|
最近増えた、ひぐらしやら著作権の侵害やらの荒らし。ちょうど、うちにも来たので調査してみたところ、ある程度対応できそうなので対応してみた。というわけで、POTI-board v1.32 のリリースノートでぃす。
・6月2日19時頃公開（lot.050602）
うちにも荒らしが来て気付いたのだが、この荒らしの事を知る前に見つけた画像アップperlを改良しての犯行っぽい。
念の為にダウンロードしてそのperlをみたときは「一応アップできるよ」くらいのスクリプトで気にしてはいなかったが、今回の荒らしはこれを実用できるように改良したものを使っているらしいですね。
で。「バグ利用にて配信」と荒らしの内容にあるが、どちらかというと仕様の甘さを突いた方法での犯行です。
以下が犯行の方法。
(1) 送信する画像があるフォルダからランダムに画像を選び、picpost.phpにPaintBBSのヘッダー情報を付けて送信。このとき、proxyとUAのリストからランダムでそれぞれを偽装。
(2) potiboard.php?mode=piccom&stime=******にアクセスし、<option>タグのvalueを取得。このときクッキーも取得する。
(3) あとは取得情報を使い、お絵かき画像を偽って送信。このときも、proxyとUAを偽装しているっぽい。
ここで問題になるのが、picpost.phpに画像を送信しているところ。
これは、picpost.phpがアプレットからのデータしか受け取らないのを想定して画像のチェックをしてないところを突いた方法である。
他にも、proxyリストからIPを偽装することにより、連続及び二重投稿のチェックをすり抜けている。
ただ、間抜けな事に『未承諾広告』などの固有語句を毎回使ってるので、それを拒絶文字列に指定するだけで対処できたりする。
でも、解決策にはならないので先程の問題を踏まえて以下の仕様変更を行った。
... 続きはこちら
[ このエントリへはコメント出来ません ]
|
