アカウント名:
パスワード:
最新のソースコードだけでなく、過去の間違いも全部盗まれるって事ですよね…
なんて場合が露呈することだ。当然「残っているソースコード中から同じパターンを探す」事をすれば、同じような間違いはまだ何個か残っているだろう。その中にはセキュリティホールになったり、裏技的な使い方ができたりするものも含まれているだろう。
というわけで、これはかなり手痛い場合がありえますね。
あぁ… orz
かなり根本的なところを間違えてしもた。# ついでに、私が普段リポジトリをどういう名前のディレクトリの下に置いているのかもばれてしもた…。
過去の間違いも全部ということはなくて、baseファイルだけかと。
# Webサーバ上に.svnやCVSがあるということは、Webサーバ上で# ファイル更新を行っているケースが結構あるということなのかなあ。
最新のマニュアルを公開するのに、exportではなく、checkoutしたのをupdateしています。毎回全部取り出すよりは差分だけの方が環境にやさしいかなと思いまして。.svnに関してはSubversionに移行した時に気が付いたので、サーバ管理者に連絡してアクセスできなくして貰った [osdn.jp]という事があります。
最新のマニュアルを公開するのに、exportではなく、checkoutしたのをupdateしています。 毎回全部取り出すよりは差分だけの方が環境にやさしいかなと思いまして。
ネットワーク負荷を下げるためなら rsync [samba.org] もお勧めです。 rsync だと転送元にも転送先にも管理用ファイルを作らずに差分だけ転送できます。
とりあえず、このへんにぶら下げましょうか。
mod_python なんかだと、(多分、mod_perl や php でも同じ)ソースコードに Basic認証の username/password を書けたりしちゃう [python.jp] ので、ソースを読まれたら相当痛い事になります。
例えば CGI を作成するときに、Apache の設定 [apache.jp]で、ScriptAlias [apache.jp] を使うのか、Options ExecCGI [apache.jp] を使うのかを比べてみると、前者の方は原則スクリプト以外は置けないので、そこやサブディレクトリにあるソースを読む事はできないことなんじゃないかと思います。
スクリプトと同じディレクトリに画像を置きたいとか、Apache でよくある事例なんですが、セキュリティ的には、スクリプトと同じディレクトリには置けない方が安全というような考察も必要ってことです。
すみません、mod_python の例は、こちら [python.jp] の方がよかったかも。
あと、推敲してるつもりが乱文になってますが、笑って見逃してください。m(__)m
教祖様の場合は、経験に基づいた話が多くてきっとそんな恥ずかしいパターンを火消ししまくったことがあるんだろうなー
......と邪推。
より多くのコメントがこの議論にあるかもしれませんが、JavaScriptが有効ではない環境を使用している場合、クラシックなコメントシステム(D1)に設定を変更する必要があります。
ハッカーとクラッカーの違い。大してないと思います -- あるアレゲ
そ…それは単純にソースコードを盗まれる以上に痛い… (スコア:1)
最新のソースコードだけでなく、過去の間違いも全部盗まれるって事ですよね…
なんて場合が露呈することだ。当然「残っているソースコード中から同じパターンを探す」事をすれば、同じような間違いはまだ何個か残っているだろう。その中にはセキュリティホールになったり、裏技的な使い方ができたりするものも含まれているだろう。
というわけで、これはかなり手痛い場合がありえますね。
fjの教祖様
Re:そ…それは単純にソースコードを盗まれる以上に痛い… (スコア:3, 参考になる)
例えばGitなら.gitの中身に履歴全部詰まってますし、git clone http://www.example.com/.git とか打てばまるっとクローンできますけど。 (SubversionのhttpアクセスにはDAVが要るけど、Gitは要らない。)
Re:そ…それは単純にソースコードを盗まれる以上に痛い… (スコア:3, おもしろおかしい)
あぁ… orz
かなり根本的なところを間違えてしもた。
# ついでに、私が普段リポジトリをどういう名前のディレクトリの下に置いているのかもばれてしもた…。
fjの教祖様
Re:そ…それは単純にソースコードを盗まれる以上に痛い… (スコア:2)
過去の間違いも全部ということはなくて、baseファイルだけかと。
# Webサーバ上に.svnやCVSがあるということは、Webサーバ上で
# ファイル更新を行っているケースが結構あるということなのかなあ。
Re:そ…それは単純にソースコードを盗まれる以上に痛い… (スコア:1)
最新のマニュアルを公開するのに、exportではなく、checkoutしたのをupdateしています。
毎回全部取り出すよりは差分だけの方が環境にやさしいかなと思いまして。
.svnに関してはSubversionに移行した時に気が付いたので、サーバ管理者に連絡してアクセスできなくして貰った [osdn.jp]という事があります。
Re:そ…それは単純にソースコードを盗まれる以上に痛い… (スコア:2)
ネットワーク負荷を下げるためなら rsync [samba.org] もお勧めです。 rsync だと転送元にも転送先にも管理用ファイルを作らずに差分だけ転送できます。
Re:そ…それは単純にソースコードを盗まれる以上に痛い… (スコア:1)
含まれていないと思いますが?
まぁ、.svnなら修正前のオリジナルはあるでしょうけど。
Re:そ…それは単純にソースコードを盗まれる以上に痛い… (スコア:1)
とりあえず、このへんにぶら下げましょうか。
mod_python なんかだと、(多分、mod_perl や php でも同じ)ソースコードに Basic認証の username/password を書けたりしちゃう [python.jp] ので、ソースを読まれたら相当痛い事になります。
例えば CGI を作成するときに、Apache の設定 [apache.jp]で、ScriptAlias [apache.jp] を使うのか、Options ExecCGI [apache.jp] を使うのかを比べてみると、前者の方は原則スクリプト以外は置けないので、そこやサブディレクトリにあるソースを読む事はできないことなんじゃないかと思います。
スクリプトと同じディレクトリに画像を置きたいとか、Apache でよくある事例なんですが、セキュリティ的には、スクリプトと同じディレクトリには置けない方が安全というような考察も必要ってことです。
Re:そ…それは単純にソースコードを盗まれる以上に痛い… (スコア:1)
すみません、mod_python の例は、こちら [python.jp] の方がよかったかも。
あと、推敲してるつもりが乱文になってますが、笑って見逃してください。m(__)m
Re: (スコア:0)
Re: (スコア:0)
教祖様の場合は、経験に基づいた話が多くて
きっとそんな恥ずかしいパターンを火消ししまくったことがあるんだろうなー
......と邪推。