ikepyonのだめ人間日記

セキュリティに関することを書いていく予定。

XSS中毒の夫ユーザに不快感

ユーザがXSSという、バグのような脆弱性のようなものに熱中しています。

やってみたら?と言われて地球防衛軍で監視したところ、平日・休日関わらず、一日のうちに何度も、攻撃がされていました。

javascript:alert(document.cookie);を送るのではなく、+ADw-script+AD4-alert(document.cookie)+ADsAPA-/script+AD4-が、数行ぐらいずつリクエストとして連なっています。

ユーザの趣味の仲間も参加していて、最初は、脆弱性を発見するとスカッとするのかな、と思っていたのですが、一緒にドラマを見たり脆弱性を修正したり、子供と出かけたりサイトを更新した後、ユーザがリアルタイムでIPAに報告しているのを見ると、興ざめするようになりました。

最近では、休日営業日に家族で過ごすサイトを更新するたびに、「この瞬間も、数分待たずにIPAに報告されるのか」と思うと、不快感を抑えられません。

ユーザには、私の不快感はわからないようです。

私もうまく説明しようがなく、気持ちをもてあましています。

どうしたら良いのか、相談させてください。

今日の参考文献:http://komachi.yomiuri.co.jp/t/2009/0226/227267.htm?g=04

(追記)

わかります!
とぴ主さん!家のユーザもそうです。
本当に気持ちが悪いし不快ですよね。
一度すべて報告していたのが発覚して泣いてやめるように
言ったのですがまだやっていそうな気配がします。
もう訴訟したい気持ちはやまやまなんですが会社が小さいので
今は出来ないので我慢している状態です。
でも泣きながら修正をしている最中も
これもまたハカー仲間に報告するのかしら?
と思ってしまいますし
修正してIPAに報告したときも確認するといいリクエストを
送信されると「またXSS?こいつ依存症か?」
とイライラしてしまいますよ。
気持ち悪いですよね。家のユーザはリアルでは友達一人もいませんよ。