サイバーノーガード日記 ２

サイバーノーガード日記　２

１　2009年06月11日Langley のサイバーノーガード日記 あのメールマガジン配信サービスは、最先端ビジネスモデルだった!?
●スパム業者の温床サービス

　筆者は、一部のメールマガジン配信サービスがスパム業者の温床となっていることを書いた。

スパム業者とメールマガジンASPの関係(1)
https://www.netsecurity.ne.jp/3_13046.html
スパム業者とメールマガジンASPの関係(2)
https://www.netsecurity.ne.jp/3_13071.html
スパム業者とメールマガジンASPの関係(3)
https://www.netsecurity.ne.jp/3_13097.html

　筆者は、このようなサービスは業界がエスタブリッシュされてゆけば無くなるようなものだと思っていた。しかし、それは、とんだ考え違いで、これこそが最先端のビジネスモデルらしいのである。

Bulletproof hosting
http://en.wikipedia.org/wiki/Bulletproof_hosting
Host of Internet Spam Groups Is Cut Off
http://www.washingtonpost.com/wp-dyn/content/article/2008/11
/12/AR2008111200658_2.html?sid=ST2008111801165&s_pos=

　英語では「Bullet Proof Hosting」あるいは「Bullet Proof Bulk EmailHosting」と呼ぶらしい。堂々とこの名称で商売している。

Highly Stable Bullet Proof & Bulk Email Friendly Web Site Hosting
http://www.americaint.com/bullet-proof-hosting/bulk-email-ho
sting.html

　スパム業者とスパム配信OK業者の間で結ばれる契約書を「Pink contract」と呼ぶそうである。

Pink contract　From Wikipedia, the free encyclopedia
http://en.wikipedia.org/wiki/Pink_contract

●スパムミート缶詰が名称の由来

　このピンクは、スパムにアダルトものが多いから、Pink　なのかと思ったが、スパムの語源と言われるスパムミートの色がピンクということから名づけられたそうである。もちろん、アメリカでは違法でヤバイのであるが、スパムOKの国に業者がいるらしい。それって日本？　日本も堂々とメールマガジン配信業者がスパム配信しているから、そう思われても不思議はない。


●その後のコンビーズ

　激しくスパムを配信しているメールマガジン配信サービス業者 コンビーズであるが、その後も大活躍でスパムメールを配信し続けている。いい加減やめてほしい。

　「スパム　コンビーズ」で検索すると4,000件もヒットした。以前、筆者がとりあげた時より増えている。この調子でみんなで、コンビーズに圧力をかけてスパム配信をやめさせたいものである。

　「コンビーズ」だけで検索しても、スパム配信業者と断罪しているページが上位に表示される…

【執筆：Prisoner Langley】

【関連リンク】
セキュリティコラムばかり書いているLANGLEYのブログ
http://netsecurity.blog77.fc2.com/

２　2009年07月09日
Langley のサイバーノーガード日記 やっぱりブログっていろいろ怖い 大手ブログサイトでXSS脆弱性
　ご存知の方もいらっしゃると思うが、筆者はブログを書いている。といっても、月に1度も更新していないので書いているなどとは言えない状態ではある。

　しかしこのブログがあるおかげで、たまにタレコミを頂く。今回は、ブログサービスの脆弱性についてのご連絡を頂いた。サービス元には連絡済みであるが、まだ脆弱性が残っているので、どこかは言わないでおこう。とりあえず大手です。

●ブログの脆弱性のコードとは

　具体的なコードは下記になる。

　特定のブログのURL?ul="＞＜script＞任意のスクリプト＜/script＞

　例えば、こんな感じになる（サンプルなんでURLは架空のものです）。

　http://blogyabaiyo.com/?ul="＞＜script＞alert(1)＜/script＞

　IEで閲覧するとちゃんと「1」が表示されるのを確認できます。

　ついでにクッキーを読み取れるかもやってみた。

　http://blogyabaiyo.com/?ul="＞＜script＞alert(document.cookie)＜/script＞

　見事に、当該サイトからのクッキー情報が表示された。これをこのままメールでどっかに送ればクッキー情報を簡単に盗める。

●5つの問題点

　いろいろ確認してみたところ、下記のような状況だった。

1.このブログサービスでは、ブログパーツとして検索とか、メールフォームとか、いろいろなパーツを提供している

2.どうやらブログを特定するために、ulパラメータを利用しているらしい

　ブログ内検索やメールフォームなどでは、処理を行う際にどのブログからのリクエストであるかを判別する必要がある。普通に考えると、ブログのURLを渡せばいいじゃん、と思う。実際、他の大手ブログサービスでは、リクエスト元のブログのURLを検索やメールフォームのリクエストを出す際に、渡しているところもあった。具体的には、こんな感じである。

ブログ内検索の例

＜form action="ブログ内検索のプログラム" method="GET"＞
＜input type="HIDDEN" name="q" value="当該ブログのURL"＞

　脆弱性のあった大手ブログサービスでは、セッションIDらしきものをリクエストの際に渡しているようである。

3.ulパラメータは本来は、利用者が使うようなものではないらしい

　セッションIDだとすれば、利用者に勝手に指定されては困るであろう。アドレスバーやブログ画面に表示されるようにはなっていなかった。

4.ulパラメータを利用者が指定すると、そのままブログパーツの中にも反映されてしまう

　例えば、検索フォームでは通常、下記のようにulパラメータが埋め込まれる。

＜form action="http://blogyabaiyo.com/?ul=99d55f22acb51bf4" method="get"＞

　99d55f22acb51bf4がセッションIDっぽいものである（ちなみに、これは筆者が適当に作ったフェイク）。

　ところが、アドレスバーに、http://blogyabaiyo.com/?ul=11111 と指定すると、検索フォームは下記のようになる。

＜form action="http://blogyabaiyo.com/?ul=11111" method="get"＞

　なので、「11111」の箇所に任意のHTMLコードやスクリプトを埋め込むと動いてしまうわけである。普通は、パラメータのチェックを行うものであるが、チェックルーチンがないようである。

5.全てのブログパーツに埋め込まれているわけではない

　試しにこのセッションIDらしきものを利用していそうなブログパーツをはずしてみたら、スクリプトは動かなくなった。

　余談であるが、筆者の推測であるが、この大手ブログサービスでは有料サービスやアフィリエイトサービスなどを多く行っている。つまり、利用者を特定する必要のあるサービスが多いのであろう。そのために、セッションIDを多用しているのではなかろうか？

●ブログパーツはノーチェック？

　状況を考えると、ありがちな脆弱性だと思うのであるが、率直に言ってここは大手である。それでも、まだこんな脆弱性が残っているのである。

　しかも、実は通報してから約2週間経つが未だに脆弱性への対処は完了していない。

　この件で感じたのは…

【執筆：Prisoner Langley】

【関連リンク】
セキュリティコラムばかり書いているLANGLEYのブログ
http://netsecurity.blog77.fc2.com/
-----