ソニーのサイトにXSS

http://www.sonyproductinformatie.nl/main/search.php?searchfield=%3Cstyle%3E%23logo%7Bbackground-image%3Aurl(http%3A%2F%2Fwww.nintendo.co.jp%2Fimg%2FlogoNintendo.png)%20!important%3Bwidth%3A134px%20!important%3B%3C%2Fstyle%3E&x=19&y=20


ソニーのサイトにXSS
http://hatsukari.2ch.net/test/read.cgi/news/1304763288/

【速報】ソニーのサイトにヤバい脆弱性
http://hatsukari.2ch.net/test/read.cgi/news/1304763693/

なんか脆弱性の博物館みたいだなｗ

クロサイトスクリプティング (Cross Site Scripting) とは、動的にWebページを生成するアプリケーションのセキュリティ上の不備を意図的に利用し、
狭義にはサイト間を横断して悪意のあるスクリプトを混入させること。また、それを許す脆弱性のこと。
広義にはスクリプトを混入させずとも、任意の要素を混入させられうる脆弱性を含む。略記としてCSS、XSSがある。
CSSは同分野でよく使用されるCascading Style Sheetsの略でもあるので、混乱を避けるためにXSSと表記されることが多い。
攻撃者が対象となるサイトとは異なるサイトからスクリプトを送り込み、訪問者に実行せしめることから、
クロスサイト（サイトを横断した）スクリプティング（スクリプト処理）と呼ばれる。
(後略)

ttp://e-words.jp/w/E382AFE383ADE382B9E382B5E382A4E38388E382B9E382AFE383AAE38397E38386E382A3E383B3E382B0.html

リンク先間違えてた
http://ja.wikipedia.org/wiki/%E3%82%AF%E3%83%AD%E3%82%B9%E3%82%B5%E3%82%A4%E3%83%88%E3%82%B9%E3%82%AF%E3%83%AA%E3%83%97%E3%83%86%E3%82%A3%E3%83%B3%E3%82%B0

>>1
踏むとソニーのロゴが任天堂になって表示される
http://bit.ly/iOB1JN

クロスサイトスクリプティング (Cross Site Scripting) とは、動的にWebページを生成するアプリケーションの
セキュリティ上の不備を意図的に利用し、狭義にはサイト間を横断して悪意のあるスクリプトを混入させること。また、それを許す脆弱性のこと。

phpなのにサニタイジング処理もしてない時点で
ガチでソニーにはネットワーク初心者しか居ないと思う

PSNだけじゃなくて、ネットワークサービス全部危険と思ったほうが良い

こんな感じ
http://beebee2see.appspot.com/i/azuY5eL4Aww.jpg

マジかよゴキブリ息してない・・・！

SQLインジェクションにパーミッション設定ミスと来て、今度はXSSか
まるでWebセキュリティの学習教材だな

どんどん悪いとこが出てくるな
今までメディアを餌付けしてマンセーさせてたツケがきたな

>>10
セキュスペ受験の連中にはいい教材だな

これちょっといじるだけでブラクラURLとか放り込めるな

これはまるで脆弱性の宝石箱やー

>>8
なんだ、任天堂のサイトか

つまりどういうことだってばよ！？

遊ばれてるな

これが本来な
http://beebee2see.appspot.com/i/azuY14H5Aww.jpg

┌─────┐ ＼　SQLインジェクション／ 高度な技術を持つ
│質　問　 状 .│ 　 ＼　　　だってさ　　／.　国際的ハッカー集団による攻撃で
└─────┘　　　＼ ∧∧∧∧／ 　 　　　 周到な計画に基づいて
なんで　　　　　　　　　 ＜　　 　脆　＞ 　
乗っ取られたの？ 　 ＜　予　 　　＞　　　　既知です
.　　　　 　　　　　　　　　 ＜　　　 弱　＞　
　─────────＜感　　　＞──────────
　クロス　　　　　 　 　 　 ＜　　　 性　＞　　　　　,.､ ,.､
　　　サイト　　　　 　　　 ＜　!!!!　 の　＞ 　　　∠二二､ヽ
　　　　スクリプティング ／∨∨∨∨＼　　　（（´･∀･`））＜お邪魔します
　　　 　　　　　　　 　 ／sweepstakes.xls＼ 　/　ｱﾉﾆﾏｽ　＼

>>10
学習教材ｗ
Anonymous無関係に、あまりに酷すぎるから
あっちこっちからイタズラされまくってるって感じだ

なにがなにやら

>>8
カオスｗ

基本的なセキュリティの学習教材としてはなかなか
既知というか、実にメジャーな脆弱性でセキュリティやるなら
とりあえずこの辺は抑えておかないとなって奴ばっかだな

なにこれめっちゃ懐いんだが

>>23
反面教師ってやつか

つまり初心者クラッカーの教材にも

任天堂って書いてるから任天堂のサイトにXSSだろ。豚いい加減にしろよ。

URLの後ろに書き足した任意のスクリプトが実行できちゃう
URL短縮サービス使われると分からない

という事でよろしイカ？

>>27
XSSの意味もしらねーのかよ無能ｗ

>>23
アップデートはこまめに行う
鯖はOSコマンドインジェクション、SQLインジェクション対策をしてからwebに繋げる
個人情報DBは外部から見れない形でアクセスは必要最低限かつ記録に残る形に

基本ですよねー

一般の人をひっかけて攻撃者にできるところが怖いね
ソニーなら訴えてくるだろうし

>>10
パーミッション設定ミスなんてやってたのか・・・信じられん

世界中のアノニマスから玩具にされる！
さっすがソニーは世界のエンターテインメントやでぇ〜

例の「我らレギオン」も
「select * from なまえ」で見つかったらしいね

それを専門企業3社で調査して発表までに1週間掛かったという

アドレスバーにちょっと書き加えるだけでついに俺もスーパーハッカーか

>>27
>>27

m9(^_^;)

本チャンのSQLインジェクションはまあ有名とは言ってもちゃんと攻撃食らった感はあるわけだが
ニュー即で話題が挙がった2つは一般人でもああこれはダメだと気づけるというか
現に一般人に発見されてるじゃないか。なんでソニーほどの会社がこんなことに

>>37
技術者と切り捨てまくったんだろう、セキュリティをコストとでも考えてるんだろうな

ソニーほどじゃなくてその程度だったんだよ

>>38
そういえば3DS作ったメンバーに元ソニーの技術者がいたらしいな

ソニーはサニタイジングって言われてもなんだかわからないようなところになっちゃったんだろうか・・・

まぁSonyは昔からライバル会社のゲームのSSを載せてたり
いろいろ抜けてるよね。
危機管理能力以前に、お粗末な組織。こんな組織から良い製品が出来るわけないわな。

ソニーは脆弱性抱えすぎだろｗ

俺GKだけど知らぬ間に任天堂社員になれてマジ嬉しいッス

ソニーのセキュリティを全世界のトツプガンが洗ってくれてるなんて、
胸が熱くなるな
xssは得意な人が探したらグーグルクラスでも見つかるし

チカニシ調子のってんじゃねーぞ糞が
ちょっとしたXSSくらい誰でもされるだろ

自社でデバッグしきれないから世界中の有志にやってもらっているんだな
礼や報酬どころか法的措置も辞さないようではあるが

>>46
僕もこのまえ道を歩いてたら
チカニシにXSSされましたよ

http://www.sonyproductinformatie.nl/main/search.php?searchfield=%3Cstyle%3E%23logo%7Bbackground-image%3Aurl(http%3A%2F%2Fnagamochi.info%2Fsrc%2Fup66870.gif)%20!important%3Bwidth%3A270px%20!important%3Bheight%3A454px%20!important%3B%3C%2Fstyle%3E&x=19&y=20

無限軌道

>>49

これじゃねーか。踏ませようと思ってわざと貼ってんの？

241 ：名無しさん＠涙目です。(神奈川県) ：2011/05/07(土) 21:03:19.51 ID:0F0FQ5Nh0
セッションハイジャック
http://www（以下省略）

とうとうソニーグループのサイトはセキュリティの実験台状態。

ここまで見事にセキュリティの教科書に載っている事例がどんどん出てくるなんて、さすがソニー（笑。

そりゃSQLインジェクションやパーミッション設定ミスやら初歩的な事が
抜けている会社なら、ちょっと調べちゃろと思うヤツが出てきても当然だろうが・・・。

XSSまで出てくるとか、もうＯＯＯＯに刃物、ソニーにネットワークだね。

>>51
任天堂のロゴを別の画像とすり替えただけだから大丈夫

リア充のおれは毎日XSSしてるよ。
ソニーだったらXSSには不自由してないだろう。

>>37
ソニーだからだろ
まっとうな会社ならあり得んｗ

>>1
>>49
IE8だと「クロスサイトスクリプト防止」とかでブロックされて、ページは正規のものが表示される
裏を返すと、これが任天堂ロゴのページに見えてる奴はブラウザ見直した方が良いんじゃねーのか？
（わざとそういうのを使ってる人なら止めないが）

iswebに掲示板のCGIをUPしたけど設定ミスで動かなかった苦い想い出を思いだしたぜ

誰かＤＢに置き換えてわかりやすく教えて・・
おもちゃにされてるって書き込みみたから悲惨なのは理解出来るけど・・

おまいらの言ってることが一つも理解できんｗ
詳しいな。

>>58
例え厨いい加減うざいわ

こういう脆弱性をネットで広めるとか
やってることハッカーとかわらないだろｗ

だって、ソニーに直接忠告したらハッカー扱いされちゃうんでしょ？

>>56
火狐とChromeアウト

裸の王様の改変版で、少年がなぜか捕まってしまった後の世界なんだよ。

これで500億儲けるの？
大変そうだね

ぶっちゃけ、一つのサイトをやり玉にあげて、
みんなで穴を探せば、いくらでも出てくるよ。

セキュリティが完璧なサイトなんて、この世に
存在しないよ。所詮、人間がやることだしな。

みろ、これが世界のソニーの技術さ！

>>62
脆弱性見つけて、正直に教えてあげて
告訴されるんじゃ、割に合わないよね。
しょうがないから、みんなに教えて
脆弱性を悪用しないようにしてもらう
しかないよね。

しかしこんなんでよく今まで話題にならなかったな。

>>68
穴とふさぎ方を教えるから、コンサルト料金の
名目で金をよこせ、さもないと世の中に穴を
公表するぞ！

・・・って、忠告の仕方をしなければ、
ハッカー扱いはされないと思うよ。

>>62
ソニーの考えって、公にならなきゃオッケーなんだよな、こんなの誰でも悪用出来るから危険なのに
鯖の脆弱性だって、クラッカー連中の間ではかなり前から常識だったんじゃないの？

>>58
四つん這いになれば免許証を返して頂けるんですね

>>56
これでどうじゃ！

http://www.sonyproductinformatie.nl/main/search.php?searchfield=%3Cimg src=http%3A%2F%2Fnagamochi.info%2Fsrc%2Fup66870.gif width=270px height=454px%3E

倒産はしないのか？

%20にすんの忘れた＞＜

http://www.sonyproductinformatie.nl/main/search.php?searchfield=%3Cimg%20src=http%3A%2F%2Fnagamochi.info%2Fsrc%2Fup66870.gif%20width=270px%20height=454px%3E

>>74
サムソンに名前が変わって、
中身はそのままじゃね？

平井くんver.
http://www.sonyproductinformatie.nl/main/search.php?searchfield=%3Cimg%20src=http%3A%2F%2Fsankei.jp.msn.com%2Fimages%2Fnews%2F110501%2Fbiz11050118090015-p4.jpg%20width=305px%20height=450px%3E

>>66
穴はあっても穴だらけってことはないでしょ。

>>70
金払うのが嫌なら自前で探し出して塞げばいいだけだからなぁ
しかも漏洩がらみのは既知の脆弱性だって言われてるわけだし


>>73 >>75
ブロックはされなかったけど画像も出てこなかった
一度URL直打ちで画像だけ拾いに行ってからブラウザバックさせた瞬間だけは表示されるけど
更新かけたらまた消えた

きをつけなよ〜
はちまの所も
実がいないだろうけど
ttp://www.dotup.org/uploda/www.dotup.org1616221.jpg

何年か前にWebのシステムとか全然やれないおっちゃんが新人に丸投げでやらせてみたら
さくっと上っ面だけは動くものができた

おっちゃんは予算を大きく削減して完成したって報告ができればいいだけで
そもそもセキュリティー面とか突っ込み入れるほど知識もないからそのままノーチェックでリリースされた
もちろん会社自体にそれ以上のことをやれる人間もいなかった

当時おっちゃんは大いに評価され、新人君もやれる子認定された
以降その会社のWEBシステムは新人君テクノロジーを骨子に肉付けされ肥大化していった

そして今回のような事が起こってしまったが当事者達はすでに会社を去っていた

>>81
日本の企業なんて、
「Ｌｉｎｕｘならタダなんだろ？タダで作れ、タダでやれ」
って上からの命令が、本気で通る世界だからな。

これって頑張ればこのページを好きなだけいじれるって事か
http://goo.gl/TNHOx

気違いに刃物
テロリストに核兵器
ソニーにネットワークサービスと顧客情報管理

>>65
コスト削って会員増やして500億儲けるつもりが逆に500億以上の損失だな。

2兆500億稼ごうとしてるのか

底辺IT土方の分際で理系（笑）ぶってるのを見ると憫笑を禁じえないよね

お、おう

>>82
日本一が割れフォトショップ使ってたんだっけ？

XSSじゃないけどSEGAも大変なことになってる？

http://hatsukari.2ch.net/test/read.cgi/news/1304763693/272
http://hatsukari.2ch.net/test/read.cgi/news/1304763693/382

>>90
サイトの管理がお粗末ですねって点では同じ部類になるだろうけど、
個人情報漏洩というリスクの顕在化には至っていないので別次元。
XSSも既出３件の個人情報漏洩に比べたら軽微だからね…

>>90
教えてあげるならこのへん？
https://sega.jp/contact/web/
https://sega.jp/opinion/

個別スレたったのか…

まあソニーならそれくらいやってそうだ

XSSの対策なんて5年以上前のトレンドじゃね？
個人サイトじゃあるまいし、企業サイトで今更放置してるなんてあるのよ

これさ、保険も金融もこんなレベルだろ？きっと。

グループ全体で共通アーキテクチャ云々と言ってたから
保険や金融も似たようなレベルかもしれないね。

なんかもう総出でデバッグしてあげてる様相ｗｗｗ

ソニーは保険や金融も間違いなく危ない
経営者の人間性がよく出てるよ

なんじゃこりゃwwwww
脆弱性の塊みたいだなソニーは。
こりゃ探せばまだまだ出てくるんじゃねえの。

【速報】ソニーのサイトにヤバい脆弱性
http://hatsukari.2ch.net/test/read.cgi/news/1304763693/

この件に関してはセガの方がやばそうな雰囲気

さっきから何か勘違いしてる奴がいるな
「セガもやばいから大丈夫」とか「セガの方がやばいから大丈夫」とか思ってないか？

ソニーもヤバいって事から何かがマイナスされるわけじゃあるまいに

ゴキブリの話題そらし

嘲笑を禁じ得ないｗ

ソニー情報漏えい事件でセガとばっちりwwwwwwwwwwwwww

>>101
ちなみにセガは過去に個人情報流出もやらかしてるが
一応謝罪はしてる

一方どこぞの馬鹿会社は、脆弱性放置が発覚した今もなお
「俺は悪くない」を連呼している

謝罪はしただろカスは死ねよ

あれを謝罪とはｗ
失礼ですがどのような環境で育ったのでしょうか？

セガの謝罪はそんなにひどかったのかい？
ぶっちゃっけ今回のソニーは謝罪って言うか火に油の次元だが。

>>109
セガは問題ないよ。ひどいのはソニー。
107の発言を文脈から
「(ソニーは)謝罪はしただろカスは死ねよ」
と解釈しました。

完全にSONYが狙い打ちにされてセキュリティ診断状態だな

最初にハッカーに喧嘩売らなきゃ良かったって今頃後悔してんじゃね？ｗ
えらく高くついた教訓だ

E3までこんな感じで繋いでいかれたらたまったもんじゃないなｗ

正直、まじめに探せばネット上にこうした脆弱性はごろごろしていると思う。
SEとか、人手足りなくて新人レベルでも結構なところまで触っている人多いだろうし。
今回ソニーでぼろぼろ見つかるのは、「他にもあるんじゃねぇの？」と
ちょっと詳しい人が興味本位で調べ始めているからかと。

>>111
末端がこの後に及んでも以前と何も変わらず他機種叩きに精を出してるんだし
上もきっと同じだろ、根っからの体質は変わらないよ
後先とか考えずに、抵抗する奴らは力技で潰すって全方位に喧嘩ふっかけまくるのが今も昔もこれからもソニー流
口先だけじゃなく本当に絶対最強無敵（）の存在だったら良かったのにね

te

SEGAちゃんのサイトはなおったんだろうか

XSS脆弱性と聞いちゃ高木ひろみちゅ先生が黙っちゃいねえぞ
ソニーｵﾜﾀｗ ｗ ｗ

下請けに低賃金短期間で作らせたんだろうな

ノースキル
ノーモラル

GK工作を平気でやるようなところだからな

危険すぎるな

>>117
はまちちゃんを送り込もう
某はちなんとかと勘違いして受け入れてくれるかも

XSSってまともな開発ツールとテストツール使ってたら警告位してくれるだろ…

SONYがテストとかまともにしてる訳ないだろ