CMS�ɐ���SQL�C���W�F�N�V�����F�����Ă݂Ȃ���ᕪ����Ȃ��H �Â�Web�A�v���̐Ǝ㐫�i2�j�i1/2 �y�[�W�j

����́A�Â�CMS�ɐ���SQL�C���W�F�N�V�����̐Ǝ㐫�����؂���B�f�[�^�x�[�X�𑀍삵�����ʁA�ǂ�Ȃ��Ƃ��”\�ɂȂ�̂��A���̊댯�������炽�߂ĔF�����Ăق����B

» 2013�N05��30�� 18��00�� ���J
[�R�{�m��R�ibogus.jp�j�C��IT]

�@����ɂ��́B�O��́u�Â��uZenPhoto�v��XSS�Ǝ㐫�̃��X�N���m�F�v�ł́ACMS�̒~�ό^�N���X�T�C�g�X�N���v�e�B���O�iXSS�j�Ƃ����A�^�O�����̂܂܃R�����g�ɖ��ߍ��ނ��Ƃ̂ł���Ǝ㐫�𗘗p���āA�t�B�b�V���O�Ɉ��p����鋰��̂���_�C�A���O��\�������A���̊댯�������؂��Ă݂��B

�@����́ACMS�ɐ���SQL�C���W�F�N�V�����Ǝ㐫���g�����f�[�^�x�[�X�̑���Ƀ`�������W���Ă݂����B

�Ȃ��{�e�Ŏ����Ɏg�p����‹��́A������O�������ɐƎ�Ȃ̂ŁA��΂ɖ{�Ԋ‹��Ɏg�p���Ă͂����Ȃ��B�܂��{�e�Œm�����U����@�𑼎҂̊Ǘ�����T�[�o�Ŏ��s���邱�Ƃ́A�����m���ŕs���A�N�Z�X�֎~�@�ɒ�G���邽�߁A��΂ɍs���Ă͂����Ȃ��B


�����炢�FSQL�C���W�F�N�V�����Ǝ㐫���ĉ��H

�@�������s���O�ɁA���������uSQL�C���W�F�N�V�����Ǝ㐫�Ƃ͉�����H�v�ɂ‚��āA�ȒP�ɉ�����Ă������B

�@SQL�C���W�F�N�V�����Ƃ͂��̖��̒ʂ�ASQL��}������Ǝ㐫���BWeb�A�v���P�[�V���������z�肵�Ă���SQL�ɊO������׍H�������邱�ƂŁA�U���҂����낢��ƃf�[�^�x�[�X�𑀍�ł��Ă��܂��B

�@�������A�O��Ƃ��āA�O������̓��͒l���v���O���������������ʂ��K�v�ƂȂ�̂͂����܂ł��Ȃ��B

�@�ȒP�ȗ�������ĉ�����悤�B����͈ȉ��̂悤�ɂȂ�B�܂��A

http://example.jp/?pass=1

�̂悤�ȁApass�Ƃ����p�����[�^���󂯎���ď������s���v���O����������Ƃ���B�������s�����i��Web�A�v���P�[�V�������j�́A

$sql='select * from `table` where `pass`=$_GET["pass"]';

�̂悤�ɂ��āASQL����g�ݗ��ĂĎ��s����B����́A�p�X���[�h��DB�ɕۑ�����Ă�����̂Ɣ�r���A��v�����ꍇ�̓��O�C���ɐ������A�����𑱍s����悤�ȃv���O�������i�����ł̓p�X���[�h�𐔒l�Ƃ��Ă��邪�A�����܂ŊȈՓI�ȃ`�F�b�N��z�肵����ł���j�B

�@�����ɁA

http://example.jp/?pass=1 or 1��1

�̂悤��URL�ŃA�N�Z�X����Ƃǂ��Ȃ邾�낤�B�������瓱���o�����SQL����

select * from `table` where `pass`=1 or 1��1

�ƂȂ�A���̌��ʁuselect * from `table`�v�Ɠ����悤�ɂ��ׂĂ̒l���Ԃ��Ă���悤�ɂȂ�B�����A�v���O�������u���������̒l���Ԃ��Ă�����F�ؐ����v�Ƃ������e�������Ȃ�A�A�N�Z�X�F�؂�����ł��Ă��܂����ƂɂȂ�B

�@���̂悤��SQL�C���W�F�N�V�����Ƃ́A�O������̓��͂ɂ���Ď��s����SQL�������������邱�ƂŁA�s���A�N�Z�X����R�����ȂǁA�J���҂��v���Ă��݂Ȃ����Ԃ��N���邱�Ƃ������邾�낤�B

SQL�C���W�F�N�V������h���ɂ�

�@SQL�C���W�F�N�V�����Ǝ㐫�́A��{�I�����[�U�[�̓��͂���������ۂ̕s����ɋN������B�����ŁA��{�I�ȑ΍�����͒l���`�F�b�N���ASQL�̋�؂蕶���Ȃǂ�������ƃG�X�P�[�v�����Ƃ������ƂɂȂ�̂����A�ǂ����Ă��R��Ă��܂����Ƃ�����B�����ōŋ߂ł́A�����I��SQL�C���W�F�N�V�������������ɂ����Ƃ�����v���[�X�z���_�̎g�p����������Ă���悤���B

�y�֘A�����N�z

���S��SQL�̌Ăяo�����iPDF�j

http://www.ipa.go.jp/security/vuln/documents/website_security_sql.pdf


�@�Ƃ͂����A�I�[�v���\�[�X��Web�A�v���𗘗p���邷�ׂĂ̐l���\�[�X�R�[�h��ǂ�ł��瓱������킯�ł͂Ȃ��B�ƂȂ�Ǝg�����Ƃ��ẮA����Web�A�v���ɐƎ㐫���Ȃ����Ƃ��肤�����Ȃ��B

SQL�C���W�F�N�V�����Ǝ㐫�̂���A�v�����C���X�g�[������

�@��������͎��ۂɁASQL�C���W�F�N�V�����Ǝ㐫�̂���Web�A�v�����C���X�g�[�����邱�Ƃɂ���B�C���X�g�[������̂�2012�N�ɐƎ㐫�����‚������uBabyGekko�v�Ƃ���CMS���B���̐Ǝ㐫�ɂ‚��Ă͕M�҂��񍐂������A���̑O�ɕʂ̐l���񍐂��Ă����悤�ŁA�Ԏ����͂��O�ɏC������Ă����B�Ȃ�����BabyGekko�́A2013�N2����SCHLIX�Ƃ������̂Ƀ��j���[�A������Ă���B

�@�Ǝ㐫�̂���o�[�W������1.2.2e�ȑO�Ȃ̂ŁA�����ł�1.2.2e���_�E�����[�h����B

�@�_�E�����[�h������A�^�[�~�i�����J���A�O��C���X�g�[������lampp�̃h�L�������g���[�g�ɉ𓀂���B

$sudo unzip gekko_web_builder_v1.2.2e.zip -d /opt/lampp/htdocs/

�@����config�t�@�C�����K�v�ɂȂ�̂ŁA�T���v�����R�s�[���A�������݌�����t�^����B

$cd /opt/lampp/htdocs/gekkocms/
$sudo cp config.inc.sample.php config.inc.php 
$sudo chmod 666 config.inc.php 

�@�����āA�����p��gekkocms�t�H���_�ɏ������݌����������Ă����B

$sudo chmod 777 /opt/lampp/htdocs/gekkocms/

�@���ɁAphpMyAdmin���g���i�ʂɎ�i�͉��ł��������j�ABabyGekko�Ŏg�p����f�[�^�x�[�X�ƃ��[�U�[���쐬����B�O�񓯗l�ɐV�K���[�U�[���쐬���A���[�U�[�Ɠ����̃f�[�^�x�[�X�Ƀ`�F�b�N�����Ă����΂����̂����A��̎����̂��߁A�O���[�o�������́uFILE�v�Ƀ`�F�b�N�����Ă����B

BabyGekko�Ŏg�p����f�[�^�x�[�X�ƃ��[�U�[���쐬����

�@DB�̐ݒ肪�I���ƁAWeb����BabyGekko�̃C���X�g�[����Ƃ��s���B�C���X�g�[��URL�͈ȉ��̂Ƃ��肾�B

http://�T�[�o��IP�A�h���X/gekkocms/install/

�@�A�N�Z�X����ƁA���ׂẴ`�F�b�N���ڂɗ΂̃`�F�b�N�������Ă���͂����B�����Ă��Ȃ��ꍇ�́A�m�F���ďC������B

�@�����āA��قǍ쐬�����f�[�^�x�[�X�̏�����͂��āA�uTest it�v�{�^�����N���b�N����B

�C���X�g�[���J�n�B�쐬�����f�[�^�x�[�X�ƃ��[�U�[�̏�����͂���

�@���Ȃ���΁uSo far everything looks great!�v�Ƃ����_�C�A���O���\������邾�낤�B�����āA�uTest it�v�{�^���̉��Ɂ��uPlease click here to proceed�v�Ƃ��������N�������Ă���̂ŁA�������N���b�N����B

�uPlease click here to proceed�v�����N���N���b�N����

�@�����CMS�̐ݒ�ƊǗ��҃��[�U�[�̃p�X���[�h�Ȃǂ�ݒ肷���ʂ��\�������̂ŁA�K���Ȓl�����āuSubmit�v�{�^�����N���b�N����B�Ȃ��A���[���A�h���X���u@IP�A�h���X�v�ɂȂ��Ă���ꍇ�̓G���[���o��̂ŁA�K���ȃh���C�����ɕύX����B

�Ǘ��҃��[�U�[�̃p�X���[�h��T�C�g���Ȃǂ�ݒ肷�遄

�@����ƃf�[�^�x�[�X���쐬�����B�T���v���f�[�^�𓊓����邩�ǂ����q�˂���̂ŁA���W�I�{�^�����uYes�v�ɍ��킹�āA�uSubmit�v�{�^�����N���b�N����B

�f�[�^�x�[�X�̍쐬�ƃT���v���f�[�^�̓���

�@����ŃC���X�g�[���͏I�������B/install/�t�H���_��ʂ̖��O�ɕύX���邩�폜���Ă������B

�C���X�g�[���I����ʂ��\�������
http://�T�[�o��IP�A�h���X/gekkocms/

������ƁA�T���v����ʂ��\�������̂������邾�낤�B

�T���v���u���O�̉��

�@�Ǘ��҂Ƃ���BabyGekko�Ƀ��O�C������ɂ́A

http://[�T�[�o��IP�A�h���X]/gekkocms/admin/

�ɃA�N�Z�X����B

�Ǘ��җp���O�C�����j���[���烍�O�C������

�@����ŊǗ��҃��j���[���\�������͂��Ȃ̂����A�G���[������悤�ŕ\������Ȃ�����������B���������Ƃ���A/gekkocms/js��.htaccess�ɃG���[������悤���B

$vi /opt/lampp/htdocs/gekkocms/js/.htaccess

�ŊJ���A

	RewriteRule yui_combo.js js_gzip.php?js=yui_combo
	RewriteRule yui_mini_utilities.js js_gzip.php?js=yui_mini_utilities

��

	RewriteRule yui_combo.js /gekkocms/js/js_gzip.php?js=yui_combo
	RewriteRule yui_mini_utilities.js /gekkocms/js/js_gzip.php?js=yui_mini_utilities

�ɏC������B

�@�@�@�@�@�@ 1|2 ���̃y�[�W��

Copyright © ITmedia, Inc. All Rights Reserved.

'; if( !this.isSubscription ) { this.insertTarget = document.querySelector('#cmsBody .subscription') || document.querySelector('#cmsBody .inner'); } }; BodyAdIMSWithCCE.prototype = Object.create(BodyAdContent.prototype); BodyAdIMSWithCCE.prototype.activate = function () { refreshGam('InArtSpecialLink'); } // global reference window.itm = itm; //entry point BodyAdEventBase.polyfill(); const bodyAdManager = BodyAdManager.getInstance(); bodyAdManager.addEventListener(BodyAdManager.EVENTS.READY, function (ev) { bodyAdManager.loadAdvertise(); }); bodyAdManager.init(); })();
�X�|���T�[����̂��m�点PR

���ڂ̃e�[�}

4AI by IT - AIAAA
Microsoft  WindowsőO2025
AI for GWjAO
[R[h^m[R[h Zg by IT - ITGWjArWlX̒SŊ􂷂gD
Cloud Native Central by IT - XP[uȔ\͂gD
�V�X�e���J���m�E�n�E �y�����i�r�zPR
���Ȃ��ɂ������߂̋L��PR

RSS�ɂ‚���

�A�C�e�B���f�B�AID�ɂ‚���

���[���}�K�W���o�^

��IT�̃��[���}�K�W���́A �������A���ׂĖ����ł��B���Ѓ��[���}�K�W�������w�ǂ��������B