読者です 読者をやめる 読者になる 読者になる
スポンサーリンク

はてなダイアリーのバグの具体的な再現手順。画面キャプチャ付き (PC版とスマホ版の切り替え時に,URLのエスケープが不適切なため発生するエラー)

hatena

はてなダイアリーのバグを,かなり昔に発見した。

不便だと思いながらもずっと放置していたが,この際,ここで再現手順を報告しておく。


URLに「+」が含まれるようなダイアリーで,PC版とスマホ版の画面切り替えが動作しない,というもの。

画面がエラーになるだけで,攻撃手段としては特に利用する方法が思いつかなかったため,手順を公開しても安全なはず。

(1)スマホからブログの個別記事にアクセスする

ここでは,例として id:Zellij 様のブログを使って試験させていただきます。


まず,スマホで,「バナナはおやつに入りますかと質問してはいけない」とググる。


検索結果の一番上に,下記のURLがヒットするので開く。

http://d.hatena.ne.jp/Zellij+blog/201...


(※どうしてこの記事をサンプルとして選んだかというと,たまたま目の前にあったからです。id:Zellij様,どうもご迷惑をおかけいたします。)

(2)「スマートフォンに最適な表示」を選択

画面の最下部に,「スマートフォンに最適な表示で見る」というボタンがあるのでクリックする。


すると,スマホ版の表示に切り替わる。ここまではよい。

(3)「PC版」の表示に再度切り替える

画面の最下部にある「PC版」というリンクをクリック。


エラーになる。


表示されるエラーメッセージは「ご指定のページが見つかりません。URLをもう一度お確かめください。」


この時点で,ブラウザのURLは

http://d.hatena.ne.jp/Zellij%20blog/2...

となっている。


+ が %20 に置き換わっている。URLエンコード処理が不正。


手動でブラウザのURLバーを編集して,いちいち「%20」を「+」に書き換えてアクセスすれば対処可能。

めんどくさいので,いつもそうやって対処してきた。

だがいい加減なおしてほしい気もする。


IDの後ろに「+」をつけて複数ブログを作成できるのは,有料オプションの得点機能だ。

有料で提供している機能なので対応はしっかりしてほしい。


ちなみに,このようなURLに「+」を含むタイプのダイアリーで,同じようなエラーがRSS周りでも発生する。たくさんあって面倒なので書かないけどぜひ探してみよう。

また,はてな外のサービスと連携しようとしたときにも,このタイプのURLはエラーが発生しやすい(下記ページ参照)

TopHatenarのバグ?はてなダイアリーplusとかの"+"を含むURIが扱えない - babydaemons’s blog
http://babydaemons.hatenablog.com/ent...

  • "+"が空白に化けてしまいます。orz

はてなブログに乗り換えろってことですかね。

結果

対応待ち中



関連する記事:

簡単なコマンドでXPパソコンの脆弱性を攻撃し,すぐ乗っ取りに成功する動画 (Metasploitフレームワークを使ってWindowsを不正に遠隔操作)
http://language-and-engineering.hatenablog.jp/entry/20140512/HowToExploitWind...


バッチで,リファラを改ざんし,ユーザエージェントを改ざんし,POSTリクエストを自動発行しよう (HTTPリクエストヘッダを自由に生成)
http://language-and-engineering.hatenablog.jp/entry/20100914/p1


IE8で,ファイルのアップロードを自動化する方法  (WSH/JScriptでブラウザを自動操作するサンプルコード)
http://language-and-engineering.hatenablog.jp/entry/20100909/p1


メモリの中身を読んでみよう (プロセスをダンプ+解析する方法)
http://language-and-engineering.hatenablog.jp/entry/20081019/1224341559