アカウント名:
パスワード:
SQLインジェクションの脆弱性があるかの確認方法は、必ずしも不正アクセス禁止法違反を犯さないとできないわけではありません。不正アクセス禁止法違反を犯さない方法でアクセスして、画面の表示を見て「疑わしい」場合を見つけることができる時もあります。ただし、その方法では、あくまでも疑わしいというだけで、脆弱性があることを証明できたわけではありません。 しかし、FACTA誌は、危険度高の脆弱性があると断言して特定の企業の信頼を貶めるような文体の記事を出して来ています。
つまり次のどちらかということになるかと。
A. 不正アクセス禁止法違反の方法で脆弱性を確実に突き止めたので、FACTA誌の記事の内容は事実として正しい。B. 不正アクセス禁止法違反でない方法で脆弱性が存在する可能性を大まかに推定したものなので、FACTA誌の記事は事実でない可能性のあることを事実として報じたもので、名誉毀損や信用毀損に当たるおそれがある。
＞「危険度 高 脆弱性の種類 SQLインジェクション」のテストは不正アクセス禁止法に抵触しない方法で行なえたのですか
双方が合意・締結し正規の依頼に則れば合法ですが。
# まさか無断で合法に不正アクセスする方法を聞いてはいないよね？
ハア？無断が前提の話でしょ？
法律も完璧じゃないから、無断で合法な悪意のあるアクセスが出来る場合もあるよってのが元コメでしょ。まさかでもなく聞いてもいない。
仮にその「疑わしい」程度の確認で「脆弱性」と発表するのが信じられません。単に脆弱性のあるバージョンのビルド番号が返ってきたからといって、そのサーバーが脆弱であるとは限らないでしょう？
勝手に脆弱と決めつけるくせに、「疑わしい」と主観で判断したのが根拠だとしたら、それこそ大問題です。
ちなみに、FACTAの独断とするならスプラウト某がしっかり否定しないとダメでしょう。
ユーザー名やパスワードに引用符を入れるとPHP Warning: mysql_～とか出てきちゃうサイトが沢山あったのかも知れない。引用符がエスケープされてないなら、不正ログインを行うクエリも作れるでしょう。
より多くのコメントがこの議論にあるかもしれませんが、JavaScriptが有効ではない環境を使用している場合、クラシックなコメントシステム(D1)に設定を変更する必要があります。
日々是ハック也 -- あるハードコアバイナリアン
まだ決まったわけじゃない (スコア:1)
SQLインジェクションの脆弱性があるかの確認方法は、必ずしも不正アクセス禁止法違反を犯さないとできないわけではありません。不正アクセス禁止法違反を犯さない方法でアクセスして、画面の表示を見て「疑わしい」場合を見つけることができる時もあります。ただし、その方法では、あくまでも疑わしいというだけで、脆弱性があることを証明できたわけではありません。 しかし、FACTA誌は、危険度高の脆弱性があると断言して特定の企業の信頼を貶めるような文体の記事を出して来ています。
つまり次のどちらかということになるかと。
A. 不正アクセス禁止法違反の方法で脆弱性を確実に突き止めたので、FACTA誌の記事の内容は事実として正しい。
B. 不正アクセス禁止法違反でない方法で脆弱性が存在する可能性を大まかに推定したものなので、FACTA誌の記事は事実でない可能性のあることを事実として報じたもので、名誉毀損や信用毀損に当たるおそれがある。
行えますよ (スコア:0)
＞「危険度 高 脆弱性の種類 SQLインジェクション」のテストは不正アクセス禁止法に抵触しない方法で行なえたのですか
双方が合意・締結し正規の依頼に則れば合法ですが。
# まさか無断で合法に不正アクセスする方法を聞いてはいないよね？
Re: (スコア:0)
ハア？無断が前提の話でしょ？
Re: (スコア:0)
法律も完璧じゃないから、無断で合法な悪意のあるアクセスが出来る場合もあるよってのが元コメでしょ。まさかでもなく聞いてもいない。
Re: (スコア:0)
仮にその「疑わしい」程度の確認で「脆弱性」と発表するのが信じられません。
単に脆弱性のあるバージョンのビルド番号が返ってきたからといって、そのサーバーが脆弱であるとは限らないでしょう？
勝手に脆弱と決めつけるくせに、「疑わしい」と主観で判断したのが根拠だとしたら、それこそ大問題です。
Re: (スコア:0)
ちなみに、FACTAの独断とするならスプラウト某がしっかり否定しないとダメでしょう。
Re: (スコア:0)
ユーザー名やパスワードに引用符を入れるとPHP Warning: mysql_～とか出てきちゃうサイトが沢山あったのかも知れない。
引用符がエスケープされてないなら、不正ログインを行うクエリも作れるでしょう。