「トリップ共有スクリプト」の版間の差分

提供: Kakerunpedia
ナビゲーションに移動 検索に移動
(ページの作成: '''トリップ共有スクリプト'''(とりっぷきょうゆうすくりぷと)は、したらば掲示板に設置して閲覧者のトリップを抜く為のJavaScript...)
 
1行目: 1行目:
 
'''トリップ共有スクリプト'''(とりっぷきょうゆうすくりぷと)は、したらば掲示板に設置して閲覧者のトリップを抜く為のJavaScriptである。
 
'''トリップ共有スクリプト'''(とりっぷきょうゆうすくりぷと)は、したらば掲示板に設置して閲覧者のトリップを抜く為のJavaScriptである。
 +
「クロスサイトリクエストフォージェリ」と言うらしい。
 
==仕組み==
 
==仕組み==
 
JavaScriptで見えないフォームをこっそり作成して、本文にCookieで取得したトリップキーとハンドルパスワードを入れて0×0のiframeの中で別のしたらば掲示板にサブミットするというもの。但し仕掛ける掲示板と同一にしてはいけない、無限ループすることになるからである。
 
JavaScriptで見えないフォームをこっそり作成して、本文にCookieで取得したトリップキーとハンドルパスワードを入れて0×0のiframeの中で別のしたらば掲示板にサブミットするというもの。但し仕掛ける掲示板と同一にしてはいけない、無限ループすることになるからである。
8行目: 9行目:
 
*仕掛ける掲示板を他人の掲示板にして閲覧者に荒らさせる(一定のアクセス数が必要)
 
*仕掛ける掲示板を他人の掲示板にして閲覧者に荒らさせる(一定のアクセス数が必要)
 
*仕掛ける掲示板をランダムにして閲覧者に宣伝させる
 
*仕掛ける掲示板をランダムにして閲覧者に宣伝させる
[[救世主かける様]]はこれでしたらば掲示板全体に宣伝を行い(行わせ)、結果来訪者は鼠算式に増加転送量オーバーと「かける様」の全体NGワード指定になった。「皆様、かける様大学というサイトをご存じですか?」はその宣伝文の冒頭。スクリプトを暗号化してソース見ても直ぐにはばれないようにもしていた。
+
[[救世主かける様]]は[[かける様大学]]の掲示板にこれを設置してしたらば掲示板全体に宣伝を行い(行わせ)、結果来訪者は鼠算式に増加転送量オーバーと「かける様」の全体NGワード指定になった。「皆様、かける様大学というサイトをご存じですか?」はその宣伝文の冒頭。スクリプトを暗号化してソース見ても直ぐにはばれないようにもしていた。
 
==被害者==
 
==被害者==
 
*[[けんじさい]]はこれによりクリップボードデータも抜かれ、[[大阪府]]高槻市在住でペンマウスを買ったことがばれてしまった。
 
*[[けんじさい]]はこれによりクリップボードデータも抜かれ、[[大阪府]]高槻市在住でペンマウスを買ったことがばれてしまった。

2010年12月31日 (金) 14:15時点における版

トリップ共有スクリプト(とりっぷきょうゆうすくりぷと)は、したらば掲示板に設置して閲覧者のトリップを抜く為のJavaScriptである。 「クロスサイトリクエストフォージェリ」と言うらしい。

仕組み

JavaScriptで見えないフォームをこっそり作成して、本文にCookieで取得したトリップキーとハンドルパスワードを入れて0×0のiframeの中で別のしたらば掲示板にサブミットするというもの。但し仕掛ける掲示板と同一にしてはいけない、無限ループすることになるからである。

応用

  • リファラーとかクリップボードとか他の情報も抜く
  • 名前やメールに特定の文字列があった場合は抜かないようにして、管理者は逃れる
  • 逆にトリップ抜きたい人ピンポイントで抜く
  • 仕掛ける掲示板を他人の掲示板にして閲覧者に荒らさせる(一定のアクセス数が必要)
  • 仕掛ける掲示板をランダムにして閲覧者に宣伝させる

救世主かける様かける様大学の掲示板にこれを設置してしたらば掲示板全体に宣伝を行い(行わせ)、結果来訪者は鼠算式に増加転送量オーバーと「かける様」の全体NGワード指定になった。「皆様、かける様大学というサイトをご存じですか?」はその宣伝文の冒頭。スクリプトを暗号化してソース見ても直ぐにはばれないようにもしていた。

被害者

  • けんじさいはこれによりクリップボードデータも抜かれ、大阪府高槻市在住でペンマウスを買ったことがばれてしまった。
  • まさと様Borudoはハンドルパスワードと掲示板パスワードを同一にしていてハッカーされてしまった。

小ネタ

したらば掲示板のハンドルパスワード管理画面には「このハンドルパスワード と 掲示板管理パスワード を同一に設定する事は、セキュリティー上お勧め致しません。」と書かれている。トリップ共有スクリプトを意識したものと思われる。