「ACCS事件でoffice氏逮捕」記事へのコメント

ちょうど一ヶ月なんですよね

[one-one (17888)]

先日の朝日新聞一面に載ったのが 1/4 だったので 今日でちょうど一ヶ月です.
何故一面に!?という疑問から色々な憶測が出ていましたが, まさかこんなことになるとは…

それにしても毎日新聞の記事だと CGIの一

Re:ちょうど一ヶ月なんですよね

[Anonymous Coward]

CGIを書き換えたのではなく、formのページをローカルに保存し、hiddenタグを書き換えて問題のCGIに食わせたという話だったと思います。

曖昧な記憶なのでAC

Re:ちょうど一ヶ月なんですよね

[masui (228)]

ローカルで動くformもCGIの一部って考えだよね。

--
May the 4th B w/z U

Re:ちょうど一ヶ月なんですよね

[Anonymous Coward]

しかも，件のCGIスクリプトそのものを「自身のCGIを通して読み取る事に成功し」だからこそ「どこをいじれば攻撃できるか明瞭となり」「まさにクラックされ放題」のサイトであった

ということです

Re:ちょうど一ヶ月なんですよね

[Anonymous Coward]

＞CGIを書き換えたのではなく、formのページをローカルに保存し、hiddenタグを書き換えて問題のCGIに食わせたという

その通りです。ACTION=GET でURLアドレスを一発で見れてしまう可能性がありました。（office氏はGETでも可能だったかもしれないと言っていました。実証がしなかったようです。）ACTION=POSTですと、いったんローカルに落とすことは脆弱性指摘方法としてよく使われます。わかりやすいから。でも、ローカルに保存しなくとも、（例えばIEなどのブラウザだけで）アドレスバーにいろいろ複数回にわけて入力すれば、同じことが出来ます。

アドレスバーに何