先日のこの記事のコメントにて、某プラグイン作者様より、「XSS脆弱性(ぜいじゃくせい)」なんて言葉があったので、ちょっと分からない方の為に、簡単に説明してみたいと思います。

XSSとは、"Cross Site Scripting"の略で、それだったら略したらCSSじゃん!となるわけですが、スタイルシートのそれと混同してしまうため、XSSと略称されています。

悪意のある訪問者が、セキュリティ上の「穴」を攻撃(スクリプト混入されたりだとか)されて、個人の情報が漏れたりだとか、恐ろしい結果に繋がるわけです。

昔、携帯サイトの掲示板なんかで攻撃されているのを見かけた事がないでしょうか?例えば、真っ白になって表示されなくなっていたりとか。
あれもXSSの餌食となっていたわけです。
auには効くけど、ドコモには効かないとかいうのもあったなぁ。。。

最近では矢吹さんのLOCOBOARDなどの高機能な掲示板が登場してきて、タグ不可などの機能は当たり前になってきました。

で、PAPALOGが使っているMobile Eye+ですが、コメント表示部分にXSS脆弱性があると指摘がありました。
んなもん私はMobile Eye+を使い始めた瞬間から、それにあたる部分を修正しています。

問題のそれは、Mobile Eye+のプラグインに含まれるfunction.phpの31～32行目の全角英数字カナを半角にする関数で、オプションのaを使っている事が原因なようです。(デフォルトではaskVが設定されている)

全角を半角にすることでの省パケ機能として設定されているもので、管理画面の設定でも使用する・使用しないが選択できるのですが、このmb_convert_kana()のaオプションがちょっと厄介で、英数字だけでなく、ASCII記号までも半角にされてしまうわけで、要は→＞までもが>に変換されるという事態に。。。

で、ワタシは何故即座にここを修正したか。

半角カナが苦手だからというオチですｗ

しかしながら、コメントいただいた某プラグイン作者様、ご指摘ありがとうございます(_"_)
フッターの十六夜.jpへのリンクの件は、確かに気になっていたので、ご指摘どおり修正いたしました。

Graffi Rayのモバイルサイトを移転させている途中に気がついたのですが、モバイルサイトのトップページ以下への設定ファイルがどうも動いていない。というか、読み込んでいない。
htaccessの設定を間違えたかなと思いつつ、ちょっと調べてみたらhetemlはhtaccessでinclude_pathを設定できない仕様だという事が判明。

こりゃ困ったなぁと思いつつ、少々めんどくさかったですが、設定ファイルを読み込むファイル全てに、ini_setを追加する事で何とか回避。

これくらいでしょうか。

「あれ」とは、よくフッターとかに表示させている著作権情報なのですが、

(C) 2008 Graffi Ray

これって油断してたり、放置状態になっていると、年が変わっても前の年のままになっている事もあるかと思います。

ウチが運営しているサイトでは、ここにdate関数を使って、自動で更新されるようにしています。

<?php echo date("Y"); ?>

というか、これまでは手動で書き換えていたのですが、Graffi Rayを始めた頃、PHP使ってもっとラクにできる事ないかなと考えて思いついたのがこれ。

あともう少しで2009年になりますが、ちゃんと変わるかどうか楽しみです＾＾