����́A�Â�CMS�ɐ���SQL�C���W�F�N�V�����̐Ǝ㐫��������B�f�[�^�x�[�X�𑀍삵�����ʁA�ǂ�Ȃ��Ƃ��\�ɂȂ�̂��A���̊댯�������炽�߂ĔF�����Ăق����B
�@����ɂ��́B�O��́u�Â��uZenPhoto�v��XSS�Ǝ㐫�̃��X�N���m�F�v�ł́ACMS�̒~�ό^�N���X�T�C�g�X�N���v�e�B���O�iXSS�j�Ƃ����A�^�O�����̂܂܃R�����g�ɖ��ߍ��ނ��Ƃ̂ł���Ǝ㐫�𗘗p���āA�t�B�b�V���O�Ɉ��p����鋰��̂���_�C�A���O��\�������A���̊댯���������Ă݂��B
�@����́ACMS�ɐ���SQL�C���W�F�N�V�����Ǝ㐫���g�����f�[�^�x�[�X�̑���Ƀ`�������W���Ă݂����B
�Ȃ��{�e�Ŏ����Ɏg�p������́A������O�������ɐƎ�Ȃ̂ŁA��ɖ{�Ԋ��Ɏg�p���Ă͂����Ȃ��B�܂��{�e�Œm�����U����@�𑼎҂̊Ǘ�����T�[�o�Ŏ��s���邱�Ƃ́A�����m���ŕs���A�N�Z�X�֎~�@�ɒ�G���邽�߁A��ɍs���Ă͂����Ȃ��B
�@�������s���O�ɁA���������uSQL�C���W�F�N�V�����Ǝ㐫�Ƃ͉�����H�v�ɂ��āA�ȒP�ɉ�����Ă������B
�@SQL�C���W�F�N�V�����Ƃ͂��̖��̒ʂ�ASQL��}������Ǝ㐫���BWeb�A�v���P�[�V���������z�肵�Ă���SQL�ɊO������H�������邱�ƂŁA�U���҂����낢��ƃf�[�^�x�[�X�𑀍�ł��Ă��܂��B
�@�������A�O��Ƃ��āA�O������̓��͒l���v���O���������������ʂ��K�v�ƂȂ�̂͂����܂ł��Ȃ��B
�@�ȒP�ȗ�������ĉ�����悤�B����͈ȉ��̂悤�ɂȂ�B�܂��A
http://example.jp/?pass=1
�̂悤�ȁApass�Ƃ����p�����[�^������ď������s���v���O����������Ƃ���B�������s�����i��Web�A�v���P�[�V�������j�́A
$sql='select * from `table` where `pass`=$_GET["pass"]';
�̂悤�ɂ��āASQL����g�ݗ��ĂĎ��s����B����́A�p�X���[�h��DB�ɕۑ�����Ă�����̂Ɣ�r���A��v�����ꍇ�̓��O�C���ɐ������A�����s����悤�ȃv���O�������i�����ł̓p�X���[�h�𐔒l�Ƃ��Ă��邪�A�����܂ŊȈՓI�ȃ`�F�b�N��z�肵����ł���j�B
�@�����ɁA
http://example.jp/?pass=1 or 1��1
�̂悤��URL�ŃA�N�Z�X����Ƃǂ��Ȃ邾�낤�B�������瓱���o�����SQL����
select * from `table` where `pass`=1 or 1��1
�ƂȂ�A���̌��ʁuselect * from `table`�v�Ɠ����悤�ɂ��ׂĂ̒l���Ԃ��Ă���悤�ɂȂ�B�����A�v���O�������u���������̒l���Ԃ��Ă�����F�ؐ����v�Ƃ������e�������Ȃ�A�A�N�Z�X�F������ł��Ă��܂����ƂɂȂ�B
�@���̂悤��SQL�C���W�F�N�V�����Ƃ́A�O������̓��͂ɂ���Ď��s����SQL�������������邱�ƂŁA�s���A�N�Z�X����R�����ȂǁA�J���҂��v���Ă��݂Ȃ����Ԃ��N���邱�Ƃ������邾�낤�B
�@SQL�C���W�F�N�V�����Ǝ㐫�́A��{�I�����[�U�[�̓��͂���������ۂ̕s����ɋN������B�����ŁA��{�I�ȑ�����͒l���`�F�b�N���ASQL�̋�蕶���Ȃǂ�������ƃG�X�P�[�v�����Ƃ������ƂɂȂ�̂����A�ǂ����Ă��R��Ă��܂����Ƃ�����B�����ōŋ߂ł́A�����I��SQL�C���W�F�N�V�������������ɂ����Ƃ�����v���[�X�z���_�̎g�p����������Ă���悤���B
���S��SQL�̌Ăяo�����iPDF�j
http://www.ipa.go.jp/security/vuln/documents/website_security_sql.pdf
�@�Ƃ͂����A�I�[�v���\�[�X��Web�A�v���𗘗p���邷�ׂĂ̐l���\�[�X�R�[�h��ǂ�ł��瓱������킯�ł͂Ȃ��B�ƂȂ�Ǝg�����Ƃ��ẮA����Web�A�v���ɐƎ㐫���Ȃ����Ƃ��肤�����Ȃ��B
�@��������͎��ۂɁASQL�C���W�F�N�V�����Ǝ㐫�̂���Web�A�v�����C���X�g�[�����邱�Ƃɂ���B�C���X�g�[������̂�2012�N�ɐƎ㐫�����������uBabyGekko�v�Ƃ���CMS���B���̐Ǝ㐫�ɂ��Ă͕M�҂��������A���̑O�ɕʂ̐l�����Ă����悤�ŁA�Ԏ����͂��O�ɏC������Ă����B�Ȃ�����BabyGekko�́A2013�N2����SCHLIX�Ƃ������̂Ƀ��j���[�A������Ă���B
�@�Ǝ㐫�̂���o�[�W������1.2.2e�ȑO�Ȃ̂ŁA�����ł�1.2.2e���_�E�����[�h����B
�@�_�E�����[�h������A�^�[�~�i�����J���A�O��C���X�g�[������lampp�̃h�L�������g���[�g�ɉ𓀂���B
$sudo unzip gekko_web_builder_v1.2.2e.zip -d /opt/lampp/htdocs/
�@����config�t�@�C�����K�v�ɂȂ�̂ŁA�T���v�����R�s�[���A������������t�^����B
$cd /opt/lampp/htdocs/gekkocms/ $sudo cp config.inc.sample.php config.inc.php $sudo chmod 666 config.inc.php
�@�����āA�����p��gekkocms�t�H���_�ɏ����������������Ă����B
$sudo chmod 777 /opt/lampp/htdocs/gekkocms/
�@���ɁAphpMyAdmin���g���i�ʂɎ�i�͉��ł��������j�ABabyGekko�Ŏg�p����f�[�^�x�[�X�ƃ��[�U�[���쐬����B�O�l�ɐV�K���[�U�[���쐬���A���[�U�[�Ɠ����̃f�[�^�x�[�X�Ƀ`�F�b�N�����Ă��������̂����A��̎����̂��߁A�O���[�o�������́uFILE�v�Ƀ`�F�b�N�����Ă����B
�@DB�̐ݒ肪�I���ƁAWeb����BabyGekko�̃C���X�g�[����Ƃ��s���B�C���X�g�[��URL�͈ȉ��̂Ƃ��肾�B
http://�T�[�o��IP�A�h���X/gekkocms/install/
�@�A�N�Z�X����ƁA���ׂẴ`�F�b�N���ڂɗ̃`�F�b�N�������Ă���͂����B�����Ă��Ȃ��ꍇ�́A�m�F���ďC������B
�@�����āA��قǍ쐬�����f�[�^�x�[�X�̏�����͂��āA�uTest it�v�{�^�����N���b�N����B
�@���Ȃ���uSo far everything looks great!�v�Ƃ����_�C�A���O���\������邾�낤�B�����āA�uTest it�v�{�^���̉��Ɂ��uPlease click here to proceed�v�Ƃ��������N�������Ă���̂ŁA�������N���b�N����B
�@�����CMS�̐ݒ�ƊǗ��҃��[�U�[�̃p�X���[�h�Ȃǂ�ݒ肷���ʂ��\�������̂ŁA�K���Ȓl�����āuSubmit�v�{�^�����N���b�N����B�Ȃ��A���[���A�h���X���u@IP�A�h���X�v�ɂȂ��Ă���ꍇ�̓G���[���o��̂ŁA�K���ȃh���C�����ɕύX����B
�@����ƃf�[�^�x�[�X���쐬�����B�T���v���f�[�^�𓊓����邩�ǂ����q�˂���̂ŁA���W�I�{�^�����uYes�v�ɍ��킹�āA�uSubmit�v�{�^�����N���b�N����B
�@����ŃC���X�g�[���͏I�������B/install/�t�H���_��ʂ̖��O�ɕύX���邩�폜���Ă������B
http://�T�[�o��IP�A�h���X/gekkocms/
������ƁA�T���v����ʂ��\�������̂������邾�낤�B
�@�Ǘ��҂Ƃ���BabyGekko�Ƀ��O�C������ɂ́A
http://[�T�[�o��IP�A�h���X]/gekkocms/admin/
�ɃA�N�Z�X����B
�@����ŊǗ��҃��j���[���\�������͂��Ȃ̂����A�G���[������悤�ŕ\������Ȃ�����������B���������Ƃ���A/gekkocms/js��.htaccess�ɃG���[������悤���B
$vi /opt/lampp/htdocs/gekkocms/js/.htaccess
�ŊJ���A
RewriteRule yui_combo.js js_gzip.php?js=yui_combo RewriteRule yui_mini_utilities.js js_gzip.php?js=yui_mini_utilities
��
RewriteRule yui_combo.js /gekkocms/js/js_gzip.php?js=yui_combo RewriteRule yui_mini_utilities.js /gekkocms/js/js_gzip.php?js=yui_mini_utilities
�ɏC������B
Copyright © ITmedia, Inc. All Rights Reserved.