「「.svn」「CVS」ディレクトリを狙ってWebサイトの非公開ファイルをゲット 」記事へのコメント

そ…それは単純にソースコードを盗まれる以上に痛い…

[okky (2487)]

最新のソースコードだけでなく、過去の間違いも全部盗まれるって事ですよね…

1. 単純に考えても、恥ずかしい失敗がたくさん露呈するって事で、もうその段階で十分恥ずかしい
2. が、本当に問題なのは、
   1. ある、一定パターンで間違える人がいて、
   2. そのパターンで大量に間違いを生産し、
   3. それをテストで発見したり別の人が直したりして大半は潰した、

   なんて場合が露呈することだ。当然「残っているソースコード中から同じパターンを探す」事をすれば、同じような間違いはまだ何個か残っているだろう。その中にはセキュリティホールになったり、裏技的な使い方ができたりするものも含まれているだろう。

というわけで、これはかなり手痛い場合がありえますね。

--
fjの教祖様

Re:

[elderwand (34630)]

とりあえず、このへんにぶら下げましょうか。

mod_python なんかだと、（多分、mod_perl や php でも同じ）ソースコードに Basic認証の username/password を 書けたりしちゃう [python.jp] ので、ソースを読まれたら相当痛い事になります。

例えば CGI を作成するときに、Apache の設定 [apache.jp]で、ScriptAlias [apache.jp] を使うのか、Options ExecCGI [apache.jp] を使うのかを比べてみると、前者の方は原則スクリプト以外は置けないので、そこやサブデ

Re:そ…それは単純にソースコードを盗まれる以上に痛い…

[Anonymous Coward]

セキュリティ的には、生パスワードをスクリプト中に埋め込んだ状態で放置して良いかという考察のほうが先だと思います。