「岡崎市立中央図書館ウェブサイト「サイバー攻撃」事件の詳細」記事へのコメント

データベース接続の閉じ忘れ

[Anonymous Coward]

データベースに接続した後、セッションを開きっぱなしで
終了してしまってたという基本的なバグに見える・・。

トップページの表示時にも同期してＤＢ接続しにいくがために、
ページが表示されなかったと。
（ＤＢ接続の部分だけ非同期にすればページは表示されていたんでは？）

Re:データベース接続の閉じ忘れ

[Anonymous Coward]

参考：高木浩光＠自宅の日記
Anonymous FTPで公開されていたGlobal.asaが示すもの 岡崎図書館事件(6) [takagi-hiromitsu.jp]

　ソースの一部が載っている

Re:データベース接続の閉じ忘れ

[snitch (10903)]

ソースを見るとデータベースはOracleのようですね。

データベースサーバのOSが32bitのWindowsでOracleのデータベースが専用サーバだったとすると
セッション数の増大のために新規のセッションが張れなくなったのでは無いかな。
(専用サーバというのはOracle用語。一般的にいう専用サーバとは意味が違います)

32bitのWindowsでは基本的に1プロセスあたりのメモリ使用量は2GBまでとなっています。
エディションとboot.iniの設定で例外はある訳だけど・・

WindowsでのOracle Databaseアーキテクチャ [oracle.co.jp]

site:otn.oracle.co.jp tns-12500 - Google 検索 [google.co.jp]

Re:データベース接続の閉じ忘れ

[Anonymous Coward]

まだ技術系MLが盛んな頃，セション変数にDB接続を格納するなとか，
セション終了イベントなんぞに期待するなとか言われた時代がありました。

Global.asa中に書いてあるのは，まさにその駄目パターンそのものですね。
oo4oを使ってるっぽいので，接続Poolingが使えるにもかかわらず。
なので，これを「バグ」と呼ぶには違和感があります。
出荷する品質に達していないだけじゃないかと。

Parametersオブジェクトが出てきてないので，SQLインジェクションの
危険性も臭いますし。

開発時期が2003年らしいですが，2003年ってまだそんなノンビリした
時代だったでしょうか？

Re:データベース接続の閉じ忘れ

[Anonymous Coward]

原因はここにありそうです。

http://otn.oracle.co.jp/sample_code/tech/windows/asp/index.html

まあ、件のGlobal.asaとそっくりなコードが出てきて絶望的ですね。

事前に読んでほしいのでここにつける

[Anonymous Coward]

捕まった人自ら書いたという噂のまとめサイト
Librahack ： 岡崎市立中央図書館HP大量アクセス事件まとめ [librahack.jp]
マスコミ報道について | Librahack ： 岡崎市立中央図書館HP大量アクセス事件まとめ [librahack.jp]