Webのフォームのテキストボックスのexploit対策

Tweet

どうやら Web フォームの textfield や、file などのブラウザでは単行しか入らないハズのテキストボックスに、0x0a で区切った文字列を流し込んで、exploit するロボットさんがいるくさい。テキストボックスには、改行文字は入らないという思いこみがあると exploit されてしまうのですね。幸い、当方のファイル送信フォームでは、それが効かないのですが、log で 0x0a をレコードの区切りとして利用しているものだから、表示がずれたりしてキモいので、perl の CGI 側で対策。

CGI モジュールなんかでフォームを解析したあと、必要な変数に

s/(.*?)[\x0a\x0d].*/$1/s;

をする。

2005.09.13 01:52 投稿　大野 義貴 [パソコン・インターネット] | 固定リンク |