ガルバスラ

ちょいと、『荒らし』についてのコラム(っていうか駄文)書こうかな、とか思って資料漁ってたわけですが、色々と荒らしの為のツールとかも出てるのねぇ、とか思ったり。チューリングテスト付の掲示板(投稿時に画像で文字列が表示されてそれを入力しない限り「人間」だと判別されず投稿不可能になるアレ)が一番有効なのだろうけれど、簡単なそれを解析してしまう物もあるとか。『こういう方法で荒らされるかもしれないから、この荒らしにはこういう対処を』というコラムにしようと思うのだけれど、HTML・JavaScript・Perl/PHP等の実例を挙げて防衛のコラムを書くのは逆に攻撃者にとっても読み物になりえるわけで。そうなると、問題だよね。04WebServer+Perl/PHPとか入れてローカル内で試してください、とか書いておくかな。広く配布された物は危険である、てな感じで。掲示板でもチャットでも何でもそうだけど、Perl製のスクリプトって『getでも投稿可能』なの多いから悪意持った人に攻撃されたら弱いかもしれない、っていう。PHPだったら『$_POSTでしか受け付けない』とか普通だろうけど、それでも『無関係の人を罠に嵌めてJavaScript用いてPOST投稿を誘導』されたらアウト。『実際に攻撃をし掛けようとしている人』以外にも、『攻撃をし掛けようとしている人に”利用された人”』も攻撃者になりえるのだから。優しい人は利用された人を被害者だと弁護するだろうが、現実を良く考えてほしい。セキュリティの甘い掲示板やチャットに訪れているとして、そこから他のサイトに攻撃するよう誘導物が張られていたとしたら、利用者はその掲示板やチャットにアクセスしてはいけないのだ。その誘導物を除去するなり危険です、とアナウンスする管理者の手腕が問われる事になるわけだが……。結局は掲示板荒らしの対策なら、Referer/Cookieの有無，禁止ワードの導入とかで対策するしかない。チャットであればログが流れるから、無視Filterで利用者側が荒らしを無視できるような物を導入するとか、PHPでSession使ったりするとか。DoS攻撃は荒らしというよりは既に”攻撃”の域に達しているのでサーバ管理者の範囲で。それでもプログラム名をリネームする等でインタプリタCGIスクリプトの実行を防ぐ事は可能だったりするのでアカウント所持者も最低限の対策をしなければならなかったりする。紅堂は『チャットの裏口』とか使ったりするのだけれど、MSIEだとJavaScriptでbase hrefの内容をid指定書きかえれるので同じタイプのチャットであれば1つの裏口で複数のチャットにアクセス可能だったりする。FirefoxやOperaでは動作しないし、HTMLの仕様上もbaseにid名を置く事は正しくないのだが、MSIEだと緩くてできてしまう、とか。攻撃の方法を知らなければ防御の方法もわからない、てな感じでコラム書こうかなぁ、と。考え中。ある程度、質の高いCGI等を普及させたい為のコラム、っていう取り方でいいんだけどね。

　本日の読了⇒九鬼鴻三郎の冒険2 ヴァンパイヤー風雲録 疾風のヴァンパイヤー，九鬼鴻三郎の冒険3 ヴァンパイヤー疾風録 雷鳴のヴァンパイヤー，バッカーノ！ 1705 The Ironic Light Orchestra