|
▼ Mr.XRAYさん
> ▼ takaさん
> なるべく発言される方が面倒でないことがいいのですが，
> どうしようもない時は利用させていただきます．
> 利用しなくともコードは参考になりますので，ローカルで動かして
> 勉強させてください．
使わないで済むことを祈ります！
> これは，何らかの方法で掲示板のURLを知り，後は入力フォームのアドレス
> 掲示板のURL + ?res=3777
> というのを自動的に生成しているか，あるいは，何らかの方法でこのURL
> を入手しているのではないかと思います．
テスト中に怪しいものを発見しました
この掲示板用にスパムソフトが対応していれば、
掲示板のトップさえわかれば、
数打ちで２回目で、親子記事データが撃破されてしまいます。
主な特徴:INCM のCMTフォーマット出力に対応しています
が将来悪用されるかもしれません。
?point= とするとわかります。
利用しない場合は
&cmt_put; 自体を消してもいいですけど
cyclamen.cgiの初期設定あたりに $incm_cmt_off = 1; を書き込み
&frame; 行の前に下記を挿入でいけます。
if (defined($CMD{'point'})) {
if ($incm_cmt_off) { error('アドレスが無効です。'); } else { &cmt_put; }
}
あと先日アップしたファイルは、複数ログ時に問題がありました。
複数ログの際に、変になりますので
テストする際は
cylibauth.cgiの下記の関数をこのように置き換えてください。
コピペして一緒に保存されてください。
sub get_auth_img_url {
# 画像認証の際の、イメージのパス
return './'.$script_name.'?'.&opt($CMD{'log'},'itemauthimg.png');
}
cyclamen.cgiの &frame; 行の前
if (defined($CMD{'point'})) {
if ($incm_cmt_off) { error('アドレスが無効です。'); } else { &cmt_put; }
}
# 複数ログ対応にする
foreach my $NewItem (split('&', (split('#',$ENV{'QUERY_STRING'}))[0] ))
{
if ($NewItem =~ /^itemauthimg\.png$/i) {
&lbc; &print_auth_img;
exit(0);
}
}
−−−−−−−−−−−−−−−−−．
キー認証の
個別セッション版も作ってみたのですけど
いろいろ検証の結果
個別セッション認証にすると連続アタック攻撃を食らうと
データがパンクしたり遅延したりして攻撃に弱そうなので
紹介はやめておこうと思います。
|