key.blogdns.net — トラックバックスパム生成ツールの XSS

2006-08-19

key.blogdns.net は当時、検索語で全自動クロールしてトラックバックスパムを送りつける送信元として知られ、他のブロガーからも「評判が悪い」と名指しされていた(2005 年の言及例)。自分のブログにも大量のトラックバックスパムが届いており、その発生源にあった「リンクページ生成システム」を触っていたところ、入力フォームで XSS を見つけた。入力値に "><!-- を与えると成立する。

連絡先の記載が無かったため、まず自分のブログで公表し(2006-08-19)、その後 IPA 経由でも届け出た。IPA が運営者と思われる人物のサイトのフォームから 7 回連絡を試みたものの返答が得られず、一方で該当箇所は修正されているように見受けられたことから、2006-12-19 に取扱い終了となった。連絡先の無いサイトへの開示の難しさが残った一件。なお現在は key.blogdns.net 自体が応答せず(404)、サービスは終了しているとみられる。