k-MT: Trackback の脆弱性用パッチ -- [ Movable Type ]

Index of "Movable Type"

●	Movable Type 5.13 / 5.07 / 4.38パッチリリース
●	PHP MySQL 5にしてみた
●	Googleが提供するブラックリストでURLを評価するMovableTypeプラグイン:GoogleSafeBrowsing
●	無料で営利・非営利問わずMovableTypeなどのコメント・トラックバックスパム対策に利用できる「スパムちゃんぷるーDNSBL」
●	Movable Type 4.2 RC5 とセキュリティアップデートの提供を開始
●	MTで複数ブログのフィードを統合
●	Six Apart、「Movable Type」をオープンソース化
●	Movable Type 4 最初のリリース候補版を公開
●	「Movable Type 4 日本語版」7月18日発売、編集画面の刷新やCMSを強化
●	UpdateEntryPostTimeプラグイン
●	EntryTitleFullプラグイン
●	Paged Archivesプラグインでページ分割
●	Movable Type 3.35 日本語版の提供を開始
●	Movable Type 3.34にUP
●	Movable Type 3.34日本語版の提供を開始
●	Sitemaps 0.90 用テンプレート
●	maxclient値変更
●	MTで句読点のないコメントは全て除外だ！
●	MTにIPスパムフィルターを導入
●	Captchaプラグイン
●	MovableType用UploadDir Plugin
●	blockquoteに改行
●	MTが重いのでmysqlチューンしてみた
●	日本語混じりの英語コメントスパムがやって来た
●	シックス・アパートの新ブログサービス「Vox」がついに正式版--誰でも利用可能に
●	グーグル、ブログ検索「Google Blog Search」の日本語版ベータを公開
●	フィードメーターの人気RSS/ブログランキングにのってた
●	シックス・アパート、Movable Typeの脆弱性を修正した「3.33」公開
●	「Movable Type」をデザインする--無料でデザインテーマが利用可能
●	Movable Type 3.32日本語版の提供を開始
●	Movable Type3.3の話
●	オラクルDBにも対応した企業向け「Movable Type」
●	総務省、「日本ブログ協会」設立
●	MTバージョンアップしてみた
●	Movable TypeでMySQLのテーブルが壊れた件
●	$MTEntryTrackbackCount$が取得できなくなった件
●	MTのアーカイブ・テンプレート設定が狂った件
●	Movable Type + FLASH
●	MovableTypeで Google Sitemapsを作成する
●	Movable Typeで第三者の不正アクセスを許可してしまう脆弱性
●	Gallina Gmailを利用したブログ
●	GoLive CS2にMovable Typeのテンプレート作成機能
●	暴走したそうです
●	Movable Typeでスパムメールが送信できてしまう脆弱性
●	HINAGATA遂に公開
●	クッキー絡みでのMovable Type exploit
●	遂にブログ板が！
●	TrackBackやPing送信を一括代行するシステム
●	MovableTypeの致命的バグ
●	Trackback の脆弱性用パッチ
●	MovableTypeをカスタマイズしよう
●	Blog Pet　こうさぎ
●	今後の方針
●	movabletype始めました

Categories

■ PCニュース [696 items]
	└	2020年5月のWindowsUpdate
	└	2020年4月のWindows Update
	└	2020年3月のWindowsUpdate
	└	2020年2月のWindows Update
	└	「Flash」や「Acrobat/Acrobat Reader」に脆弱性～Adobe、月例セキュリティ情報を発表

■ PCニュース [1500 items]
	└	Google、死後にデータを削除・譲渡できるツール「Inactive Account Manager」
	└	Mozilla、「Firefox」v20.0.1を公開
	└	2013年4月のWindowsUpdate
	└	Adobe、「Adobe Flash Player 11.7」「Adobe AIR 3.7」を正式公開
	└	Mozilla、「Firefox 20」を公開

■ PCニュース [1500 items]
	└	NHK、視聴者が録画していたテープから過去に放映された大河ドラマを復元
	└	大手民放ラジオ13社、ネットサイマル放送を3月中旬にスタート
	└	スーパーマリオ違法公開　豪男性が任天堂に１億円賠償へ
	└	2010年2月のWindowsUpdate
	└	Gmailに統合された“つぶやき”ネットワーク「Google Buzz」発表

■ PCニュース [1500 items]
	└	米Microsoft、オンラインストレージなど2つの限定ベータテストを開始
	└	国会図書館、大正時代の図書約15,700冊をネットで公開
	└	「Google Desktop」のLinux版が公開
	└	「RealPlayer」次期ベータ版公開、Web上の動画ダウンロードに対応
	└	PSP v3.50ダウングレーダー

■ フリーソフト [136 items]
	└	Appspector
	└	電机本舗、無償で使えるRAMディスク作成ソフト「RAMDA」v1.2を公開
	└	あらゆるテキストをメーラー風に一元管理できる「TaskPrize」がフリーソフト化
	└	操作手順などを録画するときに便利なGIFアニメ撮影ソフト「LICEcap」
	└	古いバージョンのChromeを完全に削除できる「OldChromeRemover」

■ PC Tips [29 items]
	└	Redmineのバージョンアップ記録 2.0.1 → 2.2.1 at Centos6.3
	└	Primo Ramdisk Windows7 64bit版対応のramdisk
	└	iPod touchでradikoを録音するのに試したこと色々
	└	ThinkPad x61 メモリ8G搭載
	└	ThinkPad X61 に intel製SSD X25-V を導入

■ アーティスト [1 items]
	└	Rage Against The Machine

■ アルバム [36 items]
	└	.enetics / Evereve
	└	Souvenirs / The Gathering
	└	1995 / Screaming Headless Torsos
	└	The Silent Force / Within Temptation
	└	Sign of Truth / Dionysus

■ kindle本購入記録 [216 items]
	└	進撃の巨人　悔いなき選択（２）
	└	進撃の巨人（１４）
	└	ブラック・ジャック
	└	陽だまりの樹
	└	アドルフに告ぐ

■ フリーゲーム [6 items]
	└	戦略的パズルゲーム？コールモンスターエンブレム
	└	爽快感溢れるSTG！LIBERATION ARMY
	└	進化を続けるカードゲーム！ DarkLord'sSaga
	└	ほのぼのアクション！不思議な森のポコラ
	└	硬派なARPG！ひよこ侍

■ 壁紙配布 [21 items]
	└	reverse
	└	blast
	└	alien
	└	惑星
	└	core

■ CGI [3 items]
	└	CrazeChat ver1.03
	└	適当なチャット ver1.02
	└	このカテゴリーの説明

■ Movable Type [54 items]
	└	Movable Type 5.13 / 5.07 / 4.38パッチリリース
	└	PHP MySQL 5にしてみた
	└	Googleが提供するブラックリストでURLを評価するMovableTypeプラグイン:GoogleSafeBrowsing
	└	無料で営利・非営利問わずMovableTypeなどのコメント・トラックバックスパム対策に利用できる「スパムちゃんぷるーDNSBL」
	└	Movable Type 4.2 RC5 とセキュリティアップデートの提供を開始

■ FFb [6 items]
	└	FFBがYAHOOに登録されたわけだが
	└	Xoopsに手を出してみた
	└	サントリーのアレでiPod当たったよ
	└	サントリーウーロン茶とipodの関係
	└	皆で繋ごうFFBの輪

Archives

2020年05月 [1 items]
2020年04月 [1 items]
2020年03月 [1 items]
2020年02月 [2 items]
2020年01月 [4 items]
2019年12月 [2 items]
2019年11月 [1 items]
2019年10月 [2 items]
2019年09月 [2 items]
2019年08月 [1 items]
2019年07月 [1 items]
2019年06月 [2 items]
2019年05月 [3 items]
2019年04月 [3 items]
2019年03月 [2 items]
2019年02月 [1 items]
2019年01月 [3 items]
2018年12月 [2 items]
2018年11月 [4 items]
2018年10月 [1 items]
2018年09月 [5 items]
2018年08月 [2 items]
2018年07月 [3 items]
2018年06月 [2 items]
2018年05月 [2 items]
2018年04月 [4 items]
2018年03月 [1 items]
2018年02月 [3 items]
2018年01月 [2 items]
2017年12月 [2 items]
2017年11月 [1 items]
2017年10月 [2 items]
2017年08月 [3 items]
2017年07月 [3 items]
2017年06月 [2 items]
2017年05月 [5 items]
2017年04月 [3 items]
2017年03月 [4 items]
2017年01月 [3 items]
2016年12月 [2 items]
2016年11月 [3 items]
2016年10月 [1 items]
2016年09月 [6 items]
2016年08月 [6 items]
2016年07月 [5 items]
2016年06月 [3 items]
2016年05月 [2 items]
2016年04月 [4 items]
2016年03月 [4 items]
2016年02月 [3 items]
2016年01月 [5 items]
2015年12月 [4 items]
2015年11月 [8 items]
2015年10月 [14 items]
2015年09月 [10 items]
2015年08月 [8 items]
2015年07月 [13 items]
2015年06月 [14 items]
2015年05月 [8 items]
2015年04月 [13 items]
2015年03月 [10 items]
2015年02月 [9 items]
2015年01月 [13 items]
2014年12月 [18 items]
2014年11月 [32 items]
2014年10月 [28 items]
2014年09月 [13 items]
2014年08月 [8 items]
2014年07月 [22 items]
2014年06月 [40 items]
2014年05月 [23 items]
2014年04月 [16 items]
2014年03月 [34 items]
2014年02月 [21 items]
2014年01月 [61 items]
2013年12月 [27 items]
2013年11月 [24 items]
2013年10月 [51 items]
2013年09月 [23 items]
2013年08月 [32 items]
2013年07月 [26 items]
2013年06月 [58 items]
2013年05月 [89 items]
2013年04月 [16 items]
2013年03月 [13 items]
2013年02月 [24 items]
2013年01月 [29 items]
2012年12月 [9 items]
2012年11月 [22 items]
2012年10月 [28 items]
2012年09月 [15 items]
2012年08月 [25 items]
2012年07月 [40 items]
2012年06月 [46 items]
2012年05月 [23 items]
2012年04月 [36 items]
2012年03月 [51 items]
2012年02月 [39 items]
2012年01月 [21 items]
2011年12月 [38 items]
2011年11月 [37 items]
2011年10月 [37 items]
2011年09月 [26 items]
2011年08月 [20 items]
2011年07月 [31 items]
2011年06月 [38 items]
2011年05月 [24 items]
2011年04月 [36 items]
2011年03月 [47 items]
2011年02月 [58 items]
2011年01月 [58 items]
2010年12月 [59 items]
2010年11月 [64 items]
2010年10月 [79 items]
2010年09月 [66 items]
2010年08月 [49 items]
2010年07月 [46 items]
2010年06月 [66 items]
2010年05月 [49 items]
2010年04月 [45 items]
2010年03月 [70 items]
2010年02月 [68 items]
2010年01月 [59 items]
2009年12月 [61 items]
2009年11月 [42 items]
2009年10月 [43 items]
2009年09月 [50 items]
2009年08月 [49 items]
2009年07月 [82 items]
2009年06月 [41 items]
2009年05月 [54 items]
2009年04月 [58 items]
2009年03月 [44 items]
2009年02月 [32 items]
2009年01月 [46 items]
2008年12月 [41 items]
2008年11月 [35 items]
2008年10月 [75 items]
2008年09月 [53 items]
2008年08月 [37 items]
2008年07月 [54 items]
2008年06月 [42 items]
2008年05月 [49 items]
2008年04月 [41 items]
2008年03月 [45 items]
2008年02月 [49 items]
2008年01月 [49 items]
2007年12月 [42 items]
2007年11月 [36 items]
2007年10月 [56 items]
2007年09月 [39 items]
2007年08月 [37 items]
2007年07月 [52 items]
2007年06月 [39 items]
2007年05月 [42 items]
2007年04月 [34 items]
2007年03月 [40 items]
2007年02月 [36 items]
2007年01月 [52 items]
2006年12月 [35 items]
2006年11月 [32 items]
2006年10月 [48 items]
2006年09月 [39 items]
2006年08月 [37 items]
2006年07月 [36 items]
2006年06月 [50 items]
2006年05月 [70 items]
2006年04月 [63 items]
2006年03月 [67 items]
2006年02月 [53 items]
2006年01月 [50 items]
2005年12月 [55 items]
2005年11月 [84 items]
2005年10月 [58 items]
2005年09月 [48 items]
2005年08月 [68 items]
2005年07月 [63 items]
2005年06月 [54 items]
2005年05月 [53 items]
2005年04月 [57 items]
2005年03月 [54 items]
2005年02月 [28 items]
2005年01月 [46 items]
2004年12月 [38 items]
2004年11月 [27 items]
2004年10月 [34 items]
2004年09月 [40 items]
2004年08月 [79 items]
2004年07月 [44 items]
2004年06月 [8 items]

スポンサードリンク

Links

FFB
FFB Xoops

k-MT
k-MT : ゲームの道標
k-MT : 至福の音
k-MT : WaWW

Joyful-Movie

艦娘ドロップコレクション

よい大人のnWo

Syndicate this site (XML)

« Wi-Fi携帯電話、各社がリリース前倒しを計画 | Main | MovableTypeの致命的バグ »

›8 06, 2004

Trackback の脆弱性用パッチ

[ Movable Type ]

　結構革新的な技術であるTrackBack。ブログの人と人、話題と話題を結ぶであろう魅力たっぷりの要素で誰でも簡単にできるのだが、その敷居の低さが問題に。

多くの Trackback サーバの実装に関して、容易に Trackback SPAM のターゲットにできる脆弱性が存在しますので、内容と回避法についてアナウンスします。
　
Movable Type 3.01DE に対するパッチは以下のようになる。
　
--- lib/MT/App/Trackback.pm~ 2004-07-08 11:27:47.000000000 +0900
+++ lib/MT/App/Trackback.pm 2004-07-16 19:30:24.000000000 +0900
@@ -112,6 +112,11 @@
my $app = shift;
my $q = $app->{query};
　
+ if ($app->get_header('Referer') or
+ ($app->get_header('User-Agent') || '') =~ m!^Mozilla/!) {
+ return $app->_response(Error => "Trackback ping with invalid headers: denied.");
+ }
+
my($tb_id, $pass) = $app->_get_params;
return $app->_response(Error =>
$app->translate("Need a TrackBack ID (tb_id)."))

　これで悪意のない第３者がブラウザ上でjavascriptを実行して行うスパムを防げるわけですか。悪意のあるブログからのスパム防止や、徹底的な防御策を考えると同一IPからの阻止や一定時間以内のTrackBackをエラーさせてしまうしかないかな？

　ここは2.661でしたが、Trackback.pm自体は3系統と殆ど同じようなのでそのままアナウンスに従って書き換えました(左端に+のあるところを追加です) 。多分大丈夫なはず。駄目でした。　トラックバックを完全に受けられなくなってしまった(自サイトとはてなからテスト)。

　んで、イロイロ調べてもよく分からないのでMT3をDLしてイロイロ比較。するとget_headerというサブルーチンが2.661にはないではありませんか。そこでMT3の\lib\MT\app.pmにあるget_headerの部分をtrackback.pmに移植。その上で上記にあるtrackback.pmの書き換えを行う。
　これで脆弱性修復、トラックバックもできるようになりメデタシメデタシ。移植部分は以下。場所は適当で良いので「sub init {」の上に書き加えて「#以下MT3からの移植」、とでもコメントしておくと良いかな。

sub get_header {
my $app = shift;
my($key) = @_;
if ($ENV{MOD_PERL}) {
return $app->{apache}->header_in($key);
} else {
($key = uc($key)) =~ tr/-/_/;
return $ENV{'HTTP_' . $key};
}
}

8/11 追記
この対策には一部のユーザからの Trackback Ping を拒否してしまう副作用があるそうです。また、Movable Type 2.661 以降などでは同一の IP アドレスからの短期間内の連続 Ping を拒否するオプションが用意されているのでそちらを利用する手もあるそうな

Trackback の脆弱性についての勧告 (blog.bulknews.net)

Posted by kroko 1 Comments: / 3 TrackBack

Comments

ls-land com babeblvd passwords 靚繩鴃� 眊裙� lang ru sis 650 651 740 661fx 741 760 series drivers lang ru 尤韋鰰齡 floralytes uk tarjetas y postales de aniversarios gratis sexy gif images simpsons dvd cover Boryana Dobreva

Posted by: Sandra-ck at 2007年08月16日 23:38