「予告.in」に不正コード埋め込み 閲覧すると2chに犯行予告投稿

犯行予告収集サイト「予告.in」に8月3日、不正なコードが埋め込まれ、アクセスと同時に「警視庁爆破する」という犯行予告文を「2ちゃんねる」に強制的に投稿させる問題が起きた。約1時間半後に修正されたが、運営者の矢野さとるさんは「利用者に迷惑をかけて申し訳ない」と謝罪している。 問題が発生したのは、3日の午前2時18分から3時55分。PCで予告inにアクセスすると、2ちゃんねるのVIP板に、タイトル「警視庁爆破する」、本文「嘘です」、名前欄にアクセス元リモートホストを書いたスレッドを、強制的に投稿させる状態になっていた。 クロスサイトスクリプティング（XSS）の脆弱性をつき、予告投稿欄に不正なコードが埋め込まれていたことが原因。投稿欄のURL部分にエスケープ処理（不正な文字列を無効化する処理）を行っていなかったため、悪意あるコードを投稿欄のURL部分に埋め込んだ場合、コードを実行させる危険性が

[oanus]

すばらしい皮肉 / やめちまえばいいのに

[atcard]

www.itmedia.co.jp/news/articles/0808/04/news021.html

[Credit]

ITmedia News

[syousai55]

◎予告.inにXSS攻撃

[relax4u]

いつかはこういったことが起きると思っていた・・・

[ReLax]

いつかはこういったことが起きると思っていた・・・

[riku_mio]

こういうサイトを作ると真似する人を増やすだけだと思う。

[sshi]

やっぱりきたか。そのうちに犯罪予告をproxyするウィルス群とかできそう

[nilab]

「予告.in」に不正コード埋め込み　閲覧すると2chに犯行予告投稿 - ITmedia News

[ag-commerce]

予告.inにXSS攻撃があり、アクセスすると「警視庁爆破する」という犯行予告スレッドを2chに投稿させる状態になっていた。

[andalusia]

とはいえ、国がSIerに頼んで２億で作ると、かわりに「戻る」ボタンが使えないとかのガチガチのアレなアプリケーションにされそうな気が・・・

[wisboot]

これは痛い。Webアプリはユーザ由来の文字列はすべて安全じゃないから、ちょっと油断するとすぐ脆弱性を突かれる／でも無償で提供してるサービスだからテストに多くのコストを掛けるのは難しいしなぁ・・・

[netisfree]

初歩的な対策すら怠っていた模様

[max56]

不正コード埋め込んだ人が予告犯として捕まるかどうか

[adsty]

「予告.in」にアクセスすることすら危険だったという事件。

[momdo]

サニタイズ言うな

[KoshianX]

はてぶコメント側にまったく2chのCSRF脆弱性に対するツッコミが無いのはなぜ? 外部サイトからスレ立てできちゃう穴じゃないの?

[masahiro86]

でも予告.inに直接行われたというのは、ポジティブにとらえていい気がする。他のサイトでやられたら……。正直、良いハプニングだった気がしてる。

[north_god]

「投稿欄のURL部分にエスケープ処理を行っていなかったため」なんと初歩的な・・・

[h_sabakan]

此か騒いでいたのは...

[tororo-imo]

危うく踏みに行くところだった。なんにせよ、「予告.in」に限らず、XSS対応はきちんとしとかないとな。/ 同じ攻撃を、例えば警視庁のサイトがくらったら、とかね。まぁ、警視庁はきちんと対応しているんだろうけど。

[rna]

「投稿欄のURL部分にエスケープ処理（不正な文字列を無効化する処理）を行っていなかった」「不正なコード」という表現の後に書くと誤解を招く表現だな。

[t-murachi]

ま、プログラマーの端くれとしては、「ドンマイ☆」としか言いようが…。しかしはまちちゃんならもっと気の利いたオモローなイタズラにしてくれただろうになぁ…。

[deep_one]

投稿サイトなのにXSS対策なしか…安価な急造品だからといって危険すぎた。／総務省の予算が高かった意味が分かりましたか（笑）　いや、さすがにアレは高すぎだとは思いますが。

[Akula]

エスケープ処理とか怠ってるのは意外。2時間で作った後にセキュリティをしっかりするためにパッチを当てる必要があるきがする

[ahmok]

わざと脆弱にしていたのかもしれない（自ら仕掛けていない証明はしていない）し、そうすることによって社会を混乱させたかったのかもしれない。すかしっ屁ではないが、いくらでも犯行目的に妄想することは可能である

[sweet_nana]

ほ～

[ya_ta]

これぞまさしく「ゼイジャックス アプリケーション」

[bunoum]

予告.in自体に仕込まれたわかりやすい仕掛けではなくて、もっと巧妙でわかりにくい方法で「犯行予告させられた」場合に、どう無実を証明すればいいのだろう？

[ysk_lucky-star]

まあ例え国が2億円かけたとしても脆弱性が無いわけじゃないだろうからな