https://ameblo.jp/hamachiya2/ ぺろぺろぺろ ja-jp https://ameblo.jp/hamachiya2/entry-10412376297.html Amebaのセキュリティ対策について｜スタッフブログアメブロまわりを数分程度ざざっと眺めただけでも、いたるところでCSRFの対策が入ってないようなんだけど、この規模のサービスなら、いちおうそれなりにやっておいた方が…。たぶん現状だと脆弱性をひとつひとつどこかに報告するとかっていうレベルじゃないです…。(これらをセキュリティホールと呼ぶのか仕様と呼ぶのかは知らないけど…)[» この日記のブックマークコメントを見る/書く ] 2009-12-16T11:05:41+09:00 https://ameblo.jp/hamachiya2/entry-10411828606.html 前の日記にも書いたけれど、ぼくの名前をかたったウイルスがアメブロに広まっていたみたいなので、ちょっとだけ調べてみたよ。(参考) [ほまち]　gooブログ検索ぼくのIDって「hamachiya2」なんだけど、それとすごくよく似たIDを誰かが取得して、そのIDのプロフィールページに変なコードが仕掛けられてあったみたい。ざざっと調べた感じだと、下の４つのIDを確認したよ。homatiya2 (ほまちや２) [プロフィールの魚拓] [画面キャプチャ]homachiya2 (ほまちや２) [プロフィールの 2009-12-15T18:36:37+09:00 https://ameblo.jp/hamachiya2/entry-10411682233.html ぼくの名前をもじった「ほまちや」という名前でアメブロのルームにウイルスを広めている人がいらっしゃるようです。※「ほまちや」以外に「hamachya2」 (つづりに i がない) というIDもあるみたい。ルームに書かれた短縮urlをクリックすると元々のプロフ等を消去して書き換えられ感染していくというもの。悪質ですね。被害にあった方は、証拠を保存した上で「大事なデータを消去された」と、警察に相談するなどしてみてはいかがでしょう。 2009-12-15T14:28:54+09:00 https://ameblo.jp/hamachiya2/entry-10410983430.html (追記 2009/12/17) アメーバの仕様変更により以下のものは使えなくなりました。アメブロには「ペタ」っていう、ちょっとイイ機能がありますよね。これはなにかっていうとmixiの足あとのようなもので、mixiと違う点はといえば、訪問者が「ペタボタン」を押さないかぎり、ペタが残らないという点。ペタを残すか残さないかを、訪問者が決められるわけですね。でも、このペタボタン、もし自動でクリックする仕掛けがページ側にあればmixiのあしあとのように、来訪者のIDを知ることができてしまいます。そこで、ち 2009-12-14T15:30:04+09:00 https://ameblo.jp/hamachiya2/entry-10408365492.html アメーバなうではformからtokenを送信しているにもかかわらず、サーバー側で未チェックだったが故のCSRFでしたが、いま軽くチェックしてみたところなんと…このAmebaブログの方も、まったく同じ状態(token未チェック)だったのでまったく同じこと ちょっと近いことができます…！って、おばあちゃんが言ってましたよ！なにこれなにこれどういう意味なの、おしえてえらいひと！(追記)実際には投稿にいくつかの必須パラメータがあってそのうちuser_id(数字)の指定もあるからそれほど簡単ではなかったか 2009-12-11T02:08:31+09:00 https://ameblo.jp/hamachiya2/entry-10408247247.html お友達の書き込みに「こんにちはこんにちは！！」というものがあったら絶対にクリックしないでください！！！！アメーバスタッフさんの記事によると、その書き込みをクリックすると自分の日記にも自動的に同じ内容の記事が投稿されるそうです！その結果、それを見た他のアメンバーさんにも、どんどん感染していきます！これはワームというウイルスで、まるでチェーンメールのように悪質です！！その上、プロフィールなどの個人情報が漏洩する場合があるかもしれません！詳細は不明ですが、とても不気味です…！「こんにちはこんにちは！！ 2009-12-10T23:08:07+09:00