Wemoへの要望などの変更点

追加された行はこの色です。
削除された行はこの色です。
Wemoへの要望などへ行く。
Wemoへの要望などの差分を削除
[[Wemo]] | [[TSNETスクリプト通信第2号]] | [[セキュリティ]]
*Wemoへの要望など [#t519c209]
-書き込みルール (2008-09-15)
--要望でも質問でも感想でもなんでも適当に書き込んでください。
--日付けとニックネームを記載してください。
----
-001 (yyyy-mm-dd形式日付、ニックネーム)
~ここに書き込んでください。(この行、消去可)
~ここに書き込んでください。
----
-002 (2008-09-19 Zazel)
~クロスサイトスクリプティングとかクロスサイトリクエストフォージェリとかいろいろある穴はどうするつもりなのかなあというのが心配&worried;。
--002-001 (2008-09-20 jscripter)
~や、やはり、ありますかね^^;)入力をチェックしていないので頭に浮かんだのは、検索文字列の入力ですが、これは検索に使われるだけなので表示によって問題がおきるわけではない・・・いやいや、検索文字列を表示しているか^^;)これはタグの入力を受け付けないように対応が必要ですね(テストサイトの検索文字列はタグを受け付けないように変更した。配布サンプルには現時点で含まれていない)。メモ文字列のテキストエリア入力は、書式による入力でないと受け付けないので、問題ないと考えていたのですが・・・メモ入力は、通常はタグがあると読まずにスキップする仕様としている。スキップしない場合は、実体参照文字に置換される。
---[[クロスサイトスクリプティング - Wikipedia:http://ja.wikipedia.org/wiki/%E3%82%AF%E3%83%AD%E3%82%B9%E3%82%B5%E3%82%A4%E3%83%88%E3%82%B9%E3%82%AF%E3%83%AA%E3%83%97%E3%83%86%E3%82%A3%E3%83%B3%E3%82%B0]]
---[[＠IT：クロスサイトスクリプティング対策の基本:http://www.atmarkit.co.jp/fsecurity/special/30xss/xss01.html]]
---[[クロスサイト・リクエスト・フォージェリ：ITpro:http://itpro.nikkeibp.co.jp/article/COLUMN/20051104/224010/]]
---[[クロスサイトリクエストフォージェリ - Wikipedia:http://ja.wikipedia.org/wiki/%E3%82%AF%E3%83%AD%E3%82%B9%E3%82%B5%E3%82%A4%E3%83%88%E3%83%AA%E3%82%AF%E3%82%A8%E3%82%B9%E3%83%88%E3%83%95%E3%82%A9%E3%83%BC%E3%82%B8%E3%82%A7%E3%83%AA]]
~クロスサイトリクエストフォージェリについては初めて聞いたので、勉強します。認証の問題は、まだ僕のこれからの研究課題なので・・・今のところ、Wikiのように誰でもメモを書けるし、変更できる。

--002-002 (2008-09-21 Zazel)
~机上だけのチェックなので間違っているかもしれないけど、例えばwemo_save.cgiのメモ文字列でいえば、タイトル(T:)にタグが含まれていればそのまま素通ししているように思えます。
~クロスサイトリクエストフォージェリは対策が面倒なので、おいおいということで…。せめてMETHOD=POSTをチェックするだけでも、少しは足しになるかも。

--002-003 (2008-09-21 jscripter)
~$inswの条件判定の直後、$line =~ /&lt;.+&gt;/であれば、スキップするようにしています。その後、タイトル文字列などの条件判定が並んでいますから、大丈夫だと思います。
~METHOD=POSTのチェックについてまず勉強してみます^^)

--002-004 (2008-09-22 Zazel)
~「<」と「>」が同一行になければスルーです。

--002-005 (2008-09-22 jscripter)
~確かにそうですね。甘いかなと思ってはいたのですが^^;)
~/[&lt;&gt;]/に変更しました。ありがとうございました。→ [[Wemo]]
TSNETWiki
