この世で一番分かりやすいクラックはCGIクラックだと思います。単純な理由です。この世に存在するほぼ全てのクラックは「裏技」です。例えばFC版ドラクエ4でコイン買う時に極端に多い枚数を指定すると値段が安くなるって裏技があったの覚えてますか？あの原理は単純ですよね。
「（プログラムの）原理が分かる」ということは「裏技の原理が分かる」ということです。そして「クラックは裏技だ」というのは「デバッグ(？)されてたら通用しないよ」という意味でもあります。
しかし普通のWinユーザーはUNIXの動作原理は勿論Winの動作原理･IEの動作原理等々を知っている訳ではありません。ただ高級言語（我々人間に理解しやすい言語）で記述されたCGIなら動作原理が見えやすいと思うんです。サイト運営しててCGI組める人なら尚更。
この世で一番分かりやすいクラックはCGIクラックだと思います。そういう意味です。
まずCGI組めない人向けの解説から始めます。組める方はごめんなさい。
CGIとは一言で言えば「状況に応じカスタマイズされたhtmlファイルを閲覧者に引き渡すための手段」です。普通、例えばindex.htmlをメモ帳とかホームページビルダーとかで作ってアップすればそのページにアクセスした人は皆同じindex.htmlを見ますよね。CGIを使えば
といった芸当が可能な訳です。そしてCGIとは出力htmlカスタマイズ手段である訳ですからその作業は
という二段階に分けられる。
JavaScript知らなければかえって悩むこともないと思うんですが中途半端にかじってる人（ソースコピペで自サイトに設置したりしてる人）のために書いておくと、「CGIとJavaScriptって何が違うんだ」という問いに対するこの連載における答えは
の二つということで。この二つって実は同じことです。「CGIはサーバーサイド、JavaScriptはクライアントサイド」という一言で説明できますが、まぁ分からなければ別にいいです。
さて。CGIの処理とはつまりプログラムです。凄く簡単なCGIソースを書きます。
これはperlで書いたCGIですよという宣言(約束事)
@time = localtime(time);
$sec=$time[0];
$min=$time[1];
$hour=$time[2];
内部処理
print "Content-type:text/html\n\n";
ここから出力ですよという宣言(約束事)
print "<html><head></head><body>現在時刻は$hour:$min:$sec</body></html>";
出力
一応書いておくと、ここで「約束事」と定義した二行はかなり乱暴な説明を行っています。「とりあえずCGIの基本原理をちゃちゃっと分かって貰うために手っ取り早い説明」であってそれ以上ではないので本気で勉強しようと思う人は他のサイトを見て下さい。
まぁ「localtimeって何？」とかに一切答えてないですけど「何をしてるか」ってことは大体分かりますよね？このCGIを10時23分41秒に実行すれば
というhtmlソースを受け取ることになる訳です。
さて。今のCGIには「プログラム」としての重要な要素が欠けています。「出力htmlをカスタマイズ」といってもそれは「アクセスした時刻によって」でしかない。「閲覧者の意志によるモノ」が一切含まれない。
CGIに「閲覧者の意志」を伝えるための方法はformです。
超初級CGIクラックガイド(1)に引き続きCGIを組んだことがない人向けに概要を書いています。今回はformに関して。
CGIに「閲覧者の意志」を伝えるための方法はformです。
<input type="text" name="test1" value="ティッシュはネピアだと思うよな？">
<select name="test2">
<option value="ps">PlayStation
・・・
</select>
投げて遊ぶ
割って遊ぶ
<INPUT TYPE=radio name="test3" value="throw!!" checked>投げて遊ぶ<br>
<INPUT TYPE=radio name="test3" value="destroy!!">割って遊ぶ<br>
<input type="submit" value="cgiを実行だ!(押しても意味無いです)">
formってのは例えば上記のような感じですね。formを使うことで「閲覧者の意志によってCGIの出力htmlをカスタマイズする」ということが可能になります。formから「閲覧者の意志」をCGIに送信し実行する訳です。
簡単なformのソースを書いてみます。
<form action="cgidesu.cgi" method="get">
<input type="text" name="test">
<input type="submit">
</form>
これで「閲覧者の意志をcgidesu.cgiに送信し実行するform」になるんですが、強調文字部分に注目して下さい。
method="get"
これは「どうやってフォーム内のデータをCGIに送信するか」の指定です。二種類あるんですよ、送信方法には。
| +-- | [フォルダ] public_html / | bbs.cgi |
| | | ||
| +-- | [フォルダ] bbsdata / | room1.dat |
| | | room2.dat | |
| | | room3.dat | |
| | | ||
| +-- | [フォルダ] secretdata / | secretdata.txt |
「CGIとJavaScriptって何が違うんだ」という問いに対するこの連載における答えは「後者が何を意味するのか」というのは前回書きましたね。CGIを上手く利用してやれば、本来は閲覧者がアクセス不能なファイルを覗くことも可能かもしれない(超初級CGIクラックガイド(8)では書きませんでしたが、「覗くことも可能かもしれない」ということは即ち「書き込むことも可能かもしれない」ということです)。
の二つということで。この二つって実は同じことです。「CGIはサーバーサイド、JavaScriptはクライアントサイド」という一言で説明できますが、まぁ分からなければ別にいいです。
- CGIの内部処理は閲覧者から見えない出力しか見えない（JavaScriptの処理はhtmlに記述されますよね）
- CGIは閲覧者がアクセスできないサーバー上のファイルにもアクセスできる
ここに、こんな一行掲示板があったとしましょう。と僕は話を始めました。何故「掲示板」ではなく「一行掲示板」なのか分かりましたか？
当然、CGIが「書き込み内容内に改行コードがあったら弾く(もしくはデータファイル書き込み時に<br>等に置換する)」という処理を取っていればダメですが。この世に存在するほぼ全てのクラックは「裏技」です。「裏技」とは「プログラムサイドの処理の穴を予想/利用し本来想定されていない動作を行わせる」ということです(「コナミコマンドで無敵に」とかはここでは「裏技」と言わないことにします、あれは「裏技」というより「イースターエッグ」「隠し要素」だ)。
書き込み内容内に改行コードがあったら、データファイル書き込み時に<br>等に置換するこれは、本来的に改行コードが送信される可能性のある複数行入力可能な掲示板では「必須の処理」です。そして本来的には改行コードが送信されることのない一行掲示板では「悪意ある利用者の存在を仮定した時に必要になる処理」です。
ここに、こんな一行掲示板があったとしましょう。と話を始めた理由です。
データファイルでは「名前,内容,IPアドレス」を一行に。書き込みがある度どんどん下に追記。と掲示板の処理を明記しました。これは「実際配布されている各種掲示板CGIスクリプトのソースを読んだ経験上」です。そのような処理を行っている掲示板が多いですし、実際自分でスクリプトを書こうとするとコレが様々な面で効率の良い方法であることが分かります。よって「(処理が見えない)目の前にある掲示板もこのようにデータを保存しているのではないか」という推測が可能になる。
※参考：会員制サイトにおけるパスワード「クラック」というモノは「映画の主人公がやっているよく分からない超能力」や「ツールを落として起動してボタン押すとできること」ではない。
「サーバー上で動作しているCGIの内部処理を予測する」という話の例として
この世で一番分かりやすいクラックはCGIクラックだと思います。と最初に書きました。その意味が少しでも伝われば嬉しいです。
