「豪公共交通システム、Webサイトの脆弱性を報告した少年を警察に通報」記事へのコメント

危険性があるか把握して良いのは身内の任された人だけ

[SeqklogW (45271)]

無関係な少年は試しちゃダメ
　自分の手元における誰でも手に入るシステムだったら指摘できるが、少数の人がクローズにして独自に使っているシステムのセキュリティーは少しづつしか良くならないし、対策をしなくても大丈夫なくらい攻撃は少ない。

Re:

[firewheel (31280)]

SQLインジェクションは正規の操作の範疇では？
なにも不正な経路で侵入したり、他人のパスワードを不正に入手したわけじゃない。

たとえばこれなんかと同じじゃね。
- 「ポーカーマシンのバグを利用していたギャンブラー、無罪に」 http://it.srad.jp/story/13/11/28/0924216/ [srad.jp]

「磁石や静電気など、通常のプレイでは使わない方法でバグを発生させたならば「不正行為」となるが、
今回のバグは通常のプレイで使用するボタンを特定の順番で押しただけであり、
そのためバグを発生させるものだとしても不正行為にはならない、という判断だったそうだ。」

Re:

[Anonymous Coward]

「SQLインジェクション」と呼ばれるのは正規の操作の範疇外の行為を言います。
SQLを送って操作するのが正規の操作なら「SQLインジェクション」ではないのですが、
SQLを送って操作するのが非正規の操作であるとき「SQLインジェクション」と呼びます。
これにより通常パスワードなどで認証すべき手順を管理者の許可なくすっ飛ばすと違法行為になります。

Re:危険性があるか把握して良いのは身内の任された人だけ

[Anonymous Coward]

FREE TEXT FIELDに入力禁止されていない文字列を書き込んでSUBMITするだけですが。
入力禁止されていない文字列を書き込んでSUBMITするのは正規の操作の範疇外なんでしょうか。

Re:危険性があるか把握して良いのは身内の任された人だけ

[Anonymous Coward]

アクセス制限をまぬがれる情報・指令を入力してるんだから、普通に正規の操作の範疇外でAUTO
入力禁止は自己防衛のためにやってるだけで、入力禁止措置がとれれてないからといってインジェクションをするための操作が正規という理由にはならない

Re:

[Anonymous Coward]

AUTO(オート)って何かと思った……

ついでに言うとダメって意味のアウトって英語では無いのでは？

Re:

[Anonymous Coward]

なんかどっかで使われてるスラングらしいですよ＞AUTO
知らない人から見るとただのバカにしか見えないからお外で使わない方がいいのにね。

Re:

[Anonymous Coward]

アクセス制限なんてかかってない。
せいぜい、アクセスしないよねって期待だな。