べつになんでもないこと

前回までのあらすじ

• セブン＆アイの通販サイトで価格の誤表示 - ITpro
• 問い合わせのメールを送っても返信来ない
• カスタマーに電話しても全然つながらない
• まだ残っている誤表記の商品URLがスレに書き込まれると商品ページががすぐに修正される
• 注文履歴が消されていく
• カジ速 | セブンネットショッピング、会員の個人情報がダダ漏れ。さらにネラーに注文番号の規則性を解析される
• カジ速 | セブンアンドワイ、XSS脆弱性が見つかる。また社員が2chを覗いていたことが判明
• カジ速 | セブンアンドワイ、今度はソースコードを流出させる。← NEW！
• カジ速 | セブン個人情報流出問題、ついに ITmediaに掲載される･･･セブン「XSS脆弱性はもう対策した（ｷﾘｯ」→即XSS脆弱性が見つかる← NEXT

別の意味でオープンソース（爆）
祭りを追いかける元気はないけど、まとめサイトのおかげで楽でいいやｗ

7&Yのネットショッピングサイトのソースコード、公開サーバー内の「.svn」ディレクトリより流出？ - スラッシュドット・ジャパン

2度も同じミスが連続してセキュリティも甘々なのにサービスを提供しつづけるのは顧客軽視としか思えない。
（中略）
　└サービスとめてしまったら、2chの方々がデバッグできなくなるじゃないですか。

糞ワロタｗ
1ch.tvの時もソースが漏れてネラーにダメだしされてたけれど今回も酷いや。
（1ch.tvの時は漏れたソースを改良した掲示板が立ち上げられたりｗ）

セブンネットショッピング、「デモ用ソースコード」が流出、XSS脆弱性も　「個人情報流出はない」 - ITmedia News

「セブンネットショッピング」のソースコードが流出したとネットで騒ぎになっている。同サイトの広報担当者によると、流出したのは「検証で使っていたデモ用コードで、本番用のものではない」。個人情報流出の可能性もないとしている。

検証用のデモというのは普通、検証用の環境にカスタマイズした本番と同じプログラムですよねぇ。何を言いたいのか全然分からないぞｗ

XSSで個人情報の流出はなかったとして、注文履歴で漏れた個人情報はスルーするつもりなんですかね。

セブンネットショッピングは今後も使っちゃいけないって「覚えた！」ｗｗｗ


7&Yネットショッピングのソースコード、ディレクトリトラバーサルで流出? | 水無月ばけらのえび日記

URLに含まれる%c0%aeが'.'の冗長なUTF8表現で、/../と解釈される。
bks.svlとesi.svlに脆弱性があり、本来読むべきディレクトリより上の階層のファイルが参照された結果こうなったと思われる。

以上、冗長なUTF8によるディレクトリトラバーサル より

（中略）
7&YネットショッピングではApache Tomcat/4.1.29が使われているようですが
（中略）
少なくとも4.1.39以降にしておけば、ソースコードを見られることはなかったものと考えられます。7&Yネットショッピングは新しいサービスなのかと思っていましたが、古いミドルウェアを使い続けなければならない事情があったのでしょうか?

裏返すと「公開サーバから削除」したから対策終わりなんじゃなくて、ディレクトリトラバーサルの脆弱性は残ったままの可能性が高いと……

セブンネットショッピングは今後も使っt(ry

カジ速 | セブン個人情報流出問題、ついに ITmediaに掲載される･･･セブン「XSS脆弱性はもう対策した（ｷﾘｯ」→即XSS脆弱性が見つかる

131 ：以下、名無しにかわりましてVIPがお送りします [sage] ：2009/12/18(金) 21:50:41.12 ID:qZP/M/Rl0

>>122
＞閲覧できたのは「公開ブックマークなどにURLを登録していた3件」の注文情報の一部で、この問題にもすでに対処しているという。

　　　　　　　　　 　　　＿＿＿_
　　　　　　　　　　　／　　 　 　＼
　　　　　　　　 　／　─　 　 ─　＼
　　　　　　　　／ 　 （●） 　（●）　 ＼　　　いや、もっとあったから
　　　　　　　　|　 　 　 （__人__）　 　　 |
　 　　　　　　 ＼　 　　 ｀ ⌒´ 　　 ,／
　r､　　　 　r､／　　　　　　　　　　ヘ
　ヽヾ　三　|:l1　　　　　　　　 　　　　ヽ
　　＼>ヽ/ |｀ ｝　　　　　　　　　 　　|　|
　　　ﾍ　lノ `'ｿ 　　　　　　　 　　　　|　|
　　　　/´　 /　　　　　　　　　　　　 |.　|
　　　　＼. ｨ 　　　　　　 　 　 　 　　|　 |
　　　 　 　 |　　　　　　　 　 　 　 　 | 　| 

169 ：以下、名無しにかわりましてVIPがお送りします [sage] ：2009/12/18(金) 22:16:08.89 ID:4zBZTj7X0

今までに確認された脆弱性に関する情報を開示し、その脆弱性を塞いだ論理的な説明が出来れば
とりあえず今後の流出はないってことじゃね？
でも脆弱性まだまだ残ってるらしいが

387+1 ：おかいものさん [sage] ：2009/12/18(金) 22:04:24
>>384
>個人情報の流出はないが、そうでないページに脆弱性があった」とし、15日までに対策を取ったという。
画

出来てない気がする

200 ：以下、名無しにかわりましてVIPがお送りします [sage] ：2009/12/18(金) 22:47:03.43 ID:NFo+u7zZ0

>>169
ほんとだｗ
対策できてるやつとできてないやつがあるみたいだね。
晒されてた他のやつもできたっぽい。
画

256 ：以下、名無しにかわりましてVIPがお送りします [sage] ：2009/12/19(土) 01:22:07.88 ID:YyYZsUDx0

XSSの脆弱生でCookieに保存されたセッションIDが取得可能。
つまりセッションハイジャックで他人になりすましてのログインすることも可能であるわけだ。
なんでこんなザマでセブンは情報流出がないと言い切れるのだろうか・・

こんな感じで自分のCookieの値を取得出来る。 
画

2chネラーのデバッグはまだ続くｗ
セブンn(ry