dh memoranda

> これを脆弱性というのであれば、認証のないウェブサイトのフォームは、ある意味すべて脆弱だと思うのですが...。

はい、すべてのPOSTで投稿するフォームはそうなんですが、

1) 通常の掲示板とかであれば、Ｒｅｆｅｒｅｒが自分のドメインかどうかをチェックすれば DDoSの対策にはなるが、Trackback はそうでない。

2) Trackback はパラメータが規格化されているので Exploit が容易である。

ところが通常のWebフォームと違うところです。

ブラウザからはともかく、基本的に referrer は偽造できるので、referrer の有無だけで ddos を防ぐことができるというわけではないと思います。敷居の高さはあるでしょうけど。

パラメータが決まっていると*より*簡単であるのはそのとおりですね。

2.661 も Throttle 機能をもっています。

> ブラウザからはともかく、基本的に referrer は偽造できるので、referrer の有無だけで ddos を防ぐことができるというわけではないと思います。敷居の高さはあるでしょうけど。

一応今回の問題のメインは、XSS などを利用して悪意のない人に JavaScript でおくらせる、というところだとおもいましたたので、この場合Referer 偽造というのはないので、有効かと。もちろん、匿名プロキシからスクリプトとかでこられたら同じことなわけで、それは防げないですね。

>パラメータが決まっていると*より*簡単であるのはそのとおりですね。

通常のPOSTフォームならアタック回避のためにパラメータを変更したり、Script や Cookie に頼る、ってのもありそうなんですが、Trackback だとそれができないというのも問題としてあるかと。