「三菱マテリアルがファイル丸出しで顧客情報漏洩」記事へのコメント

対応が遅いな・・

[blackdrug (13208)]

dat落ちしたのを●で読んでみると、おそらく一番初めの書き込みが
05/03 22:45。
三菱マテリアル記事 [mmc.co.jp]によると
5/6朝の8時に某チャットの書き込みでやっと気づいてますね。

朝から何してらしたんでしょうか

Re:対応が遅いな・・

[Anonymous Coward]

チャットやBBSやMLを監視して通報するサービスがあるらしいですよ。
先日もこんなふうにデータもCGIもいっしょくたにインストールする奴が居てサー。 /cgi-bin/ に入れてくれよって言っても「出来ません」とか答えるんだよ。 おまえらの「出来ません」「わかりません」でどんどん世の中が悪くなる。 死ね。

Re:対応が遅いな・・

[Anonymous Coward]

よく分からないんだけど、データはdocumentroot以下じゃない所に
置いといて、cgiからパスを指定して呼び出すだけのことでそ？

そんな単純な話じゃない？

Re:対応が遅いな・・

[ruto (17678)]

あとCGIアプリケーションにデータのパスがハードコードされてたりしてめんどいときは.htaccess使うのも一つの手ですねぇ。

Re:対応が遅いな・・

[jordan_beth (10928)]

教えて君モード

データファイルを".cgi"として作成するだけでは何か穴あるでしょうか？
#うちのサイトの掲示板の記事ファイルがそうなんですけど…

--
ん？　俺、今何か言った？

Re:対応が遅いな・・

[Elbereth (17793)]

>データファイルを".cgi"として作成するだけでは何か穴あるでしょうか？

サーバーのOSとファイルの置き場所とパーミッションによっては、
今回の話題の三菱マテリアルと同じように中身ばっちり丸見えと
いうこともあります。
掲示板のスクリプトの内容次第では、ACCSとOffice氏の事件の時の
ように、ちょっとヒネったやり方で見えることもあります。

つまり、その行為は全然安全にはつながる行為ではないと
いうことです。

Re:対応が遅いな・・

[jordan_beth (10928)]

つまり、その行為は全然安全にはつながる行為ではないということです。

ありがとうございます。
データファイルを抜く具体的な方法というのが知りたいですが、自分で調べてみます。まぁ、危険ということがわかっただけでも、今後の自分のサイトのCGIへの意識が高まりました。

--
ん？　俺、今何か言った？

Re:対応が遅いな・・

[wtnabe (16084)]

掲示板の記事だけしか書かれてないなら、別に丸見えでもいいような。

Re:対応が遅いな・・

[jordan_beth (10928)]

重要な情報は書かれてないんでしょうけど、発言に対してIP抜いて晒すという粘着質な人がいろんな掲示板を見ていると少なからずいるようで。

でもホントいうと、近くサイトのリニューアル考えていて、CGIも作り直そうかなぁって思ってたんで興味本位で聞いてみただけです。homepage@Niftyなのでどうしようもないんですけど。

--
ん？　俺、今何か言った？

Re:対応が遅いな・・

[s-tomo (2841)]

拡張子.cgiで対処したつもりの企業が
Apache の入れ換えで設定がデフォの「ExecCGIがoff」に戻って死亡
というケース(以下略