Nucleus CMS part4 【ニュークリアス】

>>939
フォーラムに投下されてるはなまるスキンとかいじってみれば？

これを使う明確な理由がないのならMTなりWordPressなりxoopsなりを使った方がいいよ。

良くも悪くもNucleusはマニアのオモチャ。

同意。

金出してまでやるんなら、あえてこれを使うリスクを冒す必要はない

ありがとうございます　< >>940-432

> セキュリティに関しては、半分は運用でカバーすべき問題。

この辺の運用に関してちゃんと対応してくださる方には予算を多めに分配するのは
当初から予定していました。

> これを使う明確な理由がないのならMTなりWordPressなりxoopsなりを使った方がいいよ。

はい。もともと、いくつかのCMSやブログを候補にあげて、比較検討する予定にしています。
ここでなんとなく、Nucleusの雰囲気はわかりました。
ググってもNucleusで作られたちゃんとしたサイトがなかった理由がわかりました。
候補から外す方向で考えたいと思います。

ありがとうございました

> ググってもNucleusで作られたちゃんとしたサイトがなかった理由がわかりました。
> 候補から外す方向で考えたいと思います。

ﾜﾛﾀ

俺の所ではNucleusをベースにして、企業サイトをいくつか作ってるよ。
クライアントとの約束でどこのサイトだとは言えないけど。

ただ、Nucleusであるという痕跡が一切のこらないようにしたり、
標準のNucleusとはちがう挙動をするように書き換えたりしてるから
一見してNucleusで制作してるとはわからないし、Googleで検索しても
Nucleusのサイトとしてはひっかからないよ。

このスレにずっと居座ってNucleusのネガティブキャンペーンを
している人がいるようだけど、要は使い方次第。

> ここでなんとなく、Nucleusの雰囲気はわかりました。
ここでは分からないよ。分かってる人には参考になる話も多いけどね。

業務でビジネスサイト作るならMTは悪くない選択肢だねえ。
Nucleusでオフィシャルなサイトをいくつか作ってるけど、
必要がなければNucleusをあえて採用することはないな。だいたいMT。

慣れてないならXoopsは敬遠すべし。運用がつらい。

secuniaを見る限りは、WPもセキュリティ的に問題あるから
これも候補から外しておこうな。
XSS等、発見されてる脆弱性のうち3割近くがまだ未修正

http://secunia.com/product/6745/


MTは選択肢としては無難。
Nucleusはいじりやすい分（いじらなきゃいけない分）技術は必要。
ディレクトリ構成を変更するとか、標準構成からハズしておくのはNucleusに限らず基本技かな。
このへんは例の本にも解説されてるくらいだし。

いちおう追記
日本語版の事情をしらないで書いたが、そのへん修正対応されてるかもな＞WP
どっちにしろ脆弱性で議論したらWPもNもどんぐりの背比べみたいなもんだが。

これだ!!!!!!!!!!!
http://p905.but.jp/get.php
http://p905.but.jp/gets.php
http://p905.but.jp/geta.php
http://p905.but.jp/gety.php
http://mega-r.com/u/rank.php?id=ranktera

>>950
みるからに、いろんな意味でリンクをクリックさせたい意志ミエミエのリンクだなぁｗ

あまり修正されてないよ。でも運用でカバーできる。
そもそも監視の目が少ないNucleusと単純には比較できないと思う。

WPはユーザ権限の設定が細かいのでビジネス向きかもしれない。
MTにはワークフロープラグインがある。
Nucleusは一般的なビジネスCMSとしては印象が薄いが
特殊な案件には向いてることがあるので、習得しておいて損はない。

監視の目ってことでさじ加減しても、やっぱりどんぐりの背比べじゃね？

secuniaアドバイザリ数
WordPress2.x : 22
Nucleus3.x : 7

それ言っちゃ、XoopsもDrupalも悲しい結果って話もあるけど。
オープンソースってこのへんを追う手間がかかる傾向はあるね


>>928
釣りかしらんが、
どのツールを選ぶかより、技術があってきちんと対応してくれる人・業者をまず探すのが肝要。
俺だったらまずサイトの要求仕様を聞いてからツールを選ぶし、まともなところは大抵そうだとおもう。
あと構築だけじゃなく運用にも予算を割くことを忘れずに。

セキュアかどうかに監視の目の数と質ってのは重要だとは思うが、
secuniaアドバイザリ数と因果関係が指摘できると本気で思ってるのか？

その他の点はおおむね同意だが。

コードの書き方から来るかもしれない脆弱性が気になるね＞WP
報告されている脆弱性に対するパッチが出ない理由がそれだとすると、
ちょっと怖いよ。

Nucleusでは、アングラなプラグインに依存するケースが多いから
コアの脆弱性と同等にプラグインの脆弱性がヤバいな問題になるし、
プログラムに問題がなくてもへぼい運用を誘発する機能があって、
実被害が重い割に、報告しにくい構造になっている。

だからどうとも思わないが、secuniaなんぞ引っ張り出しても意味がない
ってわからない青二才が本質的な問題を隠蔽してNucleusをダメにする。

『アングラ』という表現が気に入らないが、おおむね同意。プラグインに
依存するからコアの脆弱性云々がってのが、訳ワカメだけど。
たしかに、プラグインの脆弱性はSecuniaには入ってないからね。
3.3では、プラグインに少々脆弱性が合ってもセッションハイジャックは
簡単には起こらないようになってるけど、そういったことも Secunia
のデータには入ってない。

書き方悪かっただろうけど、secunia出して言いたかったことは
NがWPよりセキュアって意味じゃない。WPがNよりセキュアってわけでもないほうだ。
開発陣がセキュリティに関して後手にまわってるのはNもWPも一緒。
開発の推進力が興味ベースというか、ビジネスを強く意識してないプロダクトにありがちなのかもしれない。
運用にも予算割こうってのはそういうことで。

ちなみにプラグインの脆弱性もsecuniaに報告できるよ。
Xoopsなんかは結構出てる。
Nucleusはよほどマイナーなせいか報告は無い

> 開発の推進力が興味ベースというか、ビジネスを強く意識してないプロダクトにありがちなのかもしれない。

同意。ビジネス用じゃないんだよな。Nucleusは。
ＭＴにライセンス料を払えないへぼ業者が穴だらけ運用して、
Nucleusの評判を落としたり、クラッカーのターゲットになったりで
結果として有志の開発者への風当たりが強くなるのは迷惑だな。

セキュリティの難しい話をしてるところごめんなさい。

そんなにしょっちゅうNucleusのサイトを実際に攻撃されて
被害にあってるサイトって多いんですか？

それからもし攻撃にあって被害を受けたとしたらどんな被害になるんですか？

俺もブログ立ち上げてるけど、その辺良く解ってないなあ…

新しいCMSなどは愉快犯的に派手に荒らされることもあるけど
NucleusのようなマイナーなCMSはこっそりと狙われやすいと思う。
フィッシングサイトを仕込まれたりとかね。

特にプラグインディレクトリは要注意。pluginsディレクトリを開いて、
怪しいタイムスタンプのファイルやディレクトリがないか調べてみよう。

> 特にプラグインディレクトリは要注意

そのレベルで知ったかぶりするなよ。
それとも本気でそう思ってるのか？

すまん。知り合いのプログラマーが言ってたそのままだ。w
全ファイルを調べるのが大変なら、プラグインディレクトリだけでも
調べておけ、素人でもそれくらいできるだろ？という話。
本当はmediaディレクトリなんかも十分危ないのでは？(これは俺の考え)

素人というか初心者にはちょっとわからないんですけど、
プラグインディレクトリにあるファイルをいじられるというのが
被害ってことなのでしょうか？

それから被害の頻度についてはお答え頂けないようですけど
しょっちゅう被害が発生しているわけではないんでしょうか？

あまりNucleusを利用している方で被害にあったという方を
ネットで見聞きしないのに、どうもこのスレッドを拝見してると
日常茶飯事で被害があるかのような危機感を煽られてる
書き込みをされてる方がいらっしゃるような感じがしたので
ついつい質問させてもらいました。

>>966
工作員のコメントだから気にしないで^^

>>966
自鯖で複数人で2年ちょっと運用してる。
ホスト全体で毎日ログチェック＋ファイル改竄チェックかけてるけど無問題。
一時期リモートコード実行の脆弱性（修正済）を狙ったヘボいアクセスがしつこく来てたぐらい。

最近このスレにもスーパーハカー増えて超頼もしいお（ ＾ω＾）

ここで騒がれているほど頻繁に被害に遭うというわけではないので
あまり深刻に心配する必要はないということですね。
お答えありがとうございました。

一番起こる可能性が高い攻撃はXSSかCSRFだと思うが、どちらにしても
攻撃として有効になるには管理者にリンクを踏ませる必要があるため
脆弱性があっても、そんなに簡単に攻撃が成立するという話ではない。

ただ、複数人運用で、信頼できないユーザーがいる場合、危険は急激に
高まることを認識すべき。つまり管理者にリンクを踏ませたり、悪意のある
スクリプトが入ったページを開かせることが比較的簡単にできてしまうから。

そして次スレの季節です
>>980　よろぴこ

>>961 の質問には知ったかぶりをした約１名を除いてコメントしてないわけでしょ。

> ここで騒がれているほど頻繁に被害に遭うというわけではないので
> あまり深刻に心配する必要はないということですね。

おもしろいなぁ。その結論。だれも直接答えてないのに。
自分は被害に合ってないというコメントが一つあるだけで、その結論。

> あまりNucleusを利用している方で被害にあったという方を
> ネットで見聞きしないのに

お前は調べものってのをしたことがあるのか？
被害にあったやつは大概、閉鎖してる。

夏はクラッキングの季節。これから２週間が山だと思うぜ。

>>136
>>972
楽しそうだね^^

あ〜、春は忙しかったんでな。月末にレポート出すよ。

使途迎撃の用意はあるか？

Nucleusでの被害の実態は知らないですが
ビジネス＝信用第一です。脆弱性を放置することのリスクは考えましょう。
それがたとえシステム上で個人情報やEコマースに直接結びついてなくても
大したこと無いで済ますか、きちんと対処しておくかで後々の明暗が分かれることがあります。
これはNucleusに限らない話。

>>970のおっしゃるとおり、アカウントを不特定多数に解放してる場合は
それに応じたセキュリティ対策を十分に講じておかないと
Nucleusの管理権限の奪取がたやすく出来てしまうことに注意してください。
とくにv3.24以前。
v3.3だからといっても慢心なきように・・・。
管理権限の奪取以外にも悪用の仕方は色々ありますので。

個人ユーザーの場合はそれほど神経質になる必要はないと思いますが
やはりバージョン（システム本体・プラグイン共）には気を配ってください。
脆弱性が判明してる古いバージョンのまま放置してると狙われるかもしれません。
目に見える被害が自分にかかればそれとわかるでしょうが
何も知らずに、よそのサイトを攻撃するための踏み台やスパム行為の片棒担ぎ等になってるとも限りません。

Nucleusの初期設定としては、
まずcreateaccount.htmlを削除し、管理画面「グローバル設定」のメンバー設定で、

・ビジターにメンバーアカウント作成を許可する

を「いいえ」にしておくことをオススメします。
（多くの人にとって、これは余計な機能だと思うので）

同じことを何度も書かなくてもよくね？
念仏じゃあるまいし

> Re: アップロードするファイルのフォルダ名について

へぇ〜、そういうのわからない人いたんだ・・・と、にやにやしてみるテスト

またこの不毛な流れか。
２ちゃん以外のちゃんとした場所にちゃんとした言葉で一回書けば済む話だろうに。

ユーザーはキチンとログアウトしないとセキュリティー上まずいんでしょうか？

>>980
概出だよ
それでも聞きたきゃ、フォーラム逝け。

通りいっぺんの対策を偉そうに書くやつ、頼むからもうやめてくれ
そんなに暇なら、ダメサイトの掃除を頼む

register_globals=OFFにすべし。既出だっけ？

ﾜﾛﾀ

なんでこのスレ、キレ気味なん？
殺伐としてるなw

>>984
なぜか上から目線の文体でしか文章をかけない人が
多いから殺伐としてるんじゃないかと思うよｗ

慇懃無礼な知ったかさん、口が臭いって陰で言われてるだろｗｗ

>>984-987
殺伐としたスレにしているレスの例w

えらいな。987も入っている。おしいな。988が入ってないww

media.phpって、もう少しどうにかならなかったのかな、この使い勝手の悪さ。
1個ファイルうｐするだけなのにステップ数が多すぎる。
cookieに記憶させて前回選択したフォルダを既定にするくらいはできたんじゃないかと。

>>987-988
そうそうｗ
そういうふうに楽しいレスが増えればもっと和やかになると思うよ。