掲示板でタグを使用させない理由は？

Question

最近、タグが使える掲示板を見かけなくなりました。

悪意ある書き込みを回避する為だとは思いますが、防御する手段は無いのでしょうか？

javascriptで何か書いたとしても他人に影響を与えるようには思えませんし、PHPなら<?タグが入っていないかをチェックすればいいように思います。

あと考えられるのは、わざとエラーを起こしてファイル名等を探るくらいでしょうか。

この辺は優秀なプログラマーの方なら回避できそうな気がするんですがいかがでしょうか？

Answer 1

この辺は優秀なプログラマーの方なら回避できそうな気がするんですがいかがでしょうか？

優秀なプログラマーの方なら、それも回避できそうな気がするんですがいかがでしょうか？

Comments

[axs]

ご回答ありがとうございます。
質問が曖昧でしたね。

最終的に何が聞きたいのか、追記しておきます。

[axs]

質問に追記できるかと思ったのですが、ちょっとやり方がわからなかったので、こちらに記入します。

回避する方法があるのなら、そういった掲示板を作ってみたいと思っております。
回避がかなり厳しいのか、初心者でもできるものなら、どういったポイントがあるのか、簡単なアドバイスを頂きたいです。

[yoorwm]

具体的な話はm6uさんが書かれているような事ですね。
違う話ですが、～暗号にセキュリティホールが～などという話があったり、CPUでも脆弱性が～というニュースを聞く事があるでしょう？
コッチでも同じ事です。

[axs]

なるほど。
たしかにそうですね。

Answer 2

何が来るかわからないものを拒絶する対応をするより、
来てもいいものを許可する対応の方が圧倒的に楽です。

いくら優秀なプログラマーといえど、全ての攻撃手段を想定できる人はいないでしょう。
「すべての攻撃に対応した！安心して使っていいぞ」
と言われても穴を見つけるが増えるだけだし、
そもそも上には上がいるってものです。

むしろJavaScriptやPHPを使用できなくするのが最大の防御でしょう。
その防御を崩して対応する意味はほぼほぼないです。

---

javascriptで何か書いたとしても他人に影響を与えるようには思えませんし、PHPなら<?タグが入っていないかをチェックすればいいように思います。
あと考えられるのは、わざとエラーを起こしてファイル名等を探るくらいでしょうか。

質問者様が考慮できていないだけで、攻撃手段はかなりあります。
タグチェックぐらい、優秀なプログラマーなら回避するでしょうし、
ファイル名を探るどころかもっとダメなことをしようとすれば出来てしまう可能性があります。

Comments

[退会済みユーザー]

> 何が来るかわからないものを拒絶する対応をするより、
> 来てもいいものを許可する対応の方が圧倒的に楽です。
ホワイトリスト方式に尽きる気がしますね。

[dice142]

何が来るかわからないのにブラックリスト方式だと、いろんなもんが吹っ飛びますね。
やるならホワイトリスト方式ですし、必要ないなら完全シャットアウト。

[axs]

ありがとうございます。
考え方として大変参考になりました。

[退会済みユーザー]

m6u ホワイトリスト方式のHTML許可をつかってるやつでレイアウトぶっ壊したことあるｗ

[退会済みユーザー]

レイアウトは、結構簡単に壊せるｗ
https://teratail.com/questions/73709

掲示板でタグを使用させない理由は「リスク管理と対費用効果」だろうねぇ。。。

[退会済みユーザー]

練乳くらい甘いホワイトリスト方式だったのかなぁ（汗

[退会済みユーザー]

タグは対応したけど属性まで対応してなかったから甘かったなｗｗｗ

[axs]

お返事遅くなりました。
大変勉強になりました。
ありがとうございました。

Answer 3

安全なウェブサイトの作り方：IPA 独立行政法人 情報処理推進機構
にある資料を読んでみよう、読めばわかる。

Comments

[axs]

ありがとうございます。
ボリュームがあるので、じっくり時間をかけて読んでみたいと思います。

Answer 4

全体的な事は
安全なwebアプリケーションの作り方
とか
体系的に学ぶ 安全なWebアプリケーションの作り方 第2版

あたりをざっと読むだけでも読んで基礎的な理解を得てください。

javascriptで何か書いたとしても他人に影響を与えるようには思えませんし

18禁サイトやら詐欺サイトにリダイレクトし放題になるだけでも大分困ったことになりますね。

この辺は優秀なプログラマーの方なら回避できそうな気がするんですがいかがでしょうか？

teratailでもそうですが、Markdownなどの非htmlな言語で入力させて表示するタイミングで安全なhtmlを生成するとかはよくある実装だと思いますよ。

Comments

[axs]

ありがとうございます。
じっくりと読んでみたいと思います。

そんな使い方もあるんですね。
参考になりました。

Answer 5

javascriptで何か書いたとしても他人に影響を与えるようには思えませんし

Javascriptが使えれば夢が広がるよ！

その掲示板に勝手に誰かの悪口を投稿させたり
DOM操作ができてコンテンツを自由に書換できたり
偽のログイン画面を出してID・PASSを盗んだり
偽サイトに転送できたり
etc...

Comments

[axs]

ありがとうございます。
なるほど、そんなこともできるのですね。

Answer 6

今年無限アラート事件が話題になったばかり…。

大昔は掲示板でhtml覚えたけどさすがに現代ではすべて不許可。

Comments

[axs]

ありがとうございます。
そんなことが合ったんですね！

Answer 7

codepenとかタグがタグとして機能しないと意味がないサイトでは普通につかえますよね
そうでないサイトはタグをタグとして埋め込まなくてもマークアップで手軽に処理します

Comments

[axs]

ありがとうございます。
こんなサイトもあるんですね。