Details:http://tetraph.com/security/web-security/fc2-rakuten-xss-and-url-redirection/http://securityrelated.blogspot.com/2015/06/fc2-rakuten-online-websites-multiple.html================FC2&楽天オンラインのウェブサイトの複数のXSS(クロスサイトスクリプティング)とオープンリダイレクトサイバー脆弱性FC2と楽天は日本の地方オンラインWebサービスをランク付けする第一及び第二toppestです。この記事では、いくつかのXSS(クロスサイトスクリプティング)とオープンリダイレクトのバグを紹介します。fc2.comのAlexaのランクは2015年2月18日に52であり、日本のランクはrakuten.co.jpのAlexaのランクは2015年5月29日に64で4であるとランク、日本は7です。(MAS)、物理的および数理科学科(SPMS)、南洋理工大学(NTU)、シンガポール。XSS(クロスサイトスクリプティング)&オープンリダイレクトドメイン:blog.fc2.com/(1999年7月20日に設立)」FC2は、日本の人気ブログのホスト、(YouTubeやニコニコ後)は、日本で3番目に人気のビデオホスティングサービス、およびラスベガス、ネバダ州に本社を置くウェブホスティング会社です。それは第六最も人気のあります全体的な日本のウェブサイト(2014年1月現在)。FC2はの略で、「ファンタスティックKupi-Kupi(クピクピ)」。これは、このようなポルノのような論争のアダルトコンテンツを許可することが知られており、(競合他社の多くとは異なり)スピーチを嫌いされています。会社それは他の多くの米国系企業と共有し、その本社のためのオフィススペースを借り使用しています。米国で税金を払っています。物理サーバが米国に所在している。それは会社の大部分と考えられ、そのされていますユーザー(従業員を含む)は、日本の中に位置しています」(ウィキペディア)fc2.comのAlexaのランクはそれがtoppest日本のローカルウェブサイトの流通サービスである2月18日2015年に52です。XSS(クロスサイトスクリプティング)脆弱性(ドメインblog.fc2.com/tag下にあるすべてのURL)脆弱性の説明:FC2は、コンピュータのサイバーセキュリティバグの問題があります。これは、XSS攻撃に対して脆弱です。ここでXSSの説明は次のとおりです。医療記録などの機密データの宝庫でオフにする技術をハッキングの幅広いレパートリーで実験されている4クロス。サイトスクリプティングは、(また、XSSやCSSとして知られる)は、一般のVBScript、ActiveXの、HTML、またはFlashはに対して脆弱動的ページに、攻撃者が悪意のあるJavaScriptを埋め込むことができ、最も一般的なアプリケーション層ハッキング技術クロスサイトスクリプティングの一つであると考えられていますデータを収集するために、自分のマシン上でスクリプトを実行して、ユーザーをだます。XSSの使用が有効なユーザーの方に誤解されるか、または最後に悪質なコードを実行できる要求を作成し、操作したり、クッキーを盗む、個人情報を危険にさらす可能性があります-userシステムでは、データは通常、悪質なコンテンツを含むハイパーリンクとしてフォーマットされ、インターネット上の任意の可能な手段を介して配布されています。(会社のAcunetix)プログラミングコードの欠陥は、FC2のURL」のファイル名で発生します。FC2は、URLだけでファイル名の一部をフィルタリングします。すべてのURLが影響を受けますblog.fc2.com/tagドメインの下に影響を受けています。http://blog.fc2.com/tag/drug/http://blog.fc2.com/tag//アメリカ/http://blog.fc2.com/tag/tag/翻訳http://blog.fc2.com/tag//>レシピブログに参加中♪この脆弱性は、ユーザのログインなしで攻撃される可能性があります。7でのUbuntuでのFirefox(37.02)(14.04)およびIE(9.0.15)で行いました。詳細:http://tetraph.com/security/xss-vulnerability/fc2-blog-xss/https://vulnerabilitypost.wordpress.com/2015/06/11/fc2-blog-xss/(1.2)FC2オンラインWebサービスのオープンリダイレクト(未検証のリダイレクトとフォワード)サイバー·セキュリティの脆弱性(1.2.1)の脆弱性の説明:FC2オンラインWebサービスは、コンピュータのサイバーセキュリティバグの問題があります。それは、オープンリダイレクト(未検証のリダイレクトとフォワード)攻撃によって悪用される可能性があります。ここでオープンリダイレクトの説明は次のとおりです。「オープンリダイレクトがパラメータを受け取り、何の検証も行わずにパラメータ値にユーザーをリダイレクトするアプリケーションです。この脆弱性は、それを実現することなく、悪質なサイトを訪問するユーザーを取得するためにフィッシング攻撃で使用されています。“それの一つの結果はフィッシングで​​す。(OWASP)プログラムコードの欠陥は、ユーザのログインなしで攻撃される可能性があります。v10.9マーベリックス。実際には、テスト時には、FC2内のURLリダイレクトのバグを見つけることは難しいことではありません。fc2.comは、これらの脆弱性を軽減するためにはほとんど注意を払っています。これらのバグはURFDSによって発見されました。(1.2.2)は、次の試験のためのWebページのいずれかを使用します。ウェブページアドレスは「http://securitypost.tumblr.com/」です。このウェブページに悪意であるとすることができます。詳細:http://tetraph.com/security/open-redirect/fc2-service-open-redirect/https://vulnerabilitypost.wordpress.com/2015/06/11/fc2-url-redirection/(1.3)脆弱性の開示:これらの脆弱性は誰も答えていない2014年にrakuten-cert@rakuten.co.jpすることが報告されました。今までは、彼らはまだパッチを適用していないです。-gaisha?)東京、日本に拠点を置く日本の電子商取引やインターネット企業です。そのB2B2Cの電子商取引プラットフォーム楽天市場は、日本最大の電子商取引サイトで、世界の中で販売による最大。三木谷浩史は、MDM、株式会社として1997年2月で会社を設立し、さらにその最高経営責任者(CEO)である。日本語ワード楽天楽観を意味している。2012年には、同社の売上高は、米国約US2.44億ドルの営業利益との46億ドルとなりました。2013年6月には、楽天株式会社は、それが世界中の10351名の従業員を有していたと報告した。2005年、楽天は、主に買収や合弁事業を通じて、日本国外で拡大し始めた。その買収は、Buy.com(米国で今Rakuten.comショッピング)、Priceminister(フランス)、池田(現楽天ブラジル)、Tradoria(今楽天ドイツ)が挙げられます、Play.com(英国)、Wuaki.tv(スペイン)、およびコボ(カナダ)。同社はPinterest、Ozon.ru、AHA生活、毎日のグロメットで投資を行っている。toppest日本の地方流通サービスのウェブサイトである5月29日2015年64あります。(2.1)楽天ウェブ検索ページXSS(クロスサイトスクリプティング)のWebセキュリティ脆弱性(2.1.1)の脆弱性の説明:rakuten.deは、コンピュータのサイバーセキュリティバグの問題があります。これは、XSS攻撃に対して脆弱です。ここでXSSの説明です:「クロスサイトスクリプティング(XSS)攻撃は、悪意のあるスクリプトがそうでなければ良性と信頼できるWebサイトに注入された注入の種類、ある攻撃者が悪意のあるコードを送信するために、Webアプリケーションを使用する際にXSS攻撃が発生しました。一般的にブラウザ側スクリプトの形で、別のエンドユーザーに。これらの攻撃が成功することを可能に傷はかなり普及しているWebアプリケーションはそれを検証するか、エンコードせずに生成する出力内のユーザからの入力を使用して任意の場所に発生します。“ページ、すなわち、http://www.rakuten.de/suchen/asd/?category_hierarchy=0&q=reddit_nice_music_newsこの脆弱性は、ユーザのログインなしで攻撃される可能性があります。7でのUbuntu(14.04)とIE​​(8.0。7601)にはFirefox(37.02)で行いました。/)>(2.1.3)の脆弱性の開示:これらの脆弱性は、現在パッチが適用されます。詳細:https://vulnerabilitypost.wordpress.com/2015/06/11/rakuten-xss/http://tetraph.com/security/xss-vulnerability/rakuten-website-xss/(2.2)楽天オンラインサイトオープンリダイレクト(URLリダイレクション)サイバー·セキュリティの脆弱性(2.2.1)の脆弱性の説明:楽天のオンラインウェブサイトは、コンピュータのサイバーセキュリティバグの問題があります。それは、オープンリダイレクト(未検証のリダイレクトとフォワード)攻撃によって悪用される可能性があります。ここでオープンリダイレクトの説明は次のとおりです。「Webアプリケーションは外部サイトへのリンクを指定するユーザ制御入力を受け付け、リダイレクトでそのリンクを使用しています。これは、フィッシング攻撃を簡素化HTTPパラメータがURL値が含まれており、可能性があります。指定されたURLに要求をリダイレクトするようにWebアプリケーションを引き起こす。悪質なサイトへのURLの値を変更することにより、攻撃者がフィッシング詐欺を起動し、ユーザーの資格情報を盗むことができる。変更されたリンク内のサーバー名が、元のサイトと同じであるため、フィッシングの試みは、より信頼性の高い外観を持っています。(CWEから)「完全な情報開示のメーリングリストは脆弱性と搾取の技術だけでなく、ツール、論文、ニュース、コミュニティに関心のあるイベントの詳細な議論のための公開フォーラムです。FDは、研究者のためのオープンな性質とサポートで他のセキュリティ·リストとは異なり「右はより自分の製品を確保するためにベンダーを強制し、公に認め、それらを隠すのではなく、欠陥を修正するために完全な情報開示の動きが入金されている。ディレクトリ·トラバーサル、HTMLインジェクション、スパム拒否。プログラムコードの欠陥は、ユーザのログインなしで攻撃される可能性があります。v10.9マーベリックス。楽天リダイレクトの脆弱性かどうかを開くために多くの注意を払っているかどうかわからない、少しだけ日本語を知っているので。(2.2.2)は、次の試験のためのWebページのいずれかを使用します。ウェブページアドレスは「http://itinfotech.tumblr.com/」です。このウェブページに悪意であるとすることができます。3:http://clickfrom.rakuten.com/default.asp?adid=17379&sURL=http%3A%2F%2Fwww.craigslist.orgPOCコード:http://clickfrom.rakuten.com/default.asp?sURL=http://itinfotech.tumblr.com/(2.2.3)の脆弱性の開示:これらの脆弱性は、現在パッチが適用されていません。(@justqdjing)http://www.tetraph.com/wangjing==================FC2オンラインWebサービスオープンリダイレクト(未検証のリダイレクトとフォワード)サイバー·セキュリティの脆弱性ドメイン:fc2.com(1999年7月20日に設立)」FC2は、日本の人気ブログのホスト、(YouTubeやニコニコ後)は、日本で3番目に人気のビデオホスティングサービス、およびラスベガス、ネバダ州に本社を置くウェブホスティング会社です。それは第六最も人気のあります日本のウェブサイトは、全体的な。(2014年1月のように)FC2はの略で、「ファンタスティックKupi-Kupi(クピクピ)」。このようなポルノのような論争のアダルトコンテンツを許可し、(競合他社の多くとは異なり)スピーチを憎むことが知られています。(ウィキペディア)fc2.comのAlexaのランクはそれがtoppest日本のローカルウェブサイトの流通サービスである2月18日2015年52あります。(1)脆弱性の説明:FC2オンラインWebサービスは、コンピュータのサイバーセキュリティバグの問題があります。それは、オープンリダイレクト(未検証のリダイレクトとフォワード)攻撃によって悪用される可能性があります。ここでオープンリダイレクトの説明は次のとおりです。「オープンリダイレクトがパラメータを受け取り、何の検証も行わずにパラメータ値にユーザーをリダイレクトするアプリケーションです。この脆弱性は、それを実現することなく、悪質なサイトを訪問するユーザーを取得するためにフィッシング攻撃で使用されています。“それの一つの結果はフィッシングで​​す。(OWASP)プログラムコードの欠陥は、ユーザのログインなしで攻撃される可能性があります。v10.9マーベリックス。実際には、テスト時には、FC2内のURLリダイレクトのバグを見つけることは難しいことではありません。fc2.comは、これらの脆弱性を軽減するためにはほとんど注意を払っています。(2)以下の試験のためのWebページのいずれかを使用します。ウェブページアドレスは「http://securitypost.tumblr.com/」です。このウェブページに悪意であるとすることができます。2:http://blogranking.fc2.com/out.php?id=104304&url=http%3A%2F%2Ffc2.com%2FPOCコード:http://blogranking.fc2.com/out.php?id=104304&url=http://www.tetraph.com/essayjeans/poems/distance.html脆弱性の公開:これらの脆弱性は楽天に報告された、彼らはまだパッチを適用していないです。(MAS)、物理的および数理科学科(SPMS)、南洋理工大学(NTU)、シンガポール。-gaisha?)東京、日本に拠点を置く日本の電子商取引やインターネット企業です。そのB2B2Cの電子商取引プラットフォーム楽天市場は、日本最大の電子商取引サイトで、世界の中で販売による最大。三木谷浩史は、MDM、株式会社として1997年2月で会社を設立し、さらにその最高経営責任者(CEO)である。日本語ワード楽天楽観を意味している。2012年には、同社の売上高は、米国約US2.44億ドルの営業利益との46億ドルとなりました。2013年6月には、楽天株式会社は、それが世界中の10351名の従業員を有していたと報告した。2005年、楽天は、主に買収や合弁事業を通じて、日本国外で拡大し始めた。その買収は、Buy.com(米国で今Rakuten.comショッピング)、Priceminister(フランス)、池田(現楽天ブラジル)、Tradoria(今楽天ドイツ)が挙げられます、Play.com(英国)、Wuaki.tv(スペイン)、およびコボ(カナダ)。同社はPinterest、Ozon.ru、AHA生活、毎日のグロメットで投資を行っている。toppest日本の地方流通サービスのウェブサイトである5月29日2015年64あります。(1)脆弱性の説明:楽天のオンラインウェブサイトは、コンピュータのサイバーセキュリティバグの問題があります。それは、オープンリダイレクト(未検証のリダイレクトとフォワード)攻撃によって悪用される可能性があります。ここでオープンリダイレクトの説明は次のとおりです。「Webアプリケーションは外部サイトへのリンクを指定するユーザ制御入力を受け付け、リダイレクトでそのリンクを使用しています。これは、フィッシング攻撃を簡素化HTTPパラメータがURL値が含まれており、可能性があります。指定されたURLに要求をリダイレクトするようにWebアプリケーションを引き起こす。悪質なサイトへのURLの値を変更することにより、攻撃者がフィッシング詐欺を起動し、ユーザーの資格情報を盗むことができる。変更されたリンク内のサーバー名が、元のサイトと同じであるため、フィッシングの試みは、より信頼性の高い外観を持っています。(CWEから)プログラムコードの欠陥は、ユーザのログインなしで攻撃される可能性があります。v10.9マーベリックス。楽天リダイレクトの脆弱性かどうかを開くために多くの注意を払っているかどうかわからない、少しだけ日本語を知っているので。(2)以下の試験のためのWebページのいずれかを使用します。ウェブページアドレスは「http://itinfotech.tumblr.com/」です。このウェブページに悪意であるとすることができます。3:http://clickfrom.rakuten.com/default.asp?adid=17379&sURL=http%3A%2F%2Fwww.craigslist.orgPOCコード:http://clickfrom.rakuten.com/default.asp?sURL=http://itinfotech.tumblr.com/脆弱性の公開:これらの脆弱性は、現在パッチが適用されていません。(MAS)、物理的および数理科学科(SPMS)、南洋理工大学(NTU)、シンガポール。(跨Frame脚本漏洞)。