書籍「気づけばプロ並みPHP」にリモートスクリプト実行の脆弱性

書籍「気づけばプロ並みPHP」のサンプルスクリプトにリモートスクリプト実行の脆弱性があるので報告します。 はじめに Yahoo!知恵袋の質問を読んでいたら、以下の質問がありました。 気づけばプロ並みPHP （著）谷藤賢一 （発行）リックテレコムP１１２の画像をアップロードする機能でエラーがでます。 http://detail.chiebukuro.yahoo.co.jp/qa/question_detail/q11119835496 より引用 質問に対しては回答が既についてクローズされていましたが、引用されているソースを見て任意のファイルを任意のファイル名で、Web公開ディレクトリにアップロードできることに気づきました（下記）。 <?php // 略 $pro_gazou=$_FILES['gazou']; // 略 if($pro_gazou['size']>0) { if ($pro_

[fukken]

実は「PHPで飯を食ってる連中なんてこの程度だろ」という間接的なPHP Disである可能性が…？

[shields-pikes]

この脆弱性に気づけばプロ並み、ということだな。

[tarotarorg]

この脆弱性に気付けば、プロ並って事か。

[kazuhooku]

FORMベースのPOSTでは出来なかった話なんだからpreflightが飛ぶべき案件な気もする

[huusen20]

「気づけば危ないPHP」

[longroof]

頑張れぺちぱー(´；ω；｀)

[delphinus35]

プロ並みっておま……どうやったらこのコードでレビュー通るんだ

[ya--mada]

アップロードしてそのまま出力しちゃってるのか。うー、サンプルってやっぱそのままコピペして動かして、そのまま動かし続けちゃう前提で書かないといけないのかな。まぁ、そういうことなんだろうな、今の時代。

[hylom]

査読をして貰えればよいのだが、そんな余裕がある例は少ない。なので自分もサンプルコードに「不具合や脆弱性が含まれる可能性があるので実用に供する際は注意してくれ」的な注釈を入れてしまった。

[NOV1975]

プロの現状とは（違

[kamipo]

XHR Level2によるクロスドメインのファイルアップロード

[ahmok]

ふむ。ファイル名が生のままだと。

[mattn]

言い訳としては「あーあれ？dropboxみたいに好き勝手アップロードするアプリだよ？」が良い気がした。

[you21979]

アップロード系は危ないよなぁ

[nasneg]

“前述のエントリ”

[minoru0707]

大変ねいろいろと

[sometk]

誰にでもミスはある。翻せば、ソコ以外はプロ並みってことですかね。なにせ、世の中にはもっとひどい本もあったりするので‥

[tanorityy]

後で読む

[kaipu1224]

ぶっちゃけ業務アプリのソース見るとそんなもんだしね。ダメなんだけど。

[north_korea]

PHPを習い始めて１ヶ月くらいの人が書きそうなコード

[mumincacao]

引用元のを見たときは開幕 htmlspecialchars() のおかげで見落としてたけどこれ $pro_gazou['name'] のふぁいる名のーがーどで出力してるね・・・ （´・ω【みかん

[Kenji_s]

技術書の内容をチェックしてる出版社はたぶんないと思います

[Futaro99]

PHPerの派遣を頼むとこのレベル以下がくるのでプロ並みっていうのは間違っていない。

[htnmiki]

技術書を出版する際の出版社の役割がわからない。

[t-wada]

“HTTPリクエストを送信するだけであれば、相手側の許可がなくてもできてしまいます。そして、CSRF攻撃は、HTTPリクエストが送信できれば攻撃可能であり、HTTPレスポンスは必要ありません”

[ijiaro1]

紙の本みてるだけで感染したらビックリだけど

[harupu]

今時はXHRでMultipart飛ばせるんですね。Flash潰れて以降あんまできないと思ってました。そしたら、管理画面でファイルアップロードする系はかなりCSRFできそう。

[cider_kondo]

例えばPythonとかRubyの本で同じ事が起きたらどうなるか、とか妄想すると、やはりPHPを選んだ著者のセンスは優れたものと言わざるを得ない（何を言ってるんだ

[asari3]

「CORSによるクロスオリジン通信の制御は… 受け取れるか否かに関係します。HTTPリクエストを送信するだけであれば、相手側の許可がなくてもできてしまいます。」

[vid]

書いた人がそもそもプロ並みではなかった？

[outotsu]

書籍「気づけばプロ並みPHP」にリモートスクリプト実行の脆弱性 | 徳丸浩の日記

[theatrical]

phper伝説がまた一つ

[kasumani]

書籍「気づけばプロ並みPHP」にリモートスクリプト実行の脆弱性 書籍「気づけばプロ並みPHP」のサンプルスクリプトにリモートスクリプト実行の脆弱性があるので報告します。 はじめに Yahoo!知恵袋の質問を読んでいたら、

[faibou]

気づけば僕のサーバーぼろぼろ。