【PHP】下らねぇ質問はここに書き込みやがれ 12

2021/04/29(木) 12:39:39.75

!extend::vvvvv:1000:512
!extend::vvvvv:1000:512
!extend::vvvvv:1000:512
★スレ立て時 ↑ が3行以上になるようコピペ

PHPに関する質問スレです

前スレ
【PHP】下らねぇ質問はここに書き込みやがれ 11
https://mevius.5ch.net/test/read.cgi/tech/1591334726/

次スレは>>980以降

VIPQ2_EXTDAT: default:vvvvv:1000:512:: EXT was configured

2021/07/18(日) 17:23:13.71

>>465
セキュリティはちゃんと体系的な知識を身につけたほうが良いですよ
一応アップロード系の用語がそれなりに出てくる記事をリンクしておきます

https://qiita.com/mpyw/items/939964377766a54d4682

記事中の実装は、今となっては古すぎなので参考になりませんが、用語レベルでは網羅されているかと
入り口の記事として読んでください

外部からアクセスできる場所にアクセス・実行できるファイルを一個置かれただけで、かなりのことができるようになります

2021/07/18(日) 19:10:00.86

RubyガイジとWPガイジはスルー推奨

2021/07/18(日) 19:37:42.84

>>453
header関数で画像データを指定してるんだからhtmlが出力されるわけない
何のためにわざわざheaderなんか指定してるのか不明
HTTPヘッダについて調べた方がいい

2021/07/18(日) 21:08:39.36

セキュリティーは、膨大な種類ある

だから皆、Ruby on Rails などのフレームワークを使う。
素の言語では、一生やっても作れない

Rails では、サーバーへプロフィール画像をアップロードする、機能がよく出てくる。
画像ファイルの縦横幅の制限、容量の制限、
中身にウイルスがうめこまれていないかチェックするなど、
色々なセキュリティー対策をしないといけない

さらにレスポンシブ対応で、様々なサイズに拡大縮小するなど、
OSS のモジュールを使わないと作れない

一々、自分で作っていては、一生掛かる。
Railsなどのフレームワークの勉強をしていない人は、絶対にシステムを作れない

他にも、マスアサインメント・SQL インジェクションとか、
セキュリティーには膨大な種類ある

だから、PHP のサイトばかり攻撃されるのは、
セキュリティーを知らない人が作っているから、情報を取りやすい

2021/07/18(日) 21:53:44.27

PHPのフレームワーク使うならLaravelだね

2021/07/18(日) 22:51:51.23

マルチポストには激おこするルビー君

2021/07/18(日) 23:11:24.32

激おこなんていうJK用語をナチュラルに使いこなしているのがすごい

2021/07/18(日) 23:42:29.55

JK用語なの？
おじさん、普通に使ってた

2021/07/20(火) 01:13:58.90

アラフォーだけど、使うって感じじゃなくて…
ジェネレーションギャップかも

2021/07/20(火) 17:18:42.82

以前質問させていただいた画像を直接上げてはいけない原因を調べたところ、
誰からもWebサーバを介してファイルにアクセスできないようにしておいて、ファイルの表示はプログラムを使ってアクセス制御をしながら表示する

つまり通常Webで画像を表示する場合、imgのsrc属性に画像が置いてあるURLを指定するというのが一般的だと思います。
しかし、画像を置いてあるURLを指定するというのは、画像を表示するためにはそのURLにアクセスできるということを表しています。

そこで画像をbase64化
画像をHTMLやCSSに埋め込める（直接記入出来る）ようにする為に、画像をbase64にエンコードします

<php $img = base64_encode(file_get_contents('画像URL')); ?>
<img src="data:image/png;base64,<php echo $img; ?>">

参考URL
https://www.tmp1024.com/php-image-showing/
https://9-bb.com/?p=3591

これで大丈夫でしょうか？画像は表示されました。

2021/07/22(木) 13:17:48.55

質問お願いします。
環境はWindows10でXAMPP7.4.21です。

exec('ipconfig', $message);

上記のPHPに、ブラウザからアクセスした場合、$message[1]が
「Windows IP 構成」と、日本語ですが、
Batファイルで、「c:\xampp\php\php.exe d:\www\test.php」で実行した場合、$message[1]が
「Windows IP Configuration」と、英語です。

PHPが5の時はどちらも日本語だったのですが、XAMPPのアップデートでPHPが7になったらこの現象が起きました。

Batの時にも日本語にするためには、なにをしたら良いでしょうか。
どうぞよろしくお願いいたします。

2021/07/22(木) 15:43:09.09

>>463
言ってる意味がおおよそ理解できたのですが。
・暗号化
　可逆な存在
　＝複合することができる
　＝変換方式が決まっているため、だれでも復元（decode）できる。

可逆な存在といえば「Base64」
エンコード（暗号化）も出来るし、デコード（複合化）もできる。
（でもね、厳密には暗号化＝エンコードとは言えないんだよ…）
（詳しくはもう少し下で…）

逆に、不可逆な存在といえば「SHA-1」
こっちは複合化することが出来ない。

画像をハッシュ関数化してそれをもとに画像を表示させる方法がわからないんですが、
phpで可能なんでしょうか？

2021/07/24(土) 10:11:35.97

暗号化と符号化の違いがわからなかった時期が俺にもあったなぁ

2021/07/26(月) 09:39:33.21

質問です。
JSONファイルを読み込もうとしたのですがうまくいきません。

$url = "https://f.irbank.net/files/8700/fy-profit-and-loss.json";;
$json = file_get_contents($url);
$json = mb_convert_encoding($json, 'UTF8', 'ASCII,JIS,UTF-8,EUC-JP,SJIS-WIN');
$arr = json_decode($json, true);

2021/07/26(月) 09:43:24.61

うちはできてる

2021/07/26(月) 09:51:26.23

うう…マジか
XAMPPのローカル環境だから上手く行かないのだろうか？

2021/07/26(月) 10:38:53.43

せめてエラーログくらい貼りなよ

2021/07/26(月) 11:26:45.16

全く読めない

このファイルは、UTF-8 ではない？

2021/07/26(月) 11:43:48.93

>>479
レスポンスがbrotliで圧縮されてる
そのままブラウザに出力したいだけならContent-Encodingを設定しておくだけ
header('Content-Encoding: br');

jsonとして読み込みたいならbrotliのエクステンションをインストールしてからデコードした上でjsonにデコードする

2021/07/26(月) 20:20:23.98

1つ聞きたいんですが画像ファイルのセキュリティについてです。
自分の調べた聞いて理解した範囲では画像を<img src="画像URL">で表示するのは、
画像を表示するためにそのURLにアクセスできるので危険
↓
画像をbase64にエンコードします
デコード（複合化）もできるので意味がほぼないです
↓
サイズとMIMEチェックをして画像を表示させる前に、画像ファイルである事を確認する
必要ならサイズやビット深度を変更する

https://teratail.com/questions/350744で聞くと,
ファイルをアップロードするのは「サイト運営側」だけであれば問題ありません。
https://detail.chiebukuro.yahoo.co.jp/qa/question_detail/q13246474913で聞くと、
mineチェックとサイズ変更しなさい、
できればアップロード時のファイル名を元のものから変更する、自サイトのページ内に配置された画像としてしかアクセスを禁止するなどしなさい
結局どれが正解なんでしょうか？

2021/07/26(月) 20:26:04.88

>>485
どのようなリソースをどのような攻撃から守るかの仕様が提示されない以上正解はありません
セキュリティポリシーやセキュリティ設計から見直してください
実装を決めるのはその後です

2021/07/26(月) 20:31:09.20

>>453
>>485
お前のやりたいことはWordpressの管理画面からアップした画像の表示だろ
そんなもんのセキュリティ気にして変換する奴なんていねーよ
つーかWPスレ池

2021/07/26(月) 21:10:41.62

>>487
アップロードは常に気をはれよ
https://www.youtube.com/watch?v=oh1gyuqdcH8

2021/07/26(月) 22:18:00.65

>>488
俺に気をはれと言われましてもｗ

2021/07/26(月) 22:31:24.99

>>487
wordpress以外でも同じでしょ？
それに管理画面からじゃなくフォルダのディレクトリに置いたファイルの話なんで画像限定じゃないですね
phpやcssのファイルでも同様かどうか知りたいです

2021/07/26(月) 22:44:03.71

画像ファイルのアップロードの時のセキュリティはwordpress関係なく同じでしょ

2021/07/26(月) 22:56:31.97

>>491
WPインストールしたらアップロード周りのソース全部読んでセキュリティホール無いことを確認するの？
WPで画像表示する時は表示用PHP作ってbase64変換かますの？
そして、アップロードする時は常に気をはるの？

2021/07/27(火) 00:25:56.73

>>492
そんなことはしませんが、最低限のセキュリティは同じでしょ？
base64じゃセキュリティにならないからファイルを関数化して複雑なファイル名にする
それプラス最低限のセキュリティ、今回は画像なのでMIMEチェック
もし自分以外のユーザーが画像を上げるなら
自サイトのページ内に配置された画像としてしかアクセスを禁止する
word pressだからセキュリティは要らないっていうのはおかしいでしょ

2021/07/27(火) 01:30:32.63

>>493
>>487　を読み返してください
WPが前提、WPのシステムからアップされたメディアファイルの話し
更に言えば、このスレに住み着いてるWPガイジへのレス（アンカー見ればわかるでしょう）で自分で弄ることが前提
そして事の発端は
＞＞指定画像を出力したうえでメニューを作りたい
だからね？

＞そんなことはしませんが
と仰られるように、前のレスの質問にNoと言うことはWPのシステムのセキュリティをある程度信頼してるわけですよね
この件ではそれで十分だろうと言う話ですよ

セキュリティの一般論の話なんてしてませんよ

2021/07/27(火) 01:51:04.21

ここはPHPの質問をするスレ
WPの質問なら移動してください

2021/07/27(火) 04:39:04.62

Word Press の質問は、web制作管理板のスレの方へ移動してください！

Laravel のスレも、この板に立てている香具師がいる。
Laravelの質問は、WEBプログラミング板の方へ！

2021/07/27(火) 06:50:44.81

>>496
お前が言うな
Rubyバカ

2021/07/27(火) 07:09:26.40

WPスレにいる者だが絶対こっち来るなよ
ガイジ過ぎて手に負えんわ

2021/07/27(火) 08:14:32.01

質問は>>485であってwordpress関係ないだろ
>>487が勝手にwordpressだって決めつけてる
質問も意味不明だけどね、何を聞きたいのか簡潔にしてほしい

> つーかWPスレ池
お前がいけよw

2021/07/27(火) 09:02:44.68

るびースレに行ってもらえば万事解決するんじゃないかな

2021/07/27(火) 09:30:06.62

>>458　の質問者は少し前のWPのページネーションの奴だし、そいつは更に前のRSSの奴でもある
ってことでこのスレに住み着いてるWPガイジであることは確定なんですわｗ
何が気に食わないのか知らんけど残念だったねｗｗｗ
https://teratail.com/users/homepage-site#question

2021/07/27(火) 10:01:53.85

>>493
セキュリティと権限をごっちゃにしてそう

2021/07/27(火) 15:53:11.92

>>495
ほんそれ

2021/07/28(水) 10:44:10.50

>>485
関連レスをザッとだけ読んだけど、スレ回答者の中にもおかしな事を言ってるやつはわりといる
いちいち指摘してたらキリないから割愛するが、スレ回答者の皆が実務経験豊富なプロってわけじゃないからなぁ…

でもお前さんも、自分が「思い込みが激しくて頭が固いタイプ」だって事は自覚しよう
rssの質問のときも、print_r($rss); とするだけで理解できる筈の事を理解できず、質問を繰り返してたでしょ？
だからスレが荒れるんだよ？分かる？

2021/07/28(水) 10:44:53.11

>>485
で、元の質問は>>453でしょ？
画像を出力するコードの中にHTMLを出力すれば、意図した結果にならないのは当たり前

普通は「画像出力専用のPHP」を用意してこうやる
<img src="output_image.php?id=12345">

そして「HTMLを出力するPHP」の中で下記のようにすればいいだけ
<html>
<body>
<img src="output_image.php?id=12345">
</body>

こういう発想ができないのは、頭が固い証拠

どうしても1つのPHPファイルの中で、画像の出力とHTMLの出力とを同時に行いたい場合はこうする
echo '<img src="data:image/jpeg;base64,' . base64_encode(file_get_contents('img/abc/123.jpg')) . '">';
要するに、画像（バイナリデータ）をbase64でエンコードし「文字列（テキストデータ）として出力」すればいい（インラインイメージと呼ぶ）

これに「セキュリティ的な意味はほぼない」ので、勘違いしないよう
インラインイメージで画像を出すかどうか？ってだけ

まぁこんな事をやってもメリットなんか無いから、普通は「画像出力専用のPHP」を用意する

2021/07/28(水) 10:46:52.30

>>485
>>505に書いたoutput_image.phpの仕様がもし
output_image.php?path=img/abc/123.jpg
のように、画像のパスを渡したらその内容をそのまま表示するとなっていた場合、「パストラバーサル」と呼ばれる脆弱性が発生する危険性がある

例えば、pathの値が「img/../../../secret.txt」だった場合、意図せずsecret.txtの中身が第三者に読まれてしまうって事ね
だから、そうならないようpathの値をしっかりチェックしないといけないのだけど、一連の質問を見ている感じ、あなたにそれを自前でやるのは無理だと思う

なので、「ファイルパスを渡す」のではなく、最初の例のように「画像を識別できるIDを渡す」ようにすればいい

※?path= で値を受け取るPHPをインターネット上に公開し、ログを取ってみるといい
※笑うぐらい攻撃があちこちから飛んでくるのが確認できるから

2021/07/28(水) 10:50:19.40

>>485
最後に

アップロード処理が管理者にしかできない＝第三者に変なファイルをアップされる心配がないのであれば、
<img src="img/abc/123.jpg">
で別にええのよｗ

img/abc/123.jpg というファイルパスを第三者に知られたくないなら、>>505の例のように「間にPHPをかまして出力」すれば良いってだけ

逆に、第三者に変なファイルをアップされる心配があるのであれば、「アップロード処理の際に（出力の時ではなく）」厳密なチェック処理をしないとダメ

それについては、>>466さんも紹介してくれている
https://qiita.com/mpyw/items/939964377766a54d4682
を読めばいい

・第三者が自由にファイルがアップロードできる
・アップロード処理の際に上記のようなチェック処理ができてない
・アップロードされたファイルへ第三者がアクセスできる

3つの条件を満たしているとセキュリティ的にヤバいよねってだけ
例えば、「任意のファイルを自由に読み書きできるPHPファイル」をアップロードしそれがそのまま実行できたらヤバいでしょ？
分かる？

2021/07/28(水) 12:52:23.66

釣り質問にマジレスすんなよアホ

2021/07/28(水) 12:58:32.36

釣りレスですしｗ

2021/07/28(水) 16:52:40.91

>>476
ゴミレスに埋もれて気づかなかったｗ

PHPの記述を
exec('ipconfig', $message);
↓
exec('chcp 932 | ipconfig', $message);

に変えたら上手くいくと思う
932はCP932(SJIS)の事ね

2021/07/28(水) 16:54:11.72

>>479
error_reporting(E_ALL);
ini_set('display_errors', 1);
$url = "https://f.irbank.net/files/8700/fy-profit-and-loss.json";;
$json = file_get_contents($url);
var_dump($json);

ってやったらどうなる？
string(1676) "{"meta":{"type":"\u696d\u7e3e","item":{"\u5e74\u5ea6":["\u58f2\u4e0a\u9ad8",…
みたいなレスポンスが返ってこない？

とりあえず↓の行は要らんでしょ
$json = mb_convert_encoding($json, 'UTF8', 'ASCII,JIS,UTF-8,EUC-JP,SJIS-WIN');

>>481
関係ない
PHPのバージョンぐらいは書いた方がいいが

2021/07/28(水) 20:23:13.38

>>507
それをあわせてファイルをチェックするのが
MIMEチェックをして画像を表示させる前に、画像ファイルである事を確認するってことですよね？
画像をecho '<img src="data:image/jpeg;base64,' . base64_encode(file_get_contents('img/abc/123.jpg')) . '">';で表示して
MIMEチェックするのがそんなに難しいことなんですか？

2021/07/28(水) 21:08:58.35

>>510
どうもありがとうございます！
とても助かりました

2021/07/28(水) 22:44:28.91

>>512
MIMEのチェックが必要なのは、「第三者が」画像の「アップロードをするとき」の話ね
画像を表示させる前にそんなものは要らない

＞ MIMEチェックするのがそんなに難しいことなんですか？

PHPでアップロード処理した際、MIMEタイプは $_FILES['hoge']['mime'] に入るんだけど、
それは偽装できる
だからその値は信用せず mime_content_type() などで別途チェックしようってこと

当たり前だが、自分しかアップロードしないならそんなチェックはしなくていい

つかさ、「自分（管理者）しか画像をアップロードしない」のか
それとも「第三者も画像をアップロードする」のか、
まずはそこをハッキリさせるべき

だから回答もめちゃくちゃになる

2021/07/29(木) 05:06:26.04

画像データの中に、ウイルスなどを入れてくるかも知れない

だから、本当に画像形式なのか、全バイト調べる必要がある

2021/07/29(木) 05:43:31.56

>>514
> 当たり前だが、自分しかアップロードしないならそんなチェックはしなくていい

これ、管理画面からしか画像アップロードを許さないって状況を言ってるんだと思うけど、その場合もちゃんとチェックすべき
他の脆弱性と合わせて管理者権限でアップロードする手口があるので、このへんで手は抜かないほうがいい

2021/07/29(木) 09:05:26.98

自分で変なﾌｧｲﾙ置いちゃうかもしれんしな

2021/07/29(木) 09:20:26.22

え？お前らSFTPで画像アップロードする時なんかもMIMEタイプのチェックやってるの？
管理者権限奪取されるような状況でMIMEタイプのチェックなんか意味ないだろw

2021/07/29(木) 09:39:40.25

自分WPしらんから適当言ってる

2021/07/29(木) 11:01:03.28

>>516
>>453に "wp-content/uploads/2021/07/7mgpH3K.jpg"
ってパスがあるからWordPressだよね

WordPressの管理画面からアップロードされたファイルは、
デフォのディレクトリ構成なら最終的には wp-content/uploads/ 以下の「公開ディレクトリ」に置かれる

なのでWordPressへその画像が表示される際も
<img src="ttps://example.com/wp-content/uploads/○○.jpg">
という形になる

だったら>>453も単に
<img src="ttps://example.com/wp-content/uploads/○○.jpg">
とすれば終わりの話だよｗ

でも、何がしたいのかよく分からんが、>>453ではわざわざ readfile() とか使ってるｗ

まぁでも、WordPress管理画面から自分がアップロードし公開ディレクトリに置かれたものなのだから、
readfile() でそれをそのまま出力しても問題はないさ

2021/07/29(木) 11:02:30.36

>>520の話は俺より先に
ID:7+uo32oc0
さんが指摘してるし、>>494さんもそれをフォローしてる

そこへゴチャゴチャ言うのがいるから話がこじれる
453は「HTMLとPHPの役割分担すら理解できてないヤベー人」なわけで、
そんな人へゴチャゴチャ言っても理解できるわけがないのにさ

WPスレへ行けといくら書こうが無駄なのだし、
さっさと問題を解決しスレから居なくなってもらうのがベターかと

2021/07/29(木) 11:13:22.62

当人は自分宛レスに書かれた内容の三割も理解出来ていなさそう

2021/07/29(木) 11:17:31.59

セキュリティの一般論なんか持ち出すのがいけない

2021/07/29(木) 12:43:26.88

>>520
>だったら >>453 も単に
<img src="ttps://example.com/wp-content/uploads/○○.jpg">
とすれば終わりの話

公開ディレクトリなのに、URL で書かないといけないの？
相対パスで書けないの？

2021/07/29(木) 12:51:10.23

もう当人居なくなってるだろ

2021/07/29(木) 13:05:58.67

>>521
ID:7+uo32oc0　と　>>494　はﾜｯﾁｮｲ見れば同一人物ってわかるよ
そして私だ！フォローthx！

あとね
ﾜｯﾁｮｲ 532c-MYQi
ID:Bm0Z0U0B0
はRubyガイジなんでスルー推奨

2021/07/29(木) 13:14:38.56

こいつサイトに載せるバナーイラストをお絵描き板で個スレ立てて練習してるやつと同一かな？
pixivを超えるサイトを作るらしいぞ。だから第三者がアップロードする事に拘ってるんだと思うぞ。

2021/07/29(木) 15:46:28.70

>>524
WPではアップした画像がWPを通して表示される時は絶対URLで記載される

2021/07/29(木) 18:37:55.60

>>526
たしかに同一人物だあまりにも口調が違うから気づかなかったｗ
Rubyガイジの件もサンクスこれも気づいてなかった

>>528
だね
フィルタ使って 'attachment_link' や ''wp_get_attachment_url'
に対し絶対URLを相対パスへ変換するフィルタを適用すれば
相対パスに変える事もできるけどね

526が教えてくれたけど、524はRubyガイジみたいだから相手にしなくていいよ

2021/07/29(木) 18:43:11.67

Rubyガイジのレベルは>>483見ればお察しやねｗ
WordPressスレ見てみたけど、そっちにもRubyガイジが顔出してるしスレがまともに機能してなかった
そりゃこっちに来るわ

2021/07/30(金) 15:35:03.64

2005年前後にに発行されたPHPの本がたくさんあります
バージョン4や5辺りです
以前はこれらの本を見ながら簡単なことをやったりしていましたがもう完全に忘れています
今、小さな店のweb予約システムをPHPで作りたいと思っています
今はPHPのバージョン7か8でしょうか
新規に本を揃えた方がいいですよね？
おすすめの本、勉強方法などあったら教えてください
スレチであれば誘導お願いします

2021/07/30(金) 15:41:02.56

バージョン7.3以上がいいよ
残念ながら4や5はもう完全に化石

2021/07/30(金) 16:28:29.52

PHPの本は半分くらい攻撃対策がページを占めてる印象

2021/07/30(金) 17:00:35.86

>>531
本が必要なら買い換えるべき（最低限PHP7…できれば7.3～対応のものを）
作りたいものがはっきり決まってるのはとても良い事

とにもかくにも、まずはローカルにまともな開発環境を作ろう
スレの質問を見てると、開発環境を作れていないであろう人の質問は色んな意味でヤバいｗ
開発環境を作るのははじめは面倒だと思うけど急がば回れ

※533はRubyガイジなので注意

2021/07/30(金) 19:29:14.24

どうせなら新しい8を勉強した方が効率いいかなと思ったんですけど、今使っているレンタルサーバがまだ8に対応してませんでした
7.3以上ですね、わかりやすそうな本を店頭で探してみます
予約システムの作り方とか似たようなものがないかも探してみよう

ローカルの環境開発、どの本にも書いてあったので昔入れてました
懐かしい
これも入れておきます
いつ完成するかわかりませんが久しぶりで楽しみです
アドバイスありがとうございした

2021/07/30(金) 19:29:28.58

img.phpを用意して<img src="output_image.php?id=12123">
header.phpのbodyに<img src="output_image.php?id=12123">と追加したのですが表示されないようです。
output_image.php?idで画像を表示できるのでしょうか？

**蟻人間** ◆T6xkBnTXz7B0 (ｽﾌｯ Sd9a-KTRx) · 2021/07/30(金) 19:34:30.43

確認します。
img.phpというファイルはありますか？
output_image.phpというファイルはありますか？
output_image.php?id=...
に直接アクセスして画像は表示されますか？

2021/07/30(金) 19:40:25.38

画像パスがupload.php?item=12123となっているのに対し
<img src="upload.php?id=12123">では取得できない気がするのですが、idから取得できるんでしょうか？

2021/07/30(金) 19:46:25.67

output_image.phpというファイルを作って中に<img src="upload.php?id=12123">
header.phpのbodyに<img src="upload.php?id=12123">と記載しても表示されません

直接output_image.php?id=12123にアクセスしても表示されないようです

2021/07/30(金) 19:58:25.74

wordpressの場合特殊なのか、idから画像をリサイズして表示するときに<php echo wp_get_attachment_link( 12123 ); ?>で表示されました。

テンプレートタグ/wp get attachment link - WordPress Codex 日本語版

2021/07/30(金) 19:58:58.68

そらそうだろ

2021/07/30(金) 20:00:25.98

いずれはwordpressではなくデータベース軸でサイトを立ててみたいので、output_image.php?id=...で
なぜ表示できないのかも知りたいんですが…

2021/07/30(金) 20:09:34.89

<php echo '<img src="data:image/jpeg;base64,' . base64_encode(file_get_contents('wp-content/uploads/2021/07/7mgpH3K.jpg')) . '">';?>

だと同じように表示されました。教えていただきありがとうございます。
第三者がアップロードするかどうかでセキュリティを考えるんですね、コメントしかりページナビしかりマイページ機能しかり。

**蟻人間** ◆T6xkBnTXz7B0 (ｽﾌｯ Sd9a-KTRx) · 2021/07/30(金) 20:34:44.87

WordPressはWPの作法に従わないと動かないことがあるよ。裏でCSSやら.htaccessやらJavaScriptやらが動いていて、実際の処理は隠蔽されてるから。

2021/07/30(金) 21:45:55.50

>>544
ありがとうございます

2021/07/30(金) 21:52:20.21

> 「不正な画像をアップロード」できるのも内部犯に限られることになる

XSS を利用して不正アップロードする手口が徳丸さんのとこで紹介されていました。
https://www.youtube.com/watch?v=FpCabifwhKg

WordPress なら外部から似たような攻撃でアップロードされる可能性があるので、プログラムレベルでも適切にアップロード対策をしておくべきだと思います。

このような回答が追加されていたのですが外部からも勝手にアップロードされる危険性はあるのでしょうか？

2021/07/30(金) 23:36:35.91

ありますよ。実際に自分はアップローダーからマルウェア仕込まれて
VPSサーバーを総入れ替え舌経験があります。
WordPress宛の攻撃は毎日あるし、できる対策は全てしたほうが良いでしょうね

2021/07/31(土) 01:52:34.20

この動画を見たところ検索フォーム？のXSS対策コードの記載漏れから不正コードを入力されて管理画面に侵入されたみたいですが

要するに第3者が侵入出来るような検索フォームやお問い合わせフォームやコメントフォームやマイページの対策を怠らない事で防げるということですよね？
自分のみがアップロードする場合は該当しないのでしょうか？

**蟻人間** ◆T6xkBnTXz7B0 (ｽﾌｯ Sd9a-KTRx) · 2021/07/31(土) 03:18:27.24

脆弱性は様々な枯れてない技術から発見されている。あのWPだってあちこちからゼロデイ攻撃が見つかっている。WP のテーマやプラグインにも脆弱性がある。度重なる更新や脆弱性に対応できないならWPを使うのをやめた方がいい。

パスワードセキュリティにも危険性がある。パスワードはセキュリティの基本であり、5文字程度の単純なパスワードはパスワードクラッカーで短い時間で突破されてしまう。攻撃者は性能の高い計算能力を持ち、世界中のどこからでも攻撃できる。パスワードは単純なのはダメ、短いのはダメ、憶測できるのはダメ。

あるいはソーシャルハッキングや電波漏れなどの未知のハッキング手法からも攻撃が成立することがある。

こうすれば絶対にハッキングされないという方法はないが、危険性が高いものを避けることは可能。

2021/07/31(土) 10:31:19.92

>>548
WordPressの場合、自分は管理画面のURL変えてIP制限入れてますよ。
自分のみがアップロードなら、自分しか使えないIPアドレス制限した方がいいし、
ホスト名とか環境変数とか、そこまでチェックした方が確実だと思います。

ま、一番良いのはWordPress使わないことですけどね

2021/07/31(土) 10:46:33.80

>>550
動画見ろよ
IPの制限無関係に投稿する仕組みの紹介だぞ

2021/07/31(土) 11:04:47.11

わざとセキュリティホール作って、ほらね？危ないでしょ？ってアホかよｗ
まずWPに同じセキュリティホールあるかの議論が先だろｗ
無いけどｗ

2021/07/31(土) 11:34:42.98

>>552
ユーザ投稿のプレビュー箇所とアップロード機能を持つ管理画面って,WordPressで頻繁に見るんだが？
それぞれに問題箇所があるとwebshell置かれて終了！の可能性を指摘する動画だけど、理解できてる？

2021/07/31(土) 11:37:50.11

プログラムで例えば4×4のマップがあった場合、4という数字は私は格子点数と呼んでいますが、皆さんは何と呼びますか？

2021/07/31(土) 18:56:05.10

>>553
一連の流れでセキュリティの指摘をしたわけではなく、ただ動画を宣伝したかっただけなんですね！
理解できましたｗ

2021/08/02(月) 10:21:18.11

>>536
Oh...
それ、単に「例」として出しただけなのでｗ

例えば（あくまでも例え話ねｗ）
ID | 画像のパス
1 | hage/abc.jpg
2 | fuge/345.jpg
みたいにデータ管理してたとして、

id=1 を渡せば hage/abc.jpg を取得できるようにすれば結果的に
output_image.php?id=1
とすれば、「hage/abc.jpg」を表示できるでしょ？ってこと

それを、
output_image.php?path=hage/abc.jpg
みたいに直接パスを渡すような設計にしてると、あなたのレベルでは危ないよってだけ

2021/08/02(月) 10:45:18.84

>>546
＞外部からも勝手にアップロードされる危険性はあるのでしょうか？
そりゃ「可能性」はあるよｗ
人間が作るものにバグ（脆弱性）がないものなんてない

で、>>546にはその動画の意味は理解できる？
理解できてないよね
理解できてないのに、何をどうやって「対策」するの？ｗ

その動画に指摘されている脆弱性は、「プラグインのXSS脆弱性を悪用した攻撃」なので、
対策といったところで、あなたのレベルでできるのは「WP本体やプラグインは常に最新版を使う」事ぐらいだよ？
※その動画の攻撃例は管理画面にIP制限なんかしても無駄ですｗ

結局、「画像は546本人しかアップロードしない」んだよね？
だったら、「アップロードした画像には問題ない」事を前提に話を進めようよ

546は、「HTMLやPHPの基礎がないままWordPressから始めた」のがいけない
基礎がガタガタなの
そんな人が細かい事を気にしたところで、話は前に進まんよ

2021/08/02(月) 10:50:01.92

>>552
>>555
546の動画の例は、WordPressでECサイトを構築する際の「超定番」プラグインEC-CUBEのXSS脆弱性を悪用したもので、
「実際に悪用事例も出た」ものだけどね…
そんな事すら理解できないなら、横からしゃしゃり出てこずに黙っておけｗ

2021/08/02(月) 10:59:23.86

>>546
>>557に補足しとくと、WordPress本体・プラグイン・テーマファイルの致命的な脆弱性を悪用され、
WordPress権限から自由にファイルのアップロード・編集が可能になった場合、
サーバー内の画像をPHP経由で出力する際のセキュリティ(笑)なんか、いくら考えても無駄ですｗ

その点については>>518さんが指摘している通り

例えるなら、「ヘルメットを被っていたら快速電車にダイブしても大丈夫だよね？」って聞いてるみたいもんｗ

だから、自分しかアップロードしない画像ファイルは安全であるという前提で、話を進めようよ…いや頼むからそうしてくれｗ
てかRSSの時もそうだけど、たったこんだけの事にどんだけ時間かけてるのよｗ

2021/08/02(月) 11:36:09.87

いいから構うやつもまとめてWPスレ行って帰ってくるなよ

2021/08/02(月) 11:55:16.38

自演ですし

2021/08/02(月) 14:06:37.03

最初から自分しかアップロードしない前提なのにどんだけレスしたら気が済むの、このセキュリティガイジ

2021/08/02(月) 14:39:06.84

セキュリティガイジは別人だろ
ガイジなのは質問者、それに対しセキュリティ全波の話を持ち出してる人、煽るしか能のない人

**蟻人間** ◆T6xkBnTXz7B0 (ｽﾌｯ Sd9a-jBGF) · 2021/08/02(月) 14:51:48.05

>>554
普通にサイズでよくね？

2021/08/04(水) 15:31:27.53

Array(a1,b1,c1,d1,...)とArray(a2,b2,c2,d2,...)を足し算して、
2次元配列にする時って、どうすればいいでしょうか？

$x[0]がArray(a1,b1,c1,d1,...)の時、
$x[1] = $s;としたら、
$xがArray(a2,b2,c2,d2,...)で上書きされてしまいました。