未だにあるやってはいけないウェブアプリ対策

　今日は脆弱なまま放置されているウェブアプリを３つもみつけた（ひとつはたまたまだけど）　一つはフリーで配布されているCGIプログラム（最新版であれば脆弱ではない）。他の２つはおそらく独自開発で誰もがよくしっているようなサイト。
　今日見つけたものを見ていて改めて思ったのが、どんな対策をしているのか（アプリのロジックが）わかってしまうような応答をする対策をしてはいけないということ。これって定石ではないんですかね・・・。今回の場合、ある特定の文字列を送信すると応答ではその文字列が綺麗さっぱりなくなる。じゃあ、2回ぶち込んでやれと。したら、はい成功。
　サニタイズということを言葉通りに行うプログラムを書くとこうなるんですよね、きっと。だから、対策をアドバイスするときは決して「サニタイズ」という言葉を使ってはならない。後輩は思わず使っちゃってたけど、今日はいい言葉を教わった。「バインドメカニズム」を利用して対策汁！これでばっちり（なにが？）。初めて聞く言葉なんだけど、開発者の人にはこれで伝わるらしい。今度よく調べてみよう。