星野君第2話〜誰でもWeb管理画面に入れる気前のいい会社(@IT)

今回も絵を描かせていただきましたぁ〜。次回はいよいよあれの絵です。ふふ。
絵は置いておいて、セキュリティ的に、「admin」「test」「old」なんてフォルダは結構作って公開する時に残しっぱなしなパターンが多いんじゃないかなーって思ってます。しかも、こういうフォルダの中に入ってるファイル達は、へちょかったりする。。。
「test.cgi」とかなんかも変数の受け渡しテストしてそのままXSSが残っちゃってたり〜。そして何より、うっかり「Hello World」なんて見えちゃったら恥ずかしいｗ（*ノノ）
やっぱりあれですよね、攻撃する人としては、正面から攻めるより裏からのほうが楽なので、やられちゃいますよねぃ。
SQL Injectionは、パスワードの方より、ログイン名の方が実はあったりしますよね。パスワードだと、ハッシュ化されて保存されてたり、ベタで保存されてても、ログイン名でDBを引いて、パスワードをマッチング、なんて実装も意外とあるだろうし。