だぶだぶノート

知る人ぞ知るMixiの脆弱性やらをいろいろテストしている「こんにちはこんにちは」の方のサイトを参考に、掲示板のパスワードを取り出すスクリプトが出来ないかと試してみたところ、
見事に出来ました。＼（￣▽￣）／
いや、喜ぶのもどうかと思うわけですが、
IE専用で、謎のアラートが出ますが文字コードの問題も、おそらくですがクリアしています。

たとえばmixiのメッセージの内容とかも取れちゃうし＞＜ (※ただし文字コードの問題をクリアできれば)
※↑ごめんぼくにはむりかもしれない＞＜

かの人はこう仰ってますが、トリッキーですが結構簡単でした。
でもHTMLの解析が面倒そうなので、メッセージを読むのは全文をそのまま<textarea>にほりこむだけのテストです(^^;
とりあえず、もっとも普及しているであろうCGIスクリプトの一つ、child-treeで試してみましたが、応用すれば、当然他のスクリプトでも可能ですし、掲示板だけでなくショッピングカートや、

こういうフォームにクッキーか何かで自動的に入力されるタイプの所なら取得出来ると言うことですね。
アカウントとセットで取得すれば、自由にログイン出来ます。

この脆弱性に対応するには、クッキーを使った自動入力（CGIスクリプトの機能）を使わないのがベストと思います。
もっとも、IEも対応すべき事かもしれませんが。
自動入力が出来ないと、忘れたときとか面倒なんですが、やはりブラウザのパスワード保存機能は重宝しますね。
ただ、何らかの理由で取得出来ないところがありました。
http://canad..agra-canada/.htaccessで何かしてるのか、それともCGIスクリプトでしてるのか、、、全部が全部取得出来るというわけではなさそうです。