「yomi search」の脆弱性対応

 ①踏み台にされる件

以下のようにrank.cgiを使うと、当該サーバーを踏み台にしたDDoS攻撃が行われる。

なので

・まず設定でランキング処理をやめる。

・サーバーにあるrank.cgiをrank.cgi.oldに変える。


②クロスサイトスクリプティングの脆弱性(CWE-79)

「yomi search」サイトにアクセスしたユーザのウェブブラウザ上で、任意のスクリプトを実行される可能性。これは「yomi search」の問題ではなく、ユーザー投稿コンテンツが表示されるサイト全てに当てはまる。以下「yomi search」での対応。

・「yomi search」での申請において、自動登録は絶対禁止(何しろ自動登録だと、いくらプログラムで弾いても、次々に新しいのが考案され、らちが明かない)

・申請内容を目で見て確認し、その場合、<script>〜</script>などの怪しい所が無いか確認。自分でも当該urlなどをセキュリティーの高いブラウザ(chromeなど)で確認する。

参照:https://www.shadan-kun.com/waf_websecurity/xss/

まあ、これで完璧に弾いても、相手先にて やばいページにリダイレクトされれば、元も子もない。そもそも完全には対応不可能。この脆弱性を問題にすること自体が茶番。

何よりも、ユーザー教育、マスコミ教育が大切。

ちなみに、一般的なサニタイジング(無害化)対応cgiスクリプトはこちら。要は表示だけされて実行はしないように変換。ユーザー入力項目について変換処理を加える。

$value =~ s/&/&/g;
$value =~ s/</&lt;/g;
$value =~ s/>/&gt;/g;
$value =~ s/"/&quot;/g;
$value =~ s/'/’/g;

「引っ越しの挨拶」は儀式やマナーではない、ちゃんと意味がある

 人は知らない人に対しては警戒するもの。疑心暗鬼になるもの。

顔を知って、ちょっと言葉を交わすだけで「ああ、あの人か」と安心するものである。

特に、マンションなどでは上下階の人と会うことがない。が、生活音や子供たちのドタバタ音はモロに響く。

顔を見知っていれば「ああ、あの人か」と顔を思い出したりするだけだが、知らぬ人だと「るっせーな、どこのどいつだ!」となったりする。


自分の住んでいる上階の人の子供のドタバタが遠慮がなく、特にうるさくて、頭に血が上る。挨拶を受けて顔を見知っていれば、「ああ、あの子供か、元気がいいな」ぐらいですむかも知れない。すぐに頭に血が上りはしない。


なので、挨拶に行くときは家族で、出迎えるときは全員で(または家族構成を伝えておく)、これが原則だと思う。

実際、そのようにされたことがあり、「え、家族4人、全員でくるの!?」と変に思ったものだが、今、上階でドタバタされたときに、挨拶があれば、また違った。

ドタバタやっている子供たちにも、「階下に迷惑だよ」と教えれば、階下の人の顔を思い出し、より具体的に反省するのでは‥。


超・後期高齢者のためのスマホセットアップ(ガラケーからスマホへ)

「更新履歴」
※2023.10.10 マクロがダウンロードできないのを修正
※2023.11.24 誤操作でマナーモードになるのを対応⑭。誤操作で音量を変更されるのを対応⑮
※2023.11.25 ⑯通知の定期クリア:Norgで翌日自動既読(自動起動にしておく)

「本文」
実は、ガラケーからスマホに変えたら、遠くに住んでいる超高齢者の義母が、スマホを全く操作できなくて‥

 まず、老人は

(1)スワイプとスライドがチョー苦手。→ ホーム画面にたどり着かない。

(2)画面に小さい箱でメッセージが出ていても、見つけられない気が付かない。→ 電話応答の操作ができない。

(3)実はタップも苦手。ボタンを押したい。押した実感が無いから押しに押してズリズリッとやってホーム画面などを壊してしまう。

(4)乾燥した季節になると、手が乾燥していて画面が反応しなくなる。

(5)高齢者はテレビ等をつけていると、着信音が聞こえにくい。

なので、以下の設定でなんとか使えるようにした。


-----rakuten link仕様-----

①「(1)のスワイプが苦手なので、立ち上げると最初に出てくるロック画面を無くす

設定>端末情報>バージョン>ビルド番号>7連続タップ

設定>その他の設定>開発者オプション>ロック画面を使用しない:オン

端末を持ち上げたら画面オン(ロック画面設定にある)→電源ボタンを押さなくて済むように(最初に言い忘れたけど、パスワードなどは設定しない)

③電話応答時、スライドの操作がたまに出てくる。これを無くす(一部のメーカーにタップでスライドする機能設定あり)→このスマホでは無理なので以下を‥

・スマホ起動後、「rakuten linkとrakuten linkサポーター」を自動起動しているが、しばらくすると標準電話アプリに着信するようになり、スライド式応答が表示され、老人には操作できなくなる。

→これをrakuten linkにいつも着信するようにする:アプリの管理(rakuten linkとrakuten linkサポーター)>バッテリーの使用量>[バックグラウンド実行を許可する]をオンにして、ディープスリープモードにならないようにする(android12以降)

④「(2)画面に小さい箱でメッセージが出ていても、見つけられない・気が付かない」等の対応→自動で全画面にする

MacroDroidアプリをインストールし、以下のマクロを設定(マクロをダウンロードしてMacroDroidからインポートできます)

・rakuten link 電話応答の小さいメッセージボックスを全画面へ マクロのダウンロード

・ホーム画面に設置した家族への電話ショートカットボタンを押した後、次の画面でrakuten link 発信ボタンをうながし(発信画面が出てもボタンを押さないと発信しないから)マクロのダウンロード 

・毎晩再起動(スマホのメモリとかフレッシュに)→ OPPOの機能 – その他の設定 → 自動電源オフ/オン で再起動する

・自動でホームへ戻す(スリープから復帰したときホーム画面に自動で戻す、ホーム画面への戻り方を忘れた老人用、でも自分でホームへ戻ることを覚えておかないとスマホ使えないけど)マクロのダウンロード

・↑自動でホームへ戻す、の「👇下の丸いシールの上端を押すと、初期画面に戻ります」のメッセージ付き(ホームへ戻す方法を何度も表示して、なんとか覚えてほしいバージョン) マクロのダウンロード

>上記のポップアップメッセージの表示時間を延ばす設定:ユーザー補助>タイミングの管理>操作までの時間(ユーザー補助タイムアウト)>10秒に →慣れてきたら5秒

⑥rakuten link サポーター・アプリ(デフォルト電話アプリを楽天のLINKアプリに設定するアプリ)で、電話ショートカット作成(家族とか)

⑦回転を固定、音量を高めに設定、ホームアイコンの並び間隔調整

⑧今回追加したアプリのandroid スタートアップへの登録(確認):MacroDroid、rakuten link、rakuten link サポーター

⑨スリープになる時間(画面が消灯する時間)を5分にする→モサこいているうちに画面消えるから

⑩ホーム画面を壊されないように、ホーム画面を固定(ホーム画面アイコンの移動されないように)。また、長押しタップの時間を長くする → アプリ・ショートカットを消されないように

⑪ホーム画面は、必要最小限のアプリ・ショートカットだけにして、その他はフォルダの中にぶち込む

・最後にバックアップ:設定>Google>バックアップ>今すぐバックアップ

⑫電話で説明するとき困らないように、スマホにシールを貼った(電源、バッテリーの穴、ホームボタンの下)。暗い所でも見つかりやすいように蛍光シールで



(3)は、OPPO A55s 5Gでは、タップしたときブルッと震える設定にデフォルトでなっていたが、全てブルッとならないから
・タップしたとき、音を鳴らすに変更
設定>サウンドとバイブ>感触と音>タッチ操作をオン
★これ重要。自分でも押し直しが無くなった。押して離すタイミングが音で分かる、身に付く、そんな感じ。

・(4)の指の乾燥対応は、スタイラスペン/タッチペン(百均)でやるとよい。だが、なかなか言うことを聞かず、使おうとしないのだが‥。

⑬(5)高齢者用に着信音をダウンロードして設定する
https://www.youtube.com/watch?v=pUJSvsReNzsをダウンロード読み込みし、着信音からクラッシックを選択→既存の音でも、低い音を設定すれば聞こえるかも

⑭いつのまにかマナーモードに変更されていて、電話に出られなくなっていた。→macrodroidで自動でマナーモードの解除設定する。macrodroidの設定でシステム設定の書き込みをOKにしておく。ダウンロード

⑮間違って着信音や通話音のボリューム変更されるのを、アプリ:ボリュームコントロールhttps://play.google.com/store/apps/details?id=netroken.android.persistfree
にて固定にするようにする

⑯通知の定期クリア(たまり続けるとヤバイ):Norgで翌日自動既読(自動起動にしておく)

---どうでもよい設定------------------

・高齢者モード設定(シンプルモードに設定)

・ホームにはフォトを残す(スクリーンショットのバックアップを設定しておく)→スクリーンショットを撮ってもらったとき、送信する操作がフォトのタップになっている

・rakuten linkの各種通知を解除(上の方の重要な3つぐらいはそのまま)

・遠隔操作(anydesk)アプリを入れておく→無人アクセス設定をして、常にpcで覗けるようにしたいが、oppoのAndroid端末は、無人アクセスに対応していない。ダメ。現地での起動・承認が必要。

・電源ボタン・アプリ Origin Power 追加(再起動、電源断)→リモートから再起動するため

・繰り返しタップを無視の設定

・バッテリー残量表示アプリ Battery Widget % Level Plus を入れておく(スマホ右上表示が小さいので)

(メモ)

・ジェスチャーとモーション:端末を耳に近づけると自動で応答(rakuten linkではダメ、OPPO[ColorOS 12]の機能にあるみたいだが)

・Quick Shortcut Makerアプリでホームに表示されている英語名などを日本語名に変更(旧アイコンはフォルダの中に)


---備考----------------------------------

・ちなみに、最初、楽天モバイルの1円スマホ(Rakuten Hand 5G)を買ってみたが、反応悪いし指認証ができないし散々で買ったのを後悔。1円だったけどカバーとか追加して1円ではなかったけど。その後、OPPO A55s 5G(android 12)にした。これがamazonで2万円だったけど、価格コムで安い店を探したら1.5万円で買えた。

・ホームランチャーに、スクエアホーム:ランチャーを使ったらダメだった その説明

★実現してほしい機能:耳から離したらスピーカーフォン(MacroDroidにあったが動かなかった)

スマホ android スクエアホーム:ランチャー は使わない方がよい

 スクエアホーム:ランチャー - Windowsスタイル


スクエアホームには、重大なバグある。これを注意書きもなく公開するのには疑問を感じる。

ボタンにショートカットを設定した後、しばらくはよいが、突然「不明」などの表示になりタップしても動かなくなる。

(通常のアプリなどは問題ない、どうもショートカットで起こるようだ)


これには悩まされ、料金も払い、無駄な時間を使わされた。

老人用に設定して遠くに送り、壊れて送り返してもらい、再度設定しを繰り返した。

勿論リモート接続で修正したり‥。疲れた。


エアコンの工事費、普通に6万円弱かかった(エアコン本体より高かった)

 おもに6畳用/8畳用/10畳用(冷房機能2.2kw/2.5kw/2.8kw)をマンションの4Fのベランダに吊り下げで設置。既存のエアコンを置き換え(以下税込み、円)


パナソニックCS-252DFL    43,000

標準取付工事費         22,000

既存エアコン取り外し処分費   12,000

2F以上工事            2,000

小計:79,000(これでネットから申し込み)


(設置工事後、業者に支払い)

既存室外機天吊り外し工費   3,300

天吊り金具新規      16,500

既存天吊り金具外し処分    3,300

小計:23,100


合計:102,100(工事費:59,100)


※エアカットバルブ(空気抜き):なし

※配管化粧カバー:なし


javaのアップデートが、javaが使用中で実行できないとき

 windows11で、javaのアップデートが、関連ソフトにより使用中で「java setup - java is running」のメッセージが出て、更新できない。

このとき、手動アップデートの手法で、インストールファイルをダウンロードして、エクスプローラーから起動して行ったら なぜかうまくいった。

要するに、オフラインでインストールする

https://www.java.com/ja/download/manual.jspにて

Windows オフライン (64ビット)

を選択して、ダウンロード、実行。

windows11で内臓マイクが使用できない→ドライバーを強制的に再インストールで解決

ネットに書いてある殆どのことを実行するもダメ。音を拾ってないみたい。


以下を実行

・Windows 11にRealtek High Definition Audio Driverをダウンロード https://www.intel.com/content/www/us/en/download/19706/realtek-high-definition-audio-driver-for-windows-10-64-bit-windows-11-for-intel-nuc-11-enthusiast-kit-mini-pc-nuc11phki7.html?


・ダウンロードを解凍してsetup.exeを実行。言われるまま再起動などするうちにエラーになる。が、無視。その後、自分で再起動をしてみると動くようになっていた。

(このセットアップでは、既存のドライバーを削除してからインストールしているので、これがよかったのかも)


ちなみにマシンはlenovo ThinkPad E14 Gen 3(AMD)

「yomi search」の脆弱性対応

  ①踏み台にされる件 以下のようにrank.cgiを使うと、当該サーバーを踏み台にしたDDoS攻撃が行われる。 なので ・まず設定でランキング処理をやめる。 ・サーバーにあるrank.cgiをrank.cgi.oldに変える。 ②クロスサイトスクリプティングの脆弱性(CWE-7...