Namazu-devel-ja(旧)


[Date Prev][Date Next][Thread Prev][Thread Next][Date Index][Thread Index]

Re: クロスサイトスクリプティング脆弱性 (ver2.0.10)



竹迫です。

"NOKUBI Takatsugu" <knok@xxxxxxxxxxxxx> wrote:
> 
>   とりあえずこんな感じでしょうか?

もう実装途中で、気付いておられるかもしれませんが...

> libnmz:
> * nmz_names にメンバを追加 (warnlog?)
>   (デフォルト値は 0)
→ libnmz.h の struct nmz_names のメンバに
    char warnlog[MAXPATH]; /* warnlog(仮) */
   を追加するということなので、ここで言うデフォルト値が 0 というのは
   下記の変数 output_warn_to_file のことですよね?

> * util.c に変数 output_warn_to_file を追加
> * util.c に nmz_set_output_warn_to_file() を追加
→ ここは、今までの作法に習って libnmz.c で宣言した方がよいかと
   思います。 nmz_set_output_warn_to_file() 関数の他にも
   nmz_is_output_warn_to_file() を宣言して、util.c でも変数の値を
   参照できるようにして。

> namazu-cgi.c:
> * nmz_set_output_warn_to_file(1) を呼ぶようにする

あと、他に search.c の make_fullpathname_index() の中で、
    nmz_pathcat(base, NMZ.warnlog); /* warnlog(仮) */
を追加する必要があるかと思います。

細かいことばかりで、すみません。

>   あとファイルをどのタイミングで open するかも悩ましいところです。slog 
> は検索時に一度だけで良いので話が簡単なのですが、nmz_warn_printf はあち
> こちにあるので、その都度 open するのはあまり綺麗とはいいがたいです。ま
> あ頻繁に呼ばれるものでもないので、それでも良いですかね?

それで O.K. だと思います。
エラー出力の部分に性能を求めても仕方ないと思いますので、
その都度追記書き込みで大丈夫だと思います。
それに、ファイルを open したままにならないので、安心できますし...

とりあえず、私は Windows 環境でのテストを担当しますので、
パッチの作成については、野首さんにお任せしてもよろしいでしょうか?

--
  広島市立大学 情報科学部 情報機械システム工学科 知能ロボット講座
     竹迫 良範 <takesako@xxxxxxxxxxxxxxxxxxxxxxxxxxxxxx>