/06 08:25:27 vdTemouQ0
やってた事はザルだったけど、対応は誠意あるものだと思うけどね
楽天の対応なんか「これやるからもう黙れ、乞食」って感じだったし
258:名無しさん＠十周年
10/04/06 08:31:40 XhGeMFB80
BASIC認証もURLに埋め込んでアクセスする裏技的な物があるから、そのURLが漏れたらヤバイな。
259:名無しさん＠十周年
10/04/06 08:31:57 wNnxxLib0
どっかのサイトであったなぁ・・・
パスワード忘れて問い合わせたら、自分の設定したパスワードそのものを教えてくれた所が。
まんまパスワードを保存してる危ないサイトって証拠だよな。
普通は一時パスワードを教えてくれて、後で自分でパスワードを設定させるものなんだけど。
260:名無しさん＠十周年
10/04/06 08:32:54 irJDhGSbO
>>249
＞ 俺も、直接見た訳じゃないのでわからん。
＞ 2chのキャッシュ3/23説が正しいのなら、
＞ メッセのメール報告（3/29）は、
＞ 嘘または調査不十分ってことになるからなー
いや、矛盾はしてないでしょ。
Googleが拾ったのが3月23日な事と
メッセに通報した人が3月29日な事は矛盾しないし、
「調査不十分」という話ではない。
261:名無しさん＠十周年
10/04/06 09:03:08 j6aJM7uy0
>>260
でもGoogleキャッシュは4日までほとんど見れたよね
3日っていうのは明らかな嘘だよ
262:名無しさん＠十周年
10/04/06 09:30:01 4wpglCD80
3/30
・IT技術会社に支援を依頼する。
システム屋でもweb屋でもない商店じゃツテもあてもなくとりあえず手伝ってもらえる所探したんだろうなぁ
聞いては断られでずるずると時間経過
3/31
・IT技術会社と対策を協議。
現状を詳細に調査確認する時間を経て翌日に詳細な話が始まったと
スクリプトの改修やソッチのほうを主に相談してたのかな
あと、キャッシュ削除依頼は御社の責任でお願いしますって付帯がついてたとか
もしくはキャッシュ削除は弊社がやりますなんて最初にいっちゃったとか
二つの問題が同時に発生してるのに片方の医者しか呼んでないような
263:名無しさん＠十周年
10/04/06 09:33:15 4wpglCD80
4/3
・検索サイトのほとんどのキャッシュが削除されているのを確認。
・ＨＰ上に経過報告を告知。
これ、遅い時間じゃなかったっけ
日中は見えたし、「消えていってるよｗｗｗ」ってのを見たような気がする
264:名無しさん＠十周年
10/04/06 09:34:43 j6aJM7uy0
>>263
実際は消えたのは4日になってから
265:名無しさん＠十周年
10/04/06 09:40:09 UmnlJEox0
被害者の会とか立ち上がらないの？
エロゲ買ったと漏らされた奴は泣き寝入りか？ｗｗｗｗｗ
266:名無しさん＠十周年
10/04/06 09:51:02 SZzhsPx70
経過報告の対応の遅さにびっくりしたわｗｗ
267:名無しさん＠十周年
10/04/06 09:56:29 EV7rCoOZ0
>>37でﾜﾛﾀｗｗｗ
268:名無しさん＠十周年
10/04/06 10:17:52 F/R2fxJy0
消した事自体は証拠隠滅というより他のサイトも似たような脆弱性突かれる事考えると正解だろう
269:名無しさん＠十周年
10/04/06 10:21:03 wNnxxLib0
昔半角板で特定のキーワードで検索したら海外のアダルトサイトのログイン後のページがヒットするスレッドが立ってたな。
270:名無しさん＠十周年
10/04/06 10:25:52 irJDhGSbO
>>261
ま、Googleだって「消せと言われたら無確認無条件に消します」と言うような会社じゃないし
実際に「特定のキャッシュデータを消せ」コマンド発行した所で
Googleのサーバーから消え去るまでは時間も掛かるだろうって所では。
271:名無しさん＠十周年
10/04/06 10:33:48 0ufFvHi90
まぁ あれだわな 多少金がなくても
ネットワーク／データベース／セキュリティ
外向けのシステムなら この3ポストだけは
しっかりしたプロなりチームなりを置いて欲しいな
272:名無しさん＠十周年
10/04/06 10:54:56 N6k4hsBF0
みんなも個人タイト立ち上げてCGI置いたりお勉強しておきましょうｗ
BLOGとか簡単な事に走りすぎ
273:名無しさん＠十周年
10/04/06 11:06:57 hNKdxqVn0
個人タイトでググったらなんか怪しいのが出たぞ
274:名無しさん＠十周年
10/04/06 11:13:51 bcf4m00j0
>>260
>>249の引用部分に対する指摘という点では、
君の言いたいことはわかるし、正論だと認める。
ただ、ちょっと落ち着いて、前後の流れで読んで貰えると有難い。
限られた情報による推測部分だから、間違いもあるかと思う。
言いたいことは、
>>238のこの部分
＞誠に遺憾ながら、先週３月２９日に弊社のサイト「メッセサンオー・ＰＣゲーム館」 の
＞お客様情報が漏洩していることが判明致しました。
この文面にある「3/29に判明」という日付をどう捉えたかです。
A.漏えいの開始が、3/29であることが判明
B.漏えいの事実を、3/29に店舗が確認した
今日のHPの告知では、Bであると報告されたのですが、
それ以前の段階では、文面に明確に表現されていない為、
Aともとれるし、Bともとれると思う。
私は、「Aであるならば、3/23のキャッシュの話とは矛盾するね」
と言いたかっただけです。
（Bであるならば矛盾しないのは、ご指摘の通りです）
3/29に把握していてこの有様だと、さすがにひどいと思い、
発生3/29、把握4/2だろうなという思いもあった。
「店舗側がいつ把握してどう対応したか」も重要なのはいうまでもないが、
「何が原因で漏えいしたのか？」ということを重視しているので・・・
275:名無しさん＠十周年
10/04/06 11:14:42 qAJw+d740
カオス館しか見てなかったけど、
まあこのフットワークの悪さも、こんなもんかなと思う。
276:名無しさん＠十周年
10/04/06 11:26:23 S3xCH1rl0
今回の被害者さんはあれですか
新宿2丁目を半裸で歩いててレイプされた人みたいなもんですか
277:名無しさん＠十周年
10/04/06 11:27:53 9+l/1z6n0
インベンターｗ
278:名無しさん＠十周年
10/04/06 12:24:56 XvJoKWz+0
>>276
有料便所で糞してたら、便所の中がいつのまにかとある方向から丸見えだった感じ
279:名無しさん＠十周年
10/04/06 12:46:36 A5PQEz+Y0
最新版は大丈夫なんじゃなかったの？
えｗ
280:名無しさん＠十周年
10/04/06 12:47:15 TonUBmgEO
>>231
>今回の件、4年前にも同じ事件起きてたんだな。
>URLﾘﾝｸ(www.pine.mynetwork.org)
この四年前の流出事件ってどういう経過になったのかな。
インベンターはやっぱり無傷だよね、今回までメッセのcgiも放置していたんだし。
インベンターの真価はcgiよりも流出逃げ切りノウハウにあるのか。
281:名無しさん＠十周年
10/04/06 12:52:32 A5PQEz+Y0
DMMは大丈夫だろうな・・・
282:名無しさん＠十周年
10/04/06 12:55:16 +7BIfSrX0
>>281
漏洩しない限り絶対大丈夫だから安心して！
283:名無しさん＠十周年
10/04/06 13:37:49 irJDhGSbO
>>274
なるほど、自分はメッセサンオーの説明を読んで
＞ B.漏えいの事実を、3/29に店舗が確認した
という解釈しか思い浮かばなかったもので。
ただそれより、メッセサンオーの説明ではすぐに「パスワード変更」した事になってるが
ν速では4月2日か4月3日にメッセサンオーの管理画面を
直接弄り回して遊んでる奴がいたっていう矛盾が気になる。
284:名無しさん＠十周年
10/04/06 13:41:37 ooXrVQxx0
見るからに怪しいサイトで笑ったｗ
こんなところに委託するほうにも問題あるだろｗ
285:名無しさん＠十周年
10/04/06 13:46:29 v8uqcx4lP
ブラウザをGoogleChoromeじゃなくてIEだったら流出を防げた
これは情報を鯖に勝手に送信してるんだよね
286:名無しさん＠十周年
10/04/06 13:48:04 owEsl9wAO
もうこの件に関してはインベンターじゃなくてインベーダーで統一していいんじゃないか
287:名無しさん＠十周年
10/04/06 13:56:00 S3xCH1rl0
>>278
なんか納得できた
あれだよね普通に風俗行っただけなのに
女が年ごまかしてたせいで淫行で逮捕された人にも
何となく通じるもんがあるよーな
288:名無しさん＠十周年
10/04/06 14:03:55 bcf4m00j0
>>283
まずは、ご理解頂きありがとうございます。
＞ただそれより、メッセサンオーの説明ではすぐに「パスワード変更」した事になってるが
＞ν速では4月2日か4月3日にメッセサンオーの管理画面を
＞直接弄り回して遊んでる奴がいたっていう矛盾が気になる。
そうそう、これに関しては、疑問がわいてきた。
ｽﾚﾘﾝｸ(hgame板:938番)
↑の内容が気になってる。
＞このページは 2010年3月23日 15:31:58 GMT に取得されたものです。
＞そのため、このページの最新版でない場合があります。
＞管理画面のGoogleキャッシュを見たら、
＞3/29以降でも管理画面に入れたらしいパスワードと同じなんだよね
＞パス変えたのもCGIのファイル名変えたのも大嘘
この3/23時点のキャッシュのパスワードが、
2chでばれた例のパスワードと同じらしい
どういうこと？って感じ・・・
289:名無しさん＠十周年
10/04/06 14:18:46 51vCSecA0
>>271
その「プロ」に頼んだ結果がこれなんだろきっとｗ
290:名無しさん＠十周年
10/04/06 14:23:52 bcf4m00j0
>>289
まぁ、あれだ。
名医かヤブ医者かを見抜けなかったってことだ。
美容整形外科とかでもトラブルあるみたいだしな。
昨日NHKでやってたが、ひどいもんだ。
291:名無しさん＠十周年
10/04/06 14:28:33 wNnxxLib0
>>289
「プロ」でも値段が数万円のシステムだからなぁ・・・
292:名無しさん＠十周年
10/04/06 14:30:31 51vCSecA0
＞超高機能カート
＞PCtoMobile(58,000円)PC携帯連動・人気NO.1（⇒詳細）
安すぎｗｗ
293:名無しさん＠十周年
10/04/06 14:30:45 9ztqEXvp0
素人がプロ名乗って偉そうにしてる場合と、
経験積んだ人がプロ名乗って偉ぶらない場合とでは
前者の方がスゲーとか思われるのが世の中だよ。
294:名無しさん＠十周年
10/04/06 14:32:37 Fn407hun0
民主党が政権取ってるのとメッセ流出事件は根っこが同じですわ
295:名無しさん＠十周年
10/04/06 14:39:53 JM6zfYFB0
つか3/29の時点で被害者にはメール連絡してないとダメだろ
296:名無しさん＠十周年
10/04/06 15:27:06 HrHXwiI60
セキュリティリスク説明してある程度の値段提案した開発会社あっても
そんなのはその時考えるって言い張って安いとこ選んだ結果だろｗ
こういうの未必の故意って言うんだよなｗ
297:名無しさん＠十周年
10/04/06 15:33:26 Ydg0PDUi0
メッセサンオーってキモい奴が集まってる店か
298:名無しさん＠十周年
10/04/06 17:20:29 kPrlqpHv0
test
299:名無しさん＠十周年
10/04/06 17:25:12 kPrlqpHv0
中卒で情弱の俺がネットショップやるときは、
fc2やカラメルとかにするべきだと学ばせてくれた
ニュースだ。ありがとう。
300:名無しさん＠十周年
10/04/06 18:06:37 qOlgloPAP
>>37
ひどすぎる…
301:名無しさん＠十周年
10/04/06 18:34:50 qOlgloPAP
>>292
安いのか、普通どれくらいなんだろう
302:名無しさん＠十周年
10/04/06 19:20:15 WrRP5n9ti
発明じゃなくて騙す方のinvent?
303:名無しさん＠十周年
10/04/06 20:30:38 NE5PEsM80
>>259
>パスワード忘れて問い合わせたら、自分の設定したパスワードそのものを教えてくれた所が。
2ch...
304:名無しさん＠十周年
10/04/06 21:30:07 WrRP5n9ti
ユーザー登録した後に送られてくる確認メールにパスワードが書かれてるシステムは信用すべきでない。
305:名無しさん＠十周年
10/04/06 22:40:48 bcf4m00j0
「現在までの対応」に修正きてるね
URLﾘﾝｸ(www.messe-sanoh.co.jp)
・CGI開発会社と相談。
当初記載の4/2ではなく、3/31であった模様。
→この時点で相談はうけてたのね・・・
・警視庁サイバー犯罪対策室と相談。
当初記載の3/31ではなく、4/2であった模様。
→結局、2chで大規模に発覚した後に通報ってことですか・・・
306:名無しさん＠十周年
10/04/06 23:51:41 Fn407hun0
古いバージョンのCGIだからURLにパス入ってたのかと思っていたけど
メッセの流出事件の後で慌ててURLにパス入らない版を作ってるのね
307:名無しさん＠十周年
10/04/07 01:16:40 nUrwGSOz0
>>301
常識的に考えて１人工\50,000位だろ？
10人が一ヶ月で開発したとして200人工程度の仕事だとすると
一億程度かかるんじゃないの？
それを100件に販売して元を取ると考えたら一件100万な訳だが
308:名無しさん＠十周年
10/04/07 01:32:44 TLkfKuC6P
>>307
それくらい違いがｗ
でも同じcgi使ってるとこ他にも一杯あるみたいだよね
メッセは違ったけど小さいとこの通販はあまり使わない方が良いのかな
309:名無しさん＠十周年
10/04/07 01:39:05 DThAllU/0
一桁ちがう
310:名無しさん＠十周年
10/04/07 12:38:21 gvkOgF8O0
WEBインベンターのサイト変遷をウェブアーカイブで追っていくと楽しいよ
URLﾘﾝｸ(web.archive.org)
住所はこのように変わってる
〒310-0013 茨城県水戸市若宮1-7-15-103
（参考）県営若宮団地 15号棟 URLﾘﾝｸ(www.ijkk.jp)
↓
〒310-0851 茨城県水戸市千波町611-9 IKﾊｲﾂ103
（参考）IKハイツ URLﾘﾝｸ(archive.homes.co.jp)
↓
〒310-0022 茨城県水戸市梅香1-2-25-204
（参考）ロイヤルヒルズ梅香 URLﾘﾝｸ(archive.homes.co.jp)
311:名無しさん＠十周年
10/04/07 18:40:25 EpRS6vky0
>>301,307
普通の中小の制作業者でもこの手の開発だと、30万は取る。５万というのはいくらなんでも安すぎ。
５万の仕事と考えると分相応のセキュリティーだろ。
そもそも、こんなもんは素人のCGIだと、言っているようなヤツには、じゃあ、お前は同じものを５万で
ちゃんとセッション管理のセキュリティー対策を施して作れますか？と聞きたい。
少なくとも、５万じゃあ、そもそも生活もできないし、仕事にはならない。
そんな仕事に完璧なセキュリティー対策を求めても無駄。
312:名無しさん＠十周年
10/04/07 19:58:25 gvkOgF8O0
>>311
安いから許されるというものではない。
そのようなまがい物しか作れないなら、最初から商売しなければよい。
騙される客がバカといえばそれまでだが、>>310 に示すように楽して着実に儲けているみたいだ。
だれか水戸市に住んでるやつ、スネークしてこいよ。
313:名無しさん＠十周年
10/04/07 20:21:20 TLkfKuC6P
>>311
いや、買う側は言外にセキュリティー面も求めている、付属されているものだと思っているだろうから
セキュリティ云々わからない素人に詐欺を働いたと言われてもしかた無い
詐欺に合う方が悪い、犯罪にあった被害者の方が悪いというレス
元からそんな安価で作るとこがおかしいんじゃないか
CGIを他の品物に置き換えてみたらわかることだと思うけれど
314:名無しさん＠十周年
10/04/07 20:24:22 TLkfKuC6P
途中送信しちゃったorz
315:名無しさん＠十周年
10/04/07 20:24:31 JWWPHXU70
>>313
> 元からそんな安価で作るとこがおかしいんじゃないか
> CGIを他の品物に置き換えてみたらわかることだと思うけれど
トヨタ車のことですね。わかります
316:名無しさん＠十周年
10/04/07 20:25:50 sE1cO7P60
>>310
それは出世しているという意味なのか？
まったくわからん。
317:名無しさん＠十周年
10/04/07 20:33:28 yx60BGSr0
こんな高校生レベルの内容で仕事になるのが驚き
儲かってるのかな
318:名無しさん＠十周年
10/04/07 20:35:07 3nNFYjru0
>>293
中途半端にかじってる奴までは前者に騙されるケース多し
319:名無しさん＠十周年
10/04/07 20:40:19 FcNY/z+8O
>>310
＞ （参考）県営若宮団地 15号棟 URLﾘﾝｸ(www.ijkk.jp)
県営団地ってのも凄い出発点だなあ。
320:名無しさん＠十周年
10/04/07 21:05:21 wSAd1D7k0
メッセで登録したパスワードがわからんｗ
5年前に会員登録して何も買ってないのに巻き添えだ・・・ORZ
321:名無しさん＠十周年
10/04/07 21:16:53 t2bBlzdxO
以前の流出事件後、同じ原因でさらに大規模な流出がおきた流れは、
他の品物で考えるとどんな感じ？
322:名無しさん＠十周年
10/04/08 01:15:49 5N37vzb90
>>321
倉庫の鍵を入口のポストの中に入れていたぐらいな感じかｗ
323:名無しさん＠十周年
10/04/08 01:17:20 eipeOb9dP
鍵はここって目印とともに？
324:名無しさん＠十周年
10/04/08 01:27:58 RIh6PNWx0
というより鍵穴に挿したままレベルかな
325:名無しさん＠十周年
10/04/08 01:56:21 YuJCuMNW0
頭がフットーしそうだな
326:名無しさん＠十周年
10/04/08 03:15:43 1Kdh/yJ/0
>311
phpでアフターなしなら15万くらいなら請けるかも
327:名無しさん＠十周年
10/04/08 03:22:02 /66ibd1o0
場末のプロの仕事そのものだな。
時間とプライドがある素人のCGIの方がマシ。
328:名無しさん＠十周年
10/04/08 09:28:26 JUxBw23y0
verupきたらしいよー
あいかわらず日本語へんだよー
XSSについては書いてないよー
329:名無しさん＠十周年
10/04/08 09:33:41 FmNWd3A10
キャッシュを消すようにグーグルに注文できないのかな？
グーグル自身は意図的に集めてるわけじゃないだろうが
個人情報ダダ漏れのままじゃ流石に問題だろ
330:名無しさん＠十周年
10/04/08 09:46:46 WpCbIlpE0
>>329
キャッシュなんかもうとっくに消してるだろ。メクラかよ。
検索結果自体は残ってて、そのURLにユーザーのID(メアド)とパスワードが含まれてる点は問題だが。
Googleが消すのを拒否してるのか、メッセもGoogleもそれ(パスワードがある事)に気付いていないのか。
331:名無しさん＠十周年
10/04/08 09:57:44 kW5DDCcB0
管理プログラムのセキュリティーの向上 ２０１０年０４月０７日
URLﾘﾝｸ(mag.wb-i.net)
332:名無しさん＠十周年
10/04/08 10:19:08 Rs2mTr9N0
>>313
売り文面見てないからアレだが、web上で動くこの手のものにセキュリティはあって
然るべき、ってのはわかる。
詐欺と言われても仕方ないが、だからといって法的に責任があるかというと微妙。
あと安価だからおかしい、というのは違うと思うぞ。高ければいい問題でもない。
無知故に問題が起きてるのは事実で、結局、webサイト運営者の知識がなさ過ぎることと、
セキュリティに対する考えが希薄過ぎること。
サービス提供者側のレベルを上げるか、制度的なものを作って制限する、あるいは
ガイドラインを設けてマーク付けるとか、そういうのしていかないといつまでも同じだね。
どんだけ一部の人が啓蒙したって無理。
実際ガイドラインはあるんだけど、強制力も何も無いから事実上役に立ってないし、
利用者も大丈夫なのかどうか判断することが出来ないままだ。
333:名無しさん＠十周年
10/04/08 12:12:56 txVPMCKy0
URLﾘﾝｸ(wb-i.net)
この ip_check.pl ってのは許可したいIPに部分一致するIPが制限されずに通るね
0.0.0.1 を許可IPにしても 10.0.0.123 が来れば制限通過
なんで eq じゃなくて =~ 使うのかわからん
334:名無しさん＠十周年
10/04/08 12:27:02 SA1GhZYi0
>>333
部分一致である必要があるからでしょ。
その実現方法が手抜きなのが問題なんだが、eqにしてしまっては意味がない。
335:名無しさん＠十周年
10/04/08 12:28:19 9pQJX3sc0
おおかたの自称IT会社は大量の派遣ITドカタを抱える中小にまるなげ
日本のIT界は中国人もひくレベル
336:名無しさん＠十周年
10/04/08 13:55:51 h1Fx/jR+0
技術力の無さに眩暈がしてくる
337:名無しさん＠十周年
10/04/08 14:11:08 p1s9B4Bo0
804 名無したちの午後 [sage] 2010/04/08(木) 13:28:12 ID:RwGgJX+r0
メッセ－のホームページに告知来たね－
これ神対応じゃね？
805 名無したちの午後 [sage] 2010/04/08(木) 13:33:46 ID:hpW8PG0I0
何も変わってないと思うんだが
814 名無したちの午後 [sage] 2010/04/08(木) 13:56:40 ID:RwGgJX+r0
あ、ごめん、まだ更新されてなかった
メッセサンオー工作員、
馬鹿なので更新前に書き込んじゃったの巻ｗｗｗ
338:名無しさん＠十周年
10/04/08 17:27:19 Y2sbYux90
ＷＥＢインベンターといい、メッセサンオーといい、どうしてこうもバカばっかりなんだ。
339:名無しさん＠十周年
10/04/08 17:35:38 Dai0B8AA0
類は友を呼ぶとか何とか
340:名無しさん＠十周年
10/04/08 19:01:45 36mmX6lr0
>>337
結局釣りだったんじゃね？
341:名無しさん＠十周年
10/04/08 19:25:52 CtcxN4ru0
釣りにもなってねえ。かまって欲しいだけの残念なヤツだろ。
342:名無しさん＠十周年
10/04/08 19:54:51 mqGn/1eh0
インベンターCGIの流出事件が再発であることはあまり
重視されてないのか
343:名無しさん＠十周年
10/04/08 20:21:34 1GNbiJUy0
管理プログラムのセキュリティーの向上 ２０１０年０４月０７日
一度ログインに成功したらクッキーが生きているかぎり、嘘のパスワードでも認証通る。
344:名無しさん＠十周年
10/04/08 21:02:40 rGS7dJhf0
>>343
kwsk
345:名無しさん＠十周年
10/04/08 21:35:03 OkZFblUx0
>>333
多分「ビットマスク」っていう概念を理解できてないんだと思う。
・・・・・っていうか、その書き方だと正規表現の概念すら理解してないんじゃないのかと思う。
346:名無しさん＠十周年
10/04/08 22:06:23 SA1GhZYi0
>>345
理解してないのか、たまたまマッチしたりしないだろう、といういい加減な考えか。
必ず部分一致になってしまう以外に.(ドット)の部分が何にでもマッチしてしまうという問題がある。
全ての顧客に^と$とバックスラッシュを使って正規表現を書かせるのは無理があるし、
ネットワーク単位での指定ができないから、正規表現をそもそも使うべきではない所ではないかと。
347:名無しさん＠十周年
10/04/08 22:33:34 1GNbiJUy0
if (!hasCookie) {
autheticate(uid, pass);
} else {
// invalidate();
}
348:名無しさん＠十周年
10/04/08 22:49:46 36mmX6lr0
>>347
うは・・
ほんっとに素人が作ってるんだな・・
俺は今すぐには悪用は思いつかないけども
確実に誰かに悪用されるぞこれ
349:名無しさん＠十周年
10/04/08 22:55:05 Y4y2GT4B0
>>348
// invalidate(); /* 夏になったら本気出す 2010.04.08 */
350:名無しさん＠十周年
10/04/08 22:57:39 jyMMJRHq0
>>333
ip_check.plの書き様があまりにも素人過ぎる。
perlの素人というよりプログラミングの素人という感じだな。
このレベルの人間がプロとして顧客情報管理CGIを
請け負うのだから世の中は恐ろしい。
351:名無しさん＠十周年
10/04/08 23:58:38 1GNbiJUy0
パーミッションは604で良いと思います。たぶん。
352:名無しさん＠十周年
10/04/08 23:59:58 fPiajbUYO
四年前から指摘されていたのに、たいした改善もなかった。
改善しなくても商売としては成り立ってしまっていた。
353:名無しさん＠十周年
10/04/09 00:01:34 eFDf0C9r0
エロゲースレとか、メーカー工作員と思われる奴がウヨウヨいる
354:名無しさん＠十周年
10/04/09 00:40:41 5dhRcTXo0
>>346
> 正規表現をそもそも使うべきではない所ではないかと。
「正規表現を使ってる」という発想すらないんじゃないか、このWebインベンターの人。
てーか、requireで他のperlスクリプトインクルードして使おうとするなら、
そのインクルード対象のスクリプトは最後に
1;
とか書いておくのがお約束だと思ってたが違ったっけか。
355:名無しさん＠十周年
10/04/09 00:41:51 JITZTXSEP
あげ
356:名無しさん＠十周年
10/04/09 00:43:55 arXePVYD0
やっぱり発注する側にもそれなりの知識は必要だと、あらためて思う吉宗であった
てか、ほんとPCとネットは最低限の知識が浸透する前に拙速で普及しちまった感があるなぁ。
357:名無しさん＠十周年
10/04/09 00:54:46 1KwJhZii0
>>333
$ip = '^0\.0\.0\.1$';
として通過させるIPアドレスを指定すればいいわけで、そこは突っ込むところじゃないと思う。
けど、メッセサンオーの担当者がそうかくとは思えないが、
358:名無しさん＠十周年
10/04/09 00:55:08 1VEfufWw0
ネットは進化しているのに日本人の脳は退化しているからな
359:名無しさん＠十周年
10/04/09 01:00:21 EvMYKlce0
>>356
消費者として利用するという点では、
PCとネットに限った話でもないとは思う。
商売として利用するなら、最低限の知識は必要だが、
何をもって最低限とするかの判断や規制が出来てないのが現状ってところか。
他業種なら、国家資格や免許とかあるんだろうけど。
ITは・・・
360:名無しさん＠十周年
10/04/09 01:02:24 cPxo91Vd0
>>9
＞（株）ウルトラ・ヴァイヴ
名前からして、ここの名簿が流れたら阿鼻叫喚の地獄になるに違いない。
361:名無しさん＠十周年
10/04/09 01:13:21 y6K7V6Lf0
>>360
確かに音楽関連の趣味がバレるのは、相当恥ずかしい。
362:名無しさん＠十周年
10/04/09 01:16:59 dYU24nWx0
>>347
一度も認証に成功してなくてもCookieさえあれば、通りそうに見えるけど
//って、コメントアウト……？
>>354
それについては>>331のページに「1←←必要」というわからん人にとっては謎の記述が。
>>357
そう書けと言っていないんだから、突っ込む所どころか
脆弱性そのものだと思うんだが……いろんな考え方があるもんだな。
363:名無しさん＠十周年
10/04/09 01:18:13 JZkyGu7a0
>>360
URLﾘﾝｸ(www.ultra-net.jp)
364:名無しさん＠十周年
10/04/09 01:29:22 ALt0yBnX0
4/3にとっといたリストとちゃうな
古いデータのキャッシュかな
365:名無しさん＠十周年
10/04/09 01:45:46 yEet8dea0
以前、外に繋がってない社内ネットワーク限定のシステムってことでお手軽にgetばかりのアプリ組んだら、
プログラムをロクに知らない奴からセキュリティを知らなさ過ぎると貶されたことがあったなぁ
締めるところと緩めるところを勘違いしてるほうがセキュリティ的に問題だろうに…
366:名無しさん＠十周年
10/04/09 02:03:49 1VEfufWw0
>>365
おまえからはインベーダーの臭いがするよ
367:名無しさん＠十周年
10/04/09 02:10:33 UZdmwFH90
くんくん！
368:名無しさん＠十周年
10/04/09 02:35:16 kNCMehkD0
インベーダーの自社サイト、home page builderで作成したページがあるんだよね。
まあ、home page builderが悪いわけじゃないけど、まあ、不安になりますわな。
年齢的に４５～５５歳ぐらいで、PHPとか、フレームワークとか知らない古い世代の
人なんだろうな。その年代のひとって、セキュリティの概念て、
パスワードとか、LINNUXのパーミッションとか、その程度しか無いんだよね。
googleとか無い時代に育ったんで。 もう、仕事やめて、隠居したほうが良いよ、たぶん。
369:名無しさん＠十周年
10/04/09 02:44:32 JZkyGu7a0
>>368
勝手に世代の違いにされてはかなわん。
単にヤツが不勉強な愚か者なだけだろうが。
370:名無しさん＠十周年
10/04/09 02:46:13 kNCMehkD0
>>369
あ、ごめん、
言いたかったのは、そのくらいの時代の知識で独立して、勉強しないでコーディングばっかりしてる人って
意味で書きたかったんだ。謝る。
371:名無しさん＠十周年
10/04/09 06:44:10 5dhRcTXo0
>>362
> それについては>>331のページに「1←←必要」というわからん人にとっては謎の記述が。
おお、そんなところに書いてあったのか！
・・・・ってそんなところに書かずに元ソースに書いとけって気がするがｗ
でも、「1;」を書く場所あれじゃ分からんだろ・・・・。
> そう書けと言っていないんだから、突っ込む所どころか
> 脆弱性そのものだと思うんだが……
サンプルでも普通に
> #複数登録するときは、カンマで区切って追加。
> $login_check_ip ='220.122.95.169,200.142.97.169';
とか書いてるしなぁ。
372:名無しさん＠十周年
10/04/09 07:01:25 rYfUdTNi0
セキュリティに詳しくない俺にB型H系でうまく例えて
373:名無しさん＠十周年
10/04/09 07:06:02 y6K7V6Lf0
>>372
絶対に入れちゃダメ。
と言いながら、濡れﾏﾝフルオープン状態。
M字開脚で、ベッドに寝そべって、お前の
角度に合わせて受け入れ態勢万全。B。
でも、入れちゃダメ。
相手が入れちゃダメって言ってる以上、
いくら受け入れ態勢万全であっても、不正
挿入になるから注意。B。
374:名無しさん＠十周年
10/04/09 07:21:54 cMABb0e30
＞メッセサンオーのスクリプトは2004年の物
2004年でも、GETで平文パスワードはあり得ない話だったが…
375:名無しさん＠十周年
10/04/09 07:34:20 EvMYKlce0
>>374
その時代より前のDNAをもった化石が、今回大量に発掘されただけです。
376:名無しさん＠十周年
10/04/09 07:46:03 fZzgX3VYO
で結局、Google先生にURL教えたのは誰なんだろね。
やっぱりchromeかツールバーなんだろかね。またはGoogleブックマークかgmailか。
Yahoo!もbingもURL拾ってない以上、グローバルな領域に曝されてたわけでは無さそうだし。
377:名無しさん＠十周年
10/04/09 07:51:43 /c4UzTmY0
これこそ魚拓とったんだろうな
378:名無しさん＠十周年
10/04/09 10:13:34 FmA6LVFt0
ひさびさにノーガード戦法の極地を見た
あえて、じゃなく、せいいっぱいってところがまたかわいい
379:名無しさん＠十周年
10/04/09 10:16:36 slui0Ilr0
問い合わせを受けた時に自社のシステム上で顧客を捜すよりGoogle先生に
聞いた方が早いという斜め上の運用だったんじゃないだろうか
380:名無しさん＠十周年
10/04/09 10:22:06 OFAqOtaM0
>パスワード付きのＵＲＬを一時的にもホームページで公開しないようにしてください
公開する理由あるのか？