Webサービスぶっ壊れ地獄、行きやすぜ！

はじめに なあジョージさんよ……あんた、いつもこう言ってたよな？ 「便利さとシンプルさ、それがユーザーも開発者も幸せにする秘訣だ」ってよ。 あたしゃな、その言葉に乗っかっちまった。ユーザーのため？ 開発を効率化するため？ そりゃあ立派なもんだ。でもな、それが「命取り」になることがあるんだぜ。 シンプルに作ったはずのサービスが、悪意ある奴らに好き勝手利用されて、時には「あたしの知らなかった地獄」を見せてくれる。越えたらいけない一線がある。そんな話を、今日はしようじゃねえか。 さあ、これがあたしらの舞台だ。 セキュリティの教科書には載らない、バグバウンティでも指摘されない、ニュースにもならない、「 現場のWebサービスぶっ壊れ地獄 」 ……教えてやりますぜ！！ 1. サインアップし放題からのクレカ決済し放題地獄 この地獄、知ってやがるかい？ 聞いてくれよ。ユーザーを簡単にサインアップさせる……

[lostnamer]

なんで三人称ジョージさんに語りかける形式なのか分からなかったが、最後の行まで読んで理解した、アシハナさんロールプレイか/確かにWEBサービスも広義のからくり、ソイツが人に悲喜劇を提供するからくりサーカスだ

[Helfard]

“で…お代はいかほどいただけるんで……？” 一時は200億の仕事までしていたのに最後は10円で死ぬまで働かされた人だ！

[tettekete37564]

こういうのはマネジメント層に覚えておいて貰いたいね。彼らは機能実装しか頭にないから Web サービスの 8 割は例外対策。今はフレームワークがカバーしてくれる範囲も広いのだろうけど

[ttkazuma]

敵が味方になる展開の中で最も熱いキャラ！！

[Falky]

うーん。初手のクレジットマスター対策、いろんな意味で"よくない"内容ですね…。おそらく身近に決済のプロがいないんだと思うので、ご利用の決済代行会社に最新の対策セオリーを聞いてみてくださいね。

[Akech_ergo]

文体が受け付けられなくて最初のパラグラフでギブアップした。まぁタイトルからそういうノリだと気付けなかった僕が悪い。

[nicht-sein]

あるあるだよなーと思いつつ読んだ。現代では起きない問題だと思っているのなら、幸せな開発環境に属しているので、その幸福を噛みしめて下さい

[maninthemiddle]

「オーソリは通ったのに請求は通らないブラックリストカード地獄」も追加で

[ryunosinfx]

この世には法律を守る善人しか居ないと信じて疑わないピュアで素朴な実装がネットの先の何でもありな悪意に翻弄されるやつ。

[nemoba]

クレジットマスターってカード番号への総当たりなので、サイト側だけでの確認は対策にはなってないし、クレカ使わせないのはUXへのリスクの方が高いからあんまり参考にしないほうが

[murasuke]

“阿紫花”

[napsucks]

海外IPから弾けば直接殴れる距離に絞れるのであとは煮るなり焼くなり。

[yamadar]

イカれたメンバーを紹介するぜ的な？と思ったらからくりサーカスか

[youhei_nak]

クレカは3Dセキュア導入では？

[pptppc2]

なんかからくりサーカスのアシハナみたいなキャラだなと思ったら「で…お代はいかほどいただけるんで……？」でアシハナ確定して笑った。

[FreeCatWork]

テクノロジーが不調？最高にゃ！混沌の中でじゃれ合う時間だにゃ。コードが飛び交い、エラーが鳴り響く中で、我々が闊歩するにゃ！

[gonai]

続編を書いてくれ。報酬は10円だ。しくじったらぶっ飛ばすぜ！

[pwatermark]

「……へ…誰か知らねえが、味なコトしやがる…」

[kamayan1980]

先日の「悪意ある攻撃とかじゃなくて、遊びの余地があるシステムで遊ばれてるだけ」的な話題に対するカウンターか。たしかにアレはセキュリティ被害で六桁以上の金を払ったことがない匂いがした

[syu-m-5151]

最高だった⋯オチも良かった⋯。

[sugumura]

からくりサーカス好き

[ArcCosine]

yuisekiさんでびっくりと納得

[hdampty7]

1.は作りが悪い。一応それ防ぐ用のサービスもあるから検討すべし。2.はWAF使え。1.は稀によくあるというか、普通にカード会社から連絡来てユーザをBANするのが業務化されてた。

[gimonfu_usr]

（さしあたり他人の金銭をかすめたものがいくのは六道の畜生道餓鬼道地獄道らしい。）

[kibitaki]

そんなご大層なものじゃなく、確かに現場じゃ当たり前に起きすぎてて、半目でコード書いてても対策は入れてる内容だった。しかも今は、フレームワークが面倒見てくれるレベルだったり…

[n_y_a_n_t_a]

シンプル＝無対策という話（前半だけ読んだ）

[eagleyama]

勉強になります

[udddbbbu]

こういう文体苦手

[uunfo]

役に立つ

[shields-pikes]

もう、こういう口調のセキュリティ本を書いてほしい。

[Windfola]

ジョージさんってしろがね‐Oか。検索してやっと思い出せたわ。

[atsushifx]

いわゆるセキュリティチェックリストのWebサービス版。

[tzk2106]

そうなのか、最後まで読めば、何故ジョージなのかわかるのか。（読まない