|
| フーケアーズのチャットで勝手にアクセス規制しちゃう |
|
とある人からのメールで気づきました。（とある人というのは名前出して良いかどうかわからないのでとりあえずとある人とします。） フーケアーズでは、チャットに対する故意の負荷や不正なリクエストを排除するために、特定の行動をとると自動でアクセス規制がかかるようにしています。 類を見ないセキュリティを誇るフーケアーズですが、今回はそれを逆手にとります。 自動で（つまり、人の意思がなく）、特定の行動をとると（つまり、管理権限非所持者でも）アクセス規制がかかるということは、管理者の介入無く、いちユーザが不特定のユーザに対するアクセス規制ができるということです。 方法は、至って簡単。 アクセス規制を施したいユーザにhttp://chat2.whocares.jp/chat/abuse.jspを踏ませるだけです。（ここでは、間違って踏んでも良いようにワンクッションおいてあります。） 該当のURLを直接踏ませるのもいいですし、フレームを使って巧みに踏ませる手もあります。 圧縮URLサービスなども併用すると尚良いでしょう。 実はまだちょっといじるとjavascriptが使用可なのでそれこそ強制的に踏ませることもできます。 ※この技は時間がたつと修正されるかもしれません。 |
| CGI-PLANT配布CGI、『B-Chat』のバグが修正されたみたい。 |
|
以前に私が、悪意のあるユーザから任意のJavascriptが実行される脆弱性を発見したとの記事を書いたのですが、その後にCGI-PLANTの全てのCGIが配布停止し、更には廃止・サポート停止とするかを検討していたそうですが（該当の記事にCGI-PLANT管理人わごな氏のコメントもついた）、めでたくもバグを修正されたバージョン、B-Chat Ver1.9を公開されました。 Ver1.9以前のバージョンをお使いの方、脆弱性のため設置を敬遠していた方、もう安心ですよ。 CGI-PLANT どうでもいいけどずっとシージーアイプラネットだと思ってた。よくみるとプラント。 →CGI-PLANT配布のB-Chatにて強制javascript作動の危険性 |
| Web Proxyで学校のフィルター（規制）を抜ける |
 単にWeb Proxyの紹介をするのもアレなんでこういうタイトルにしてみました。 Free Web Proxiesでは、5000を超えるWeb Proxy（CGI Proxy）があります。行きたいURLを入力するとその中からランダムにWeb Proxyが適用されます。 さて。 Proxyの特性ですが、代理で外部のサーバに接続（説明むずいんでこんな感じとして理解してください。）してくれます。 あなたの使ってる学校のパソコンから特定のサイトにアクセスする際に、フィルターがかかっていていけない場合、代わりにフィルターのすり抜けられるproxyにデータを取ってこさせるってわけです。 まあ内容は理解できなくてもできるもんはできる、できないもんはできないので、だめでもともと、試してみる価値はあるはずです。 Free Web Proxies ちなみに私の学校では出来ました。 |
| CGI-PLANT配布のB-Chatにて強制javascript作動の危険性 |
|
追記：こちらの記事のバグについては、以前指摘したCGI-PLANT様配布CGIのバグ修正及びその他の報告にて対応されたことを明記しております。 また、CGI-PLANT配布CGI、『B-Chat』のバグが修正されたみたい。にて、修正されたことを報告します。 の前に、これまで強制タグONができることを確認した記事をまとめます。 ・TEACHATにて強制タグONの危険性 ・WHOCARESのレンタルチャットにて強制タグONの危険性【危険性大】 →中級者ハッキング講座すぺさる もう要領は中級者ハッキング講座すぺさると同じなので、諸々を省略して書きます。 送信先のB-Chatにポストデータ
を本来送信するのですが、（赤字のところは変えてね）16進数カラーコードのところをテキトーなカラーコードで埋めます。そのあとにspanタグに対応したプロパティを挟んでやればそれが作動。 尚、spanじゃjavascriptつかえないよーって言う方はもう少しお勉強してから出直してください。 何を言ってるのか全くわからないよーって言う方はとりあえずB-Chatは危険なのでレンタルする際は注意が必要ということだけ覚えて置いてください。 また、上記CGIを改造して配布している方はこのバグをできれば直す、少なくとも知っておくことが大切です。 ちなみに具体的な方法を書かないのは悪用をされないための措置です。 |
