バイクを降りたドール者の日記

めっちゃくちゃヤバイ脆弱性発見。

対象：B70 以前の全てのさくら日記帳

先に緊急リリースしておきます。
ついでに EUC 問題も削っておきました。
以下は修正方法。
簡単なコード追加なのでこれで対応してください。

修正方法：
sub init { 行の次に以下の行を挿入。
    error("パスワードが違います。") if !check_password($FORM{'writekey'});

sub config { 行の以下の行を参考に挿入。
    <form action="$script" method=POST>
    <input type=hidden name=mode value="init">
    <input type=hidden name=writekey value="$FORM{'writekey'}">　　←※追加

EUC を SJIS にする場合は以下の行を削除。
    sub regist { ルーチンにある以下の行
    
    # ログファイルが存在しなければ新規フォーマットで書き込み
    else { $formtmp = "$FORM{'weather'},$FORM{'subject'}\n$FORM{'comment'}"; }
    jcode::convert(\$formtmp, 'euc');　　←※これ

設定ファイル消えてたら呼んでください。バックアップこっちで確保しますた。→蝦・あぞーさん・Casper-01さん・山銀さん
それにしてもまぁ、よくもパスワード認証なしに設定の保存ルーチンに飛ばしてたもんだ。

バグメモ

• 設定画面で "" を使ったタイトルを使用したとき、もう一度設定しようとすると消えている
  →type=text を使っていると全部出る。
  s/"/&quot;/していないのが原因。
  

今回のさくら日記帳で更新はひとまず止めます。
いや、内部がかなりカオス化してるので整理しないと。
MySQL 版で覚えた技術も取り入れたいですし。

MySQL版の方もあるので折り合い見ながら両方同時進行で調整かけながらにします。
ということで EUC 保存に関しては上記を参考にして無効化しておいてください。

現行の nikki ディレクトリ内のスクリプトをやっと新型に入れ替え。
というわけでテンプレートとかが現行のこの日記で有効に。

現在問題視しているのは、先の日記でも触れた日付単位での表示をさせた場合、ローディング時の表示が遅いこと。
内部処理は、一番下を見てもらえるとわかるのだが 0.2s くらいで終了しているのが不思議不思議。

というわけで各ポイントで停止させて何が悪いのかを調べてみたが、どうも日付を元に取り出すと遅くなる模様。
それ以外 (カテゴリや記事番号) だと普通に早い。

左バーを表示させない、記事の表示もしない純粋に記事データを引っ張ってくる時間だけを見てみると、日付単位で取ってくるのが平均約 700ms に対してそれ以外だと平均約 420ms。
特にコレといって特別なこともしてないんだけどなぁ、という事でデータベースの方を見てみた。
すると日付フィールドがインデックスになっていたのでコレを外してみたが特にスピードは上がらず。
で、もう一度インデックスマークを付けてみると微妙に早くなって平均約 560ms。
できれば現時点で最速の 420ms 近くは出したいところだが原因が全くわからん・・・。

なんやら各地でちょっとした不具合がいろいろと出ているようで。
新規でエントリーしましたんでつっこみでいろいろとお願いします。

×　真っ白になる

○　書き込み時のバックアップファイルが書き込めない

$log_backupfileで指定したファイルは正常に書き込まれたら削除されるので、ファイルが書き込まれるディレクトリはパーミッション 777 である事が必要。

△　RSS ファイルに固定の URL が書き込まれている

該当個所を確認したが、固定で書き込むような記述は無し。
他の人どうなってます？ rdfdata.rdf が雛形になってます。
そちらを修正してください。
中途半端に雛形にするなら固定の方がいい？

△　新規書き込み→既存の日記と同日付で追加

非常手段でありまともにチェックしてませんというかそもそも EUC と SJIS が混じってるから不具合出るかも。
たぶん追記の時に文字コードチェックしてないとか変に変換してるとかそんな感じの予感。

○　RSS の修正って？

& を &amp; に変換するようにしました。
でないと sage などでパースエラーが出ます。

△　既存記事に新規書き込みで追記すると文字化け

残念ながら再現できなかった。
ファイルに書き込むときは新規と既存の区別はないので同じサブルーチンを使用している。 ちょいと変なところで文字コード変換が入ってます。
それを除去すると SJIS になります。

で、このままだとらちがあかないので全部書き換えてみようかなと考えている。
そこでアンケート。

1. ログそのものは SJIS と EUC どっちがいいですか？
   
2. ログオン方法は現在前入力と後入力になっていますが、これを前入力のクッキーによるセッション保持に変更して良いですか？
   

機能がどんどん重装備になっていくさくら日記帳。
今度は左テーブルだけテンプレート化してみました。





変換エンジン死にそう。_no





つかマジで s/// 使いまくりでガスガス変換しまくり。
これでパフォーマンスちゃんと出るんだろうか？

ちなみに日単位出力の時の表示速度が遅いのは原因不明。
カテゴリ単位表示だと平均 0.7秒で初期レスポンス (ブラウザに対してはぢめてのパケット着弾) 有り。
これが日単位になると 1.9秒くらいに延びるから問題だ。

計測はかいちょに教えて貰った lori (Life-of-request info) を使って表示したものを参考に。

ますます blog化。＿|￣|○

トラックバックを自分に対して打ってみた感じでは正常に登録されてるっぽい。
主要な機能は実装できたから、あとは細かいところの調整かな。

ついでに同一サイト内でのトラックバック受信テスト。

あ。左バーは一部プラグイン化してるので詰まったり順番違ったりしてるのは(ﾟεﾟ)ｷﾆｼﾅｲ!!でください。

っと。
トラックバックの追撃テストで文字コード変換は OKっぽい。
さっきまで保存後、出力する際に変換をしていたが、保存する前に変換をしないと phpMyAdmin や mysql 倉で化ける罠。orz
という事で前段階で変換するように変更。

あとは左バーの「情報」をプラグイン化。

さくら日記帳に限らず掲示板などでは必ず使われる改行タグ BR。
これ、s/\n/<br>\n/ だけすりゃぁいいとか思ったら大間違い。
たとえば HTML タグの後ろで改行した場合、普通は入れないはずの BR タグが入れたくもないのに入ってしまう。
それを正規表現一発でどう変換しようかと考えていたらいつの間にか頭から煙が出ていたのだが (ぉ、ぐぐる先生に聞いてみたところ有力な情報をゲッツ。




やっぱり考えることはおなじくごり押しかよ。_no




で、そのことをチャットで話してたらかいちょもそのコードを適用したらしく。
つーわけでネタも似たようなもんなのでトラックバックしてみる。

で、さくら日記帳 for MySQL で使っているごり押し部分。
前作のさくら日記帳 Rev-2.0.0 BETA では PRE タグ処理が分離していたが、今回は BR タグ変換と統合。
PRE タグは BR タグを付けると二重改行になるのでこうした小細工が必要なり。
ちなみに二重改行は BR の連続になるが、P タグに変換するのがﾏﾝﾄﾞｸｾ('A`)ので諦めた。(ぉ

# PRE タグ検知フラグ
my $pre_tag_flag = 0;
# バッファ
my $wd_tmp;

# \n (LF) でぶつ切りにする
# \r? は \r (CR) が無くてもおｋという事
foreach my $line (split(/\r?\n/, $wd)) {
# <PRE> タグの扱いは特殊。この順序と if の使い方が大事。
# まずは <pre> もしくは <pre style=""> などが含まれる文字列を見つけた場合は PRE タグ検知フラグを立てる。
    if ($line =~ /<pre( .*?)?>/) { $pre_tag_flag = 1; }
# PRE タグ検知フラグが立っているか、もしくは $regex で指定したタグが見つかれば BR タグは付けない。
    if ($pre_tag_flag || $line =~ /<\/?($regex .*?|$regex)>$/) { $wd_tmp .= "$line\n"; }
# そうで無い場合は BR タグを付ける。
    else { $wd_tmp .= "$line<br>\n"; }
# もし /PRE タグが見つかれば PRE タグ検知フラグをクリア。
    if ($line =~ /<\/pre( .*?)?>/) { $pre_tag_flag = 0; }
}
# バッファの内容をメインバッファに移す。
$wd = $wd_tmp;

左側に投稿記事の最新版リストを投稿日付順に表示

日付でジャンプできないのでディレクトリツリーは OPEN タイプを選択。
ちなみにこの JavaScript、基本は CLOSE のセッティングにしてあるので初めだけ閉じるときは 2回クリックしないとだめなのが非常に残念。

カテゴリの統廃合実施

Perl が PC 関連にぶら下がってるし、UNIX 系 OS も同じ所にぶら下がってるから共に「言語系」「OS 系」と分けた方がいいかな？と思ったが、そんなに細切れに分けてもしかたないなぁとふと気が付いた。
なにしろメインカテゴリにぶら下がる数が少なくなる。(笑)

さくら日記帳のカテゴリ作るか。
↓
というわけでさっさとカテゴリ分けた。(笑)
「プログラム、スクリプト」カテゴリを増設、その下に Perl とさくら日記帳ネタを格納。

一番下の前後ページ移動リンクの修正

どうせ使わないからとのばしのばしにしていた移動用リンクだが、このバージョンでやっと修正。
今まではなんと最後のページにたどり着いても次のページが有るかのようにふるまっていた。(笑)
つか面倒だっただけだが。

◇山銀さん
>確か、一般配布はしないと宣言されていたと思うんですが・・・残念ですな。
>まぁ、仮に公開されたとしても私が設定出来るかは別なんですがね。(^^;

との事だったので簡単にサンプルを作ってみた。

今の山銀さんのデザインに無理矢理合わせるとお気に入りリンクとカテゴリリストがあぶれます。(笑)

で、いつも改造してらっしゃるようですが、仮にお気に入りリンクを消したとしても、カテゴリリストはどうしようもありません。
これ、縦に延びますから上に配置は出来ませんね。

ちなみにカテゴリリストも表示させないとなると全部上に収めることは収められますが、はたしてそれだと MySQL 版を使う意味があるのかどうかという疑問も。
各日記に記述されているカテゴリリンクをクリックしたら、そのカテゴリに該当するもの全部表示するから無くて困るということもないんですが。
表示速度はさくら日記帳 Rev-2.0.0 BETA:70 入れてもらえれば 3倍速になりますし。(笑)

MySQL 版は表示速度に目を奪われがちですが、カテゴリを主として記事の区分けをきっちりできる・するという利用を想定してますので。

かいちょからは

blog じゃん。(素

と言われたし。

日記帳らしくないですよーだ！ヽ(*｀Д´*)ノ ﾌﾟﾝﾌﾟﾝ　(ｗ

例の単語変換エンジンを MySQL 版だけに採用するのももったいないので Rev-2.0.0 BETA:70 としてリリース。
たぶん問題ないでしょ。
ダウンロードは暫定的に右のお気に入りリンクに。

ちなみに RSS 配信情報にも一部間違いがあったのでそれの訂正もしてます。
& を &amp; にし忘れ。

さくら日記帳 Rev-2B、新型の単語置換エンジンに交換してみた。

以下は旧型と新型で 7日間のログを表示させたときの処理時間をテーブルにしてみた。

旧型	新型
1.35 sec	0.45 sec
1.35 sec	0.43 sec
1.34 sec	0.44 sec
1.38 sec	0.46 sec
1.34 sec	0.45 sec
1.35 sec	0.45 sec
1.00 倍	3.03 倍

3倍速か。＿|￣|○

やっとというか RSS 配信する部分を追加。

現在テスト中なり。

・
・
・

テスト完了っつーか修正完了か。('A`)
わさび醤油に上がりっぱなしでｽﾏﾝｶｯﾀ。

ちなみにこのさくら日記帳 for MySQL、完全 CSS 対応です。
CSS 外したらあられもない姿に。



# CSS 作るのが大変なんだけどね。

>引用符テスト #1
＞引用符テスト #2

引用符テストうまくいってるみたい。

で。
肝心 (?) の単語置換エンジンだが、コレが一番のネックとなるだろうと思っていたら案外簡単な方法で解決。
「Perl正規表現雑技」の「タグの外側だけ対象に置換する」を使ったら即変換 OK に。
検索する前に wd_conv で放り込んでみたけど前回と比べてかなり高速に。

さくら日記帳 (否 for MySQL) にも追加しておかないと。

やっと設置完了。

うｐろだ：

どうしてもファイル名を拾ってくれないと思ったら、どうやら sakura.pl の最上部で呼び出しているフォームデータ取得部が悪さをしていた模様。
しかしどうしてもここで拾わないとだめなので、フラグ立ってるときは sakura.pl 側でフォームデータを拾わないようにという無理矢理手法で。

トラックバックPing送信機能：

トラックバック技術仕様書を元にサンプルとかいちょんとこの blog を借りて送信機能を追加。
次はトラックバック受信機能を追加する予定。

かいちょさんきうー。

そして ImageMagick が使えなくなった。orz

事の発端は JPEG ファイルをリサイズでうｐしようとしたとき。
500 エラーでうｐできなかったのでおかしいなと調査したらどうやら JPEG ライブラリが使えなくなっていたようで。
use Image::Magick した時にそのまま終了してしまうっつーのもおかしな現象だったので思い切って再インスコ。



全滅。_no



というわけで今現在、既にもう12時間けいかしようという今もインスコできていない。ヽ(｀Д´)ノ
とりあえず Image::Magick は入ったが PerlMagick で今度は GIF と PNG が入らなくなった。(汗)



やっと完全復帰。
結局 10数時間かかってやっと復旧できたわけだが。
6.x がだめだったのでソースを展開してあった 5.x を make してインスコしてみたところ無事完了。
その前にライブラリの更新とかいろいろあったけどね。

さくら日記帳＠MySQL、現在もがりがりと更新続けております。

今回対応したのは結構あるけど、主な物はテーブル構成をちょっと変更してカテゴリを「マスター・サブ」関係としたこと。
これで「バイクカテゴリの中のツーリングカテゴリ」という風にカテゴライズできるようになった。
ちなみに、メインカテゴリに属する記事全部を見ることも出来るし、サブカテゴリにのみ属している記事だけを見ることも可能。
状態はカテゴリ一覧からどうぞ。

かな〜〜〜り出来上がってきた。
今回は MySQL をログサーバーに使ってるのでめっさ早い。
しかもログの読み込みと書き込みに凝ったことをせずに SQL のクエリー一発で呼び出せるので凄楽。
更新するときも番号指定さえすれば UPDATE で更新できるから、今まで苦労してきたことがいったい何だったのかと・・・。(ｗ

ログインはユーザー ID とパスワードで先に認証しておき、認証が通っていなければ新規投稿・既存記事更新へのリンクが表示されず、GET メソッドで

mode=edit&num=15

などとして編集画面に入ろうとしても、「ログオン認証が済んでいない」と警告を出すようにした。
更に、このログオン認証はブラウザが終了するか、任意でログオフをするまでの Cookie セッション保持としたので、一度認証を通ればあとは気兼ねなく編集が行えるというもの。

ちなみにテーブルの自動作成機能はないのですぐにサービス開始を出来るわけでもなく。
つか　これ MySQL の勉強用だから一般公開するつもりないし。:P

書き込みフォームとつっこみフォーム、検索フォームが完成。
あとは修正フォームやね。

うーん、SQL でごり押しするだけだからかなり簡単すぎ。


といったところで問題発生。
日付のグループ単位で切り出す方法がわからん。(汗)
普通に

SELECT * FROM diary LIMIT *,5

とやったら日付を跨いで切ってしまうことも。
かといって

SELECT * FROM diary WHERE date BETWEEN 'YYYYMMDD_start' AND 'YYYYMMDD_end'

とやろうとすると、抜き出し開始の日付の部分を取り出さないとだめだが、MySQL はサブクエリーをサポートしてないので結構大変かも。

まぁ MySQL 化したことでオーバーヘッドは死ぬほど減ったので、1つくらいクエリーの発行回数が増えてもなんともないか・・・。