「@nifty掲示板に重大なXSS脆弱性が発覚」記事へのコメント

エンジニアの質が低すぎるのでは

[Anonymous Coward]

楽天日記はまだスタイルシートが無制限に使えて画面偽装出来るようですが何か。

楽天日記の場合、タグのサニタイジングは要素名で判断、Javascript対策は全文検索をかけて半角文字でdocumentのような javascriptで使われる文字列が見つかると危険と判断しているようです。ユーザーも困っているようで苦情書き込みも見つけました。半年前まで興味深く見守り何度か間接的に注意を投げましたがこんな状況です。
楽天日記はログインしたままでユーザー間の日記を往復しているユーザーが多く、また奪ったアカウントは買い物や個人情報のアクセスにも使えるためセッションを奪え

Re:エンジニアの質が低すぎるのでは

[Anonymous Coward]

ああ、そうそう、大手掲示板といえばallaboutの掲示板もそうでしたね。ガイドの方が中心になって指摘を続け最後は閉鎖とか逃げ腰な対処になっていたような記憶があります。ついでにそのガイドさんは干されました。まぁそのガイドさんも更新ペースなど規約を守っていなかったので仕方ないと思いますが。
# 眠気に任せて暴走中

Re:エンジニアの質が低すぎるのでは

[office (5894)]

Allaboutは酷かったですねぇ。あ、過去形じゃないですね。
関係者とお見受けします。私の知ってる人かも知れませんね。お疲れ様です。

スレ元の楽天は調べたことがありませんが、MyYahoo!のシステムも酷いもんでした。一々報告してられません。利用してるわけでもないし。

tcupも昔はとても素早く対応してくれたのですが、今や報告しても完全に無視されたままです。

掲示板の記事にタグが書き込めるとまずいということは、XSSの概念が知られるよりずっと以前から判っていたことですし、危険性は非常に高いです。

ブラウザのバグをついてPCに感染するJavaScriptで記述可能なウイルスなどもありますし、また、掲示板そのものを媒介として、掲示板を渡り歩くウイルスというのも可能です。

さらに、他サイト（１サイトとは限らない）の攻撃コードを、掲示板読者に密かに踏ませ、自分は手を汚さずに、対象サイトを停止させたり、時にはBackDoorを仕掛けさせたりすることも可能です。

--
office