PHPの脆弱性をFacebookで試すとユーモアのあるページへ

　PHPの脆弱性をFacebookで試してみたら、ユーモアのあるページに飛ばされるという情報がありました。せっかくなのでメモとして下記に明記しておきます。

　PHPの脆弱性を説明しているサイトはこちら。

PHP 5.3.12とPHP 5.4.2、脆弱性が完全には修正されていないことが判明 | スラッシュドット・ジャパン デベロッパー

　そして、FacebookのURLにPHPのオプション「-s」をつけてアクセスするとソースコードが表示されます。そのURLが下記。

https://www.facebook.com/?-s

すると下記のようなinclude_onceが表示されます。

<?php

include_once 'https://www.facebook.com/careers/department?dept=engineering&req=a2KA0000000Lt8LMAS';

　ちなみに「-s」のオプションはPHPのドキュメントによると

カラー構文ハイライト表示されたソースを表示します。

このオプションは、ファイルをパースし、HTML ハイライト表示版のファイルを生成し、標準出力に書き出す内部機 構を使用します。行うのは <code> […] </code> のブロックを 生成することだけで、HTML ヘッダは 出力されないことに注意してください。

となります。

　そして、表示されたソースのURLにアクセスすると

(1) Facebook Careers

　エンジニアの募集ページです。ユーモアがありますね(^^)

facebookにPHP CGIの脆弱性を試してみたら面白い対策がされていた！！ – cakephperの日記(CakePHP, MongoDB)