話題のPHP入門書『作りながら基礎から学ぶPHPによるWebアプリケーション入門』について

kenjis @kenji_s

今日本屋ですごい本を見つけました。ちょっと立ち読みしただけですがセキュリティという概念そのものがなさそうでした。是非、@ockeghem さんにレビューをお願いしたい > 『作りながら基礎から学ぶPHPによるWebアプリケーション入門』 http://ow.ly/6elVJ

徳丸 浩 @ockeghem

@kenji_s わかりました。こう言う時こそ、皆様にご協力いただいたアフィリエイト収入を元手に本を購入しましょう…読んでブログ書く手間の方が大変ですがw

徳丸 浩 @ockeghem

@kenji_s さっき本が届きました。確かにこれはすごいですね。一切なにもやっていない。セキュリティの教材として使えるかもしれない（逆説的に）。著者のサイトからサンプルがダウンロードできるはずがまだ準備されていないようで、もう少ししてから調べます

徳丸 浩 @ockeghem

@kenji_s ファイルアップロードの脆弱性とか、メールヘッダインジェクションはあり、SQLインジェクションも当然のようにあるのですが、意外にXSSがすぐに見あたらないのはjQeuryの功績でしょうかね。でも、もれはありそうなので、サンプルが後悔されたら調べてみます。

徳丸 浩 @ockeghem

「作りながら基礎から学ぶPHPによるWebアプリケーション入門」について、出版社に問い合わせのメールした。内容は、サンプルプログラムが、あるはずのサイトに見あたらない件について

徳丸 浩 @ockeghem

「作りながら基礎から学ぶ…」サンプルが入手できたので動かしているが…基本的にサンプルが未完成で動かないんですけどorz バグというレベルではなく、単に動かない…こういう状態では脆弱性指摘以前の問題だ

isidai @isidai

セキュア…？ RT @ockeghem: 「作りながら基礎から学ぶ…」サンプルが入手できたので動かしているが…基本的にサンプルが未完成で動かないんですけどorz バグというレベルではなく、単に動かない…こういう状態では脆弱性指摘以前の問題だ

徳丸 浩 @ockeghem

やっと動いた。XSSとSQLインジェクションを確認。ふう～

徳丸 浩 @ockeghem

@isidai そうですね。僕が動くようにするまでは、脆弱性は発現しませんからw

別部穢麻呂 @WKitanamaro

すごい。これほど完璧な脆弱性対策はないかも RT @ockeghem: 「作りながら基礎から学ぶ…」サンプルが入手できたので動かしているが…基本的にサンプルが未完成で動かないんですけどorz バグというレベルではなく、単に動かない…こういう状態では脆弱性指摘以前の問題だ

徳丸 浩 @ockeghem

「作りながら基礎から学ぶ…」、元々動いて脆弱というのもあるけど、動かないのを徳丸が修正して、それが脆弱というのは、直した徳丸にも責任があるともいえ、なんとも指摘がしづらい気分。これは一種のライフハックか? 読者不在であることは間違いない

tt4cs @tt4cs

@ockeghem でも、ちょっといじくると、脆弱的なるものが見えてくる、という過程も十分に勉強になりますし、そういうことに触発される読者だっていると思います。

徳丸 浩 @ockeghem

@tt4cs そうですね。せっかく本を買ったので何らかの形で公表したいとは思っていますが…

徳丸 浩 @ockeghem

「作りながら基礎から学ぶ…」は本として未完成の状態で出しちゃった感が強いという点でどうよと思いますね

mincemaker @mincemaker

噂のPHP新刊の人のサイトがすごい。 http://t.co/oHpfbog

徳丸 浩 @ockeghem

私もびっくりしましたw RT @mincemaker: 噂のPHP新刊の人のサイトがすごい。 http://t.co/mmSsPAF

徳丸 浩 @ockeghem

マジレスすると、最近のPHPの本は、最低でもXSSとSQLインジェクションくらいは意識していて、漏れはあるにしても、一応対策していると思っていたのですよ。一方、「作りながら基礎から学ぶ…」は、一切ない。見事にない。この潔さw

ぼんてんぴょん(Bontenpøn) @y_bonten

どうやら買っといたほうがよさそうだな RT @ockeghem: マジレスすると、最近のPHPの本は、最低でもXSSとSQLインジェクションくらいは意識していて、漏れはあるにしても、一応対策していると思っていたのですよ。一方、「作りながら基礎から学ぶ…」は、一切ない。見事にない。

Mitsuaki Ishimoto @mitsuaki_i

逆に読みたくなる RT @ockeghem マジレスすると、最近のPHPの本は、最低でもXSSとSQLインジェクションくらいは意識していて、漏れはあるにしても、一応対策していると思っていたのですよ。一方、「作りながら基礎から学ぶ…」は、一切ない。見事にない。この潔さw

徳丸 浩 @ockeghem

話題のPHP本の壮絶なサンプル（ダウンロードしたもの）。これだと文字化けする。脆弱性もあり。 http://t.co/2Q4EY30

拡大

がる @gallu

@ockeghem なんかとりあえず「メール爆弾用の踏み台」として、使い勝手もよく優秀そうな感じですね(苦笑

徳丸 浩 @ockeghem

@gallu まぁ、メール関数の説明用のサンプルですから、仕様が危なっかしいのは目をつぶるとして、著者の苦労の後が忍ばれます

徳丸 浩 @ockeghem

さっきのスクリプト、元々任意宛先に任意文面のメールが送れる *仕様* ですが、脆弱性により添付ファイルもつけられます。これは徳丸本の練習問題としては易かな。なんせ、ほとんどそのものが書いてある（答えはCD-ROMの方に）

HARUYAMA Seigo @haruyama

作りながら基礎から学ぶ...をちょろっと見た. たしかに危険な記述があった.

徳丸 浩 @ockeghem

うわさのPHPの新刊、デバッグ用のalertが残ったままというサンプルもありましたよ。本ではなくて、ダウンロードしたサンプルの中ですが…。これが動かないスクリプトで、本には掲載されてないみたいですが、少し手直しすれば動きました。残念＞＜