セキュリティハザードが時々でる - 横取り丸関連ソフト会議室 - スレッド00015, 1999/09/22

セキュリティハザードが時々でる

えるさん　99/09/22 00:48

横取り丸＋InetSpy の状態で、InetSpy のウィンドウを出している出していないにか
かわらず、CGI で text/html を返す URL をリクエストしたときにセキュリティハ
ザードが現れます。

hoge.cgi hidemaru.exe
[ ] open it
[x] save on disk

のようなウィンドウです。
Navigator4.61 で利用しています.
問題の起こったときにキャンセルしてリロードした場合、InetSpy には

URL type 応答サイズ
hoge.cgi POST 3216
hoge.cgi POST 7446

と連続して記録されており、状態は「正常処理されました」にもかかわらず、セキュ
リティハザードが出現する場合の「応答情報」には HTTP RESPONCE HEADER が含まれ
ていません。
また、応答内容も途中で切れています。

複数のサイト・CGI で再現し、横取り丸 + InetSpy を利用する前にはこういった状
況には遭遇していません。

関係ないことですが、InetSpy の一覧の ListView には
LVM_SETEXTENDEDLISTVIEWSTYLE メッセージで LVS_EX_FULLROWSELECT を追加して欲
しいです。
情報量が多いのでスクロールバーで右側のほうを見ていて、ダブルクリックしてもエ
ラー音がするだけってのはちょっと(^^;

RE:00015 セキュリティハザードが時々でる

秀まるお さん　99/09/22 19:15

　Navigator 4.61とcgiとInetSpyについての問題報告ありがとうございます。さっそ
く（明日かあさってに）調べてみます。

>LVM_SETEXTENDEDLISTVIEWSTYLE メッセージで LVS_EX_FULLROWSELECT を追加して欲
>しいです。

　がーん。そういうスタイルがあるなんて知りませんでした。勉強しなおします。

RE:00021 セキュリティハザードが時々でる

秀まるお さん　99/09/24 16:17

　えるさんどうも。

　LVM_SETEXTENDEDLISTVIEWSTYLE メッセージは、最新版のMSDNを見て発見しました。
IE4.0辺りから追加されたのですね。

　それで、うちのCommunicator 4.6でテストしてみたんですが、同様の現象はうまく
再現しませんでした。いろいろcgiを渡り歩いて間違って掲示板にテスト発言なんか
もしてしまったんですが、普通に動いてしまいました。

　ただ、その「hoge.cgi」というのと同じ名前のcgiはうまく発見できなかったので、
もしかしてそのcgiに限って起きるのなら、そのcgiのURLを教えてほしい所です。

　それと、うちにあるのはCommunicator 4.6[ja]でして、4.61では無いです。4.61は
最新号の雑誌にもまだ収録されてないんじゃないかと思いますが、どこで入手された
のでしょうか？。

　その辺何か情報提供お願いします。

　それと、この問題とは別に、実はインストーラーのバグを発見してまいまして、と
てもまずい状況なので、先にV1.1としてバージョンアップしてしまいます。

RE:00030 セキュリティハザードが時々でる

えるさん　99/09/24 21:28

> LVM_SETEXTENDEDLISTVIEWSTYLE メッセージは、最新版のMSDNを見て発見しました。
>IE4.0辺りから追加されたのですね。

IE4 でもそうですが、ComCtl32.DLL はいろんなソフトでアップデートされますから(^^;
# アプリに添えて配布できなくなりましたが

> それで、うちのCommunicator 4.6でテストしてみたんですが、同様の現象はうまく
>再現しませんでした。いろいろcgiを渡り歩いて間違って掲示板にテスト発言なんか
>もしてしまったんですが、普通に動いてしまいました。
> ただ、その「hoge.cgi」というのと同じ名前のcgiはうまく発見できなかったので、
>もしかしてそのcgiに限って起きるのなら、そのcgiのURLを教えてほしい所です。

う～ん、とりあえずは、

http://www.host.or.jp/ にある Web Board
http://www.mm.hi-fi-net.com/ にある Web Game
http://bya.lib.net/ にある Web Game
http://www2.big.or.jp/~osamu/Delphi/Tips/ に投稿する CGI
http://www.goblinjp.com/life/nbbs/nbbs.cgi/ の掲示板

えっと、まだまだあります....そこらじゅうで再発しました。
掲示板・ゲームがメインなので CGI に対して POST が続発するため特に相手側に依
存するもんではないと思って hoge.cgi としました。
実際に hoge.cgi という CGI があるわけではありません。

>　それと、うちにあるのはCommunicator 4.6[ja]でして、4.61では無いです。4.61
>は最新号の雑誌にもまだ収録されてないんじゃないかと思いますが、どこで入手さ
>れたのでしょうか？。

日本語版の Navigator には日本語版にしかないバグがあって嫌いなので使ってない
のです(^^;
英語版の Navigator は動作保証範囲外ということでなければ、英語版では 4.08, 4.
61 までありますので、ご確認頂けるとウレシイです。
英語版の 4.6 では Java Applet の Sandbox にセキュリティの問題があるため 4.6
に戻すのもちょっと(^^;

他の方で再現される方がいませんでしょうか...

RE:00038 セキュリティハザードが時々でる

秀まるお さん　99/10/06 16:23

　今頃のレスですが、Netscape Communicator 4.7の日本語版でテストしてみました。

　やはりセキュリティ関係の警告メッセージらしき物は出てこないです。掲示板への
書き込みも普通に出来てしまいました。

　ちなみに英語版のNetscape Communicator は、僕が探した限りではV4.61は見つか
りませんでした。V4.7か、V4.51というのならありました。

　他には同じ様な現象の報告はなさそうなので、たぶん、何か特別な条件があるんじ
ゃないかと思います。

　既に横取り丸は外してしまってるかと思いますが、何か解決のためのヒントなどあ
りましたらよろしくお願いします。

RE:00054 セキュリティハザードが時々でる

えるさん　99/10/06 19:53

>　今頃のレスですが、Netscape Communicator 4.7の日本語版でテストしてみました。
>　やはりセキュリティ関係の警告メッセージらしき物は出てこないです。掲示板へ
>の書き込みも普通に出来てしまいました。

そうですか、、、

>　ちなみに英語版のNetscape Communicator は、僕が探した限りではV4.61は見つか
>りませんでした。V4.7か、V4.51というのならありました。
>　他には同じ様な現象の報告はなさそうなので、たぶん、何か特別な条件があるん
>じゃないかと思います。

ううむ、4.6 は致命的な欠陥が(日本語版にも英語版にも)あるのでないかもしれませ
んが、4.61 はあるはずです。

http://www.netscape.com/ → Download → Netscape Products → Netscape Produc
ts Archives で、v2.x 以降のすべての Navigator が置いてあります。

>　既に横取り丸は外してしまってるかと思いますが、何か解決のためのヒントなど
>ありましたらよろしくお願いします。

いま、自作ソフト/コンポーネントの拡張/テストのため Win2K 環境に以降してしま
ったのですが、とりあえず試してみようと思います。

RE:00056 セキュリティハザードが時々でる

えるさん　99/10/06 19:58

>http://www.netscape.com/ → Download → Netscape Products → Netscape Produ
>cts Archives で、v2.x 以降のすべての Navigator が置いてあります。

記憶だけなので間違ってました(^^;

http://www.netscape.com/ → Download → Netscape Browsers → Netscape Produc
ts Archives で、http://www.netscape.com/download/archive/index.html につきま
す。

4.x を見ると、4.6 も 4.61 も確かにないですね。

ftp://ftp.netscape.com/pub/communicator/english/

をみると、4.6 も 4.61 は確かにあるのですが...

RE:00057 セキュリティハザードが時々でる

番頭++ さん　99/10/06 20:05

しょうもない質問ですが、
「える」さんは babaq さんとこにくる、「える」さんですか ???

RE:00056 セキュリティハザードが時々でる

えるさん　99/10/06 20:44

>>　既に横取り丸は外してしまってるかと思いますが、何か解決のためのヒントなど
>ありましたらよろしくお願いします。
>いま、自作ソフト/コンポーネントの拡張/テストのため Win2K 環境に以降してしま
>ったのですが、とりあえず試してみようと思います。

Windows2000 RC1 (日本語版、10/1 に MS から郵送で届いた)にて
Netscape Navigator 4.7 英語版, 横取り丸 1.1, Inet Spy 1.1 (ついさっきダウン
ロード)です。

いまも InetSpy が動いている状態です。
結論から言うと、セキュリティハザードは出なくなりました。

ただし、Bad Request が時々でます。

55 Request (33Post, 22Get) で 3 回 Bad Request になりました。
と、これを書いている途中で横でもう１度でました(^^;

Bad Request
Your browser sent a request that this server could not understand.
Invalid URI in request Content-type: application/x-www-form-urlencoded
Apache/1.3.9 Server at www.******.com Port 80

一応、初回起動からログを保存してありますので、必要なら提供します。
# あんまり役に立ちそうにはないですが

IE ではなく Navigator なので Win2K 使っているってのはあまり影響しないと思っ
ています、セキュリティハザードも Bad Request もどちらもどうもリクエストなり
レスポンスなりが中途半端にブラウザ～サーバ間を行き来しているような感じです。

RE:00058 セキュリティハザードが時々でる

えるさん　99/10/06 20:49

>しょうもない質問ですが、
>「える」さんは babaq さんとこにくる、「える」さんですか ???

babaq さんて BRegExp.DLL の babaq さんですかね ?
だとすれば、babaq さんのホームページには BRegExp.DLL を知った時と BRegExp.DL
L のバージョンがあがった時に１度の、合計２度見たくらいです。
URL も覚えてないし Bookmarks にもない、もはや忘れたような状態です(^^;

ということで、たぶん BRegExp.DLL の babaq さんであれば、その「える」さんとは
別人です。

RE:00060 セキュリティハザードが時々でる

番頭++ さん　99/10/06 21:18

>ということで、たぶん BRegExp.DLL の babaq さんであれば、その「える」さんと
>は別人です。

失礼しました、狭い世界で生きているもので ...

RE:00059 セキュリティハザードが時々でる

えるさん　99/10/06 21:31

>結論から言うと、セキュリティハザードは出なくなりました。
>ただし、Bad Request が時々でます。
>55 Request (33Post, 22Get) で 3 回 Bad Request になりました。

さらに 200reequest ほど経過しましたが、Bad Request はどうやら特定のサーバで
出るようです。
ほかのサーバではまったく出ませんでした。
# ほかのサーバでは、そのサーバほど Post が連続しないので再現性が悪いだけかも
しれません。

横取り丸をオフにして 100requst ほど(ほとんど Post)さらに進めましたが、その間
には Bad Request は出ませんでした。

ほかに、同様な症状が出る人がいないようなら、私の環境の問題なのでしょうか...

RE:00062 セキュリティハザードが時々でる

秀まるお さん　99/10/07 10:39

　えるさんの所でもWindows2000のテストなどされているのですね。ちなみに僕の所
にもその「RC1」があります。

　でも、僕のマシン（Pentium200MHz 430HXのフツーの自作マシン）ではどうしても
うまく動作してくれませんでした。セーフモードだとちゃんと起動するんですが、普
通に起動すると青い画面が出てきて止まってしまいます。

　WindowsNT4.0SP5との共存の問題かもしれないですけど。

　それで結局、誰も使わないPC9821Xa20でテストしています。

　余談が長くなりますが、ついでに言うと、Windows2000になってメニュー表示中のS
etForegroundWindow()が失敗する作りに変わってしまい、その影響でタスクトレーに
常駐してメニューを出すソフトがほとんど異常動作します。

　秀シリーズも全部ですが、MSDNに付属するサンプルソフト（画面の解像度を変更す
るやつ）もダメでした。

　メモ帳か何か起動して、そのソフトのメニューをクリックする動作とタスクトレー
のアイコンをクリックする動作を繰り返していくと、メニューが両方出てくる現象が
起きてしまいます。

　もう「RC1」ってことは、このまま仕様ってことになるんでしょうね。一応秀シ
リーズは直しますけど。
=======================================================================

>さらに 200reequest ほど経過しましたが、Bad Request はどうやら特定のサーバで
>出るようです。

　ということは、その特定のサーバーでテストすれば再現するんじゃないかと思いま
すが、そのサーバーって、普通のインターネット上のサーバーですよね？。

　URL教えてほしいなぁと(^^;

RE:00063 セキュリティハザードが時々でる

えるさん　99/10/07 20:09

>>さらに 200reequest ほど経過しましたが、Bad Request はどうやら特定のサーバ
>で出るようです。
>　ということは、その特定のサーバーでテストすれば再現するんじゃないかと思い
>ますが、そのサーバーって、普通のインターネット上のサーバーですよね？。
>　URL教えてほしいなぁと(^^;

以前書いた http://www.mm.hi-fi-net.com/ 内のゲームです。
掲示板とか画像は別サーバにおいてあるのでゲーム内じゃないと再現しないような感
じです。
# Server は FreeBSD + Apache を使用されています。

以下余談

>　WindowsNT4.0SP5との共存の問題かもしれないですけど。

Win98(FAT32), WinNT4SP5(NTFS4), Win2K(NTFS5) で共存できてます。
Win2K の CDLDR (だっけ? NTLDR の新しい奴)だと、FAT32 の Win98 もちゃんと boo
t できて(^^;

>　もう「RC1」ってことは、このまま仕様ってことになるんでしょうね。一応秀シ
>リーズは直しますけど。

まだまだ沢山の問題が発見されていますし、とりあえず FB に提出してみれば変更さ
れるかもしれません。
Ansi (HogeHogeA) API を呼び出しても Wide (HogeHogeW) API の挙動をするものが
多くて困り者です。
# 特に「文字数」のカウントが絡む API がボロボロ

RE:00064 セキュリティハザードが時々でる

秀まるお さん　99/10/08 10:07

　まいどどうも。

>以前書いた http://www.mm.hi-fi-net.com/ 内のゲームです。

　んではぼちぼちテストしてみます。

>まだまだ沢山の問題が発見されていますし、とりあえず FB に提出してみれば変更
>されるかもしれません。

　実は僕の所は単にアプリケーションソフトのテスト（＆対応予定の報告）のために
Win2000をもらっただけなので、そういう文句を聞いてくれる宛先がありません。

　というわけで、ここにグチをこぼしたのでした(^^;

　まぁ、自分のソフトは適当に対応するからいいんですけど。

　それよりも、僕のマシンでWin2000が使えないのがとても困ります。

　あ、あと、エクスプローラの表示形式を「詳細」にしても、ツリーから別のフォル
ダを選ぶとまた大きいアイコンに切り替わってしまうのが、とっても不便です。つい
でに言うと、Pentium 166MHz程度のマシンではエクスプローラすら遅くていらいらし
ます。（っとさらにグチを言う、きっとマイクロソフト関係者は見てないだろう…）