「JR東日本サイトが改ざんされた模様」記事へのコメント

検索は別のドメインで行っていた模様

[Technical Type (3408)]

XSSか? でもちゃんと情報出して欲しい。ニュース報道では改ざん後に検索機能を利用した数千人は、ウイルス感染している疑いがあるという。 [mainichi.jp]とか、検索窓の挙動が改ざんされていることが判明し、「影響度合いが深刻と判明したため」 [itmedia.co.jp]とは報道されているけど、これじゃさっぱり判らない。「２１日夕に利用者の指摘を受け調査」で２３日午前１時４０分から一部機能停止だから、

• 社内では改竄を発見できなかった
• 確認まで時間がかかっている

事だけはわかるけど。Zone-H.org にも情報は無いし。

過去のページが見れるサイトでJR東のサイトの去年のソースを見

Re:

[Technical Type (3408)]

こっちもお詫びと訂正: JR東日本のサイトが復旧していたので、ソースを見ると検索は http://www.jreast-search.jp/result/search.php [jreast-search.jp] で行われている。PHP かぁ…それもクロスドメイン…netcraft 情報で jreast-search.jp のドメインを調べると、

• Netblock owner: KDDI Web Communications Inc.
• OS: FreeBSD
• Server: Apache
• Last changed: 23-Dec-2009

との事。 telnet の 80 で http://www.jreast-search.jp/result/search.php [jreast-search.jp] のヘッダを見ると…

Server: Apache
X-Powered-By: PHP/5.2.4
Content-Type: text/html; charset=UTF-8

かぁ。PHP 5.2.4 って、リ2007年9月3日にリース [php.gr.jp]されたバージョンね。5.2系だと最新は

Re:検索は別のドメインで行っていた模様

[Anonymous Coward]

　こりゃ [ascii.jp]、バージョンを上げても別の攻撃手段を使って書き換えられそうですね。

　最新版にゼロデイ攻撃の手段がないことの証明は、悪魔の証明ですよねぇ。