「@nifty掲示板に重大なXSS脆弱性が発覚」記事へのコメント

エンジニアの質が低すぎるのでは

[Anonymous Coward]

楽天日記はまだスタイルシートが無制限に使えて画面偽装出来るようですが何か。

楽天日記の場合、タグのサニタイジングは要素名で判断、Javascript対策は全文検索をかけて半角文字でdocumentのような javascriptで使われる文字列が見つかると危険と判断しているようです。ユーザーも困っているようで苦情書き込みも見つけました。半年前まで興味深く見守り何度か間接的に注意を投げましたがこんな状況です。
楽天日記はログインしたままでユーザー間の日記を往復しているユーザーが多く、また奪ったアカウントは買い物や個人情報のアクセスにも使えるためセッションを奪え

エンジニアは一般職？

[Anonymous Coward]

今年、就職活動していて気がつきましたが、
毎日就職ナビにセッション乗っ取りの脆弱性があります。
一応、指摘したんだけど。対策されないままです。
説明会の予約、試験の予約を取り消せたり、
個人情報を変更できちゃったり。

他、ショッピングサイトによくある脆弱性も減らないねぇ。
『https://hoghoge/product_list.cgi?cid=c001』

こんな感じのURLでGET引数を偽装する事でSQL叩けるって現状
query = "SELECT id, name FROM product WHERE category_id='" + cid + "'";
こんな事やっているだけだから、

Re:エンジニアは一般職？

[Anonymous Coward]

そことはちがうどこか で同じようなコードをあげた者です。
そのときは、入ってきた値の、たとえば「'」を「\'」に変換するというような事をやっていたのですが…
設計者が「そんなことやらないでください」とか言って、削除してしまいました…
「その値はリストボックスですから、チェックする必要はないですよね？」とかって言われて。
いえ、危ないって証拠をつきつけても、「そんなことをや

Re:エンジニアは一般職？

[parsley (5772)]

上にぶら下がっているコメントを読んで、感想。
やっぱり想像力が足りない人は設計やっちゃいかんよ。

# と妄想力最大！

--
Copyright (c) 2001-2014 Parsley, All rights reserved.