| No.000027 | セキュリティーホール |
| Date : | Feb.27.2002 00:17'29 |
| Author : | れろれろ＠ふみ |
| Topic : | 記述的なこと |
| Parent Article : | http://www.limo.fumi2kick.com/fbbs/lmbbs.rhtml?id=21 |
|
あー、URI 埋め込みがどうのという話があったけど、その観点で言うと現時点のシステムにもセキュリティーホールがあることになるなあ。 左のアイコン画像の指定で、write.rhtml から直接 URI を bbs_post.cgi に送っているけど、それって悪意のある人が手元に改造 write.rhtml を置いてそれでポストしたらあらゆる URI がアイコンとして <IMG> タグに入れ込めてしまう。 (穏便なところでは広告バナーとか) write.rhtml からはインデックス名だけ渡して URI への変更は bbs_post.cgi の中でやらないとダメだね。 |
|
|
|