1. クッキーを使った買物カゴシステムで、WEBショッピングを行うためのプログラムです。
2. すべての注文画面（メール本文含む）がテンプレート式のため、自由にデザインやレイアウト変更を行うことができます。
3. 買物情報としてのクッキーは、セッション・クッキーを利用するため、利用後ブラウザを閉じると買物情報は自動消去されます。
4. 買物カゴ機能と、注文者の入力〜送信機能は別プログラムとし、SSLモードの利用に配慮しました。
5. 都道府県別の送料計算、一定以上の送料サービス計算、支払い別の手数料計算（代引き等）などが可能です。
6. オプションで在庫管理が行うことができ、在庫が「0」になると販売を自動停止します。
7. 注文ログを自動保存し、管理画面よりいつでも過去の履歴注文を閲覧することができます。
8. 郵便番号を入力すると、ワンタッチで都道府県以下の住所をプレ入力します（株式会社人気組提供の「AjaxZip3」を利用）。
9. クレジット/銀行決済連携により、ワンストップで販売から決済までを行なうことができます （クレジット/銀行決済連携を行なうためには、別途ゼウス社との個別契約が必要）。

変換方法：
(1) data/mart.dat をFTPでダウンロードします。
(2) TeraPad等のUTF-8対応のエディタで、文字コードをUTF-8に変更します。

・報告元：JPCERT/CC
・届出者：石橋 豪氏（三井物産セキュアディレクション株式会社）
・届出者：諌山 貴由氏（三井物産セキュアディレクション株式会社）
・脆弱性の内容：
(1) ｖ1.7以前の場合、Cookieを利用した悪用（クロスサイト・スクリプティング）が可能。ただし、スクリプトが実行されるのは改変された Cookie を利用するブラウザ上であり、第三者に対してクロスサイト・スクリプティングの脆弱性を利用するためには、Cookie Monster など別の手法を用いて、あらかじめ対象者の Cookie を変更しておく必要があります。そのため、脅威となる可能性は極めて低いと考えます。
(2) ｖ1.7以前の場合、Internet Explorer7 以前において実行可能な「expression」を使用したクロスサイト・スクリプティングが可能。ただし、Internet Explorer8以降や、Internet Explorer以外のブラウザ（SafariやGoogleChrom等）をお使いの場合は問題ありません。

Ver: 3.1 mart.zip

Ver: 2.86 mart285.zip (Shift_JIS + Ajax2版)

init.cgi ----------- 設定ファイル
mart.cgi ----------- 買物カート本体プログラム
order.cgi ---------- 買物カート注文プログラム
check.cgi ---------- 動作チェック用プログラム
admin.cgi ---------- 管理用プログラム
mart.html ---------- 買物カゴ画面（サンプル）
data/*.* ----------- データファイル
lib/Jcode.pm ------- 文字コード変換モジュール [入手元]
lib/Crypt/RC4.pm --- 暗号化モジュール [入手元]
tmpl/*.* ----------- テンプレートファイル
log/ --------------- ログ格納ディレクトリ

$cf{password} = '0123';

（管理モードのためのパスワードです。英数字で指定します）

$cf{passphrase} = "passphrase";

（顧客情報のクッキーを暗号化するキーです。適当な英数字で指定しますが、1度決めた文字列は以後変更しないように注意してください。クッキーの復号化ができなくなります）

$cf{ssl_mode} = 0;

（本プログラムを SSL領域に置く場合 には「1」とします）

$cf{master} = 'xxx@xxx.xx';

（注文メールの送信先アドレスを指定します）

$cf{sendmail} = '/usr/lib/sendmail';

（サーバで定められたsendmailのパスを指定します。不明な場合は、必ずプロバイダへ確認します）

$cf{sendm_f} = 0;

（sendmailの仕様として、-fオプションが必要な場合「1」とします。不明な場合は、必ずプロバイダへ確認します）

$cf{stock} = 0;

（在庫管理を行う場合は「1」とします）

$cf{ssl_cookie} = 0;

（SSLモードの使用時において、顧客情報のクッキーにsecure属性を付加する場合には「1」とします。これによりクッキー情報の送受信が暗号化されます。SSLモードで使用しない場合にはここは「0」のままにします）

$cf{pref} = [
'北海道,1260',
'青森県,1050',
   ：

（都道府県名の設定です。県別に送料を指定する場合には、県名の後のコンマに続けて送料を記入します。もし、送料が不要な場合には「0」とします）

$cf{cari_serv} = 10000;

（一定金額以上の場合に送料を無料にする場合にその金額指定します。もし、この機能を使用しない場合には「0」とします）

$cf{payment} = [
'銀行振込,0',
'郵便振替,0',
'代金引換,525',
);

（支払方法の選択肢を設定します。支払い別に手数料を指定する時はコンマの後に送料を指定します。送料が不要な場合は手数料部分を「0」とします）

$cf{op_color} = 'カラー';
$cf{op_size} = 'サイズ';

（登録商品の属性情報を2種指定することができ、その名称を指定します。また、それに対応するフォーム側のフィールドのname値は、それぞれ color, size です）

$cf{zeus_serv} = 0;

（ゼウス社によるクレジット決済代行サービスを行なう場合には「1」を、クレジット及び銀行決済サービスを行う場合には「2」とします。この機能を利用する場合には、別途ゼウス社との契約が必要です。
詳細は「ゼウス社クレジットカード決済代行システムのご案内」をご覧ください）

$cf{zeus_num} = '99999';

（ゼウス社との契約完了時に発行されるクレジット用IPコードを記入します。$cf{zeus_serv}の値が「1」又は「2」の場合に必須）

$cf{zeus_bip} = '00000';

（ゼウス社との契約完了時に発行される銀行用IPコードを記入します。$cf{zeus_serv}の値が「2」の場合に必須）

#!/usr/local/bin/perl

（プロバイダで定められたPerlへのパスを指定します）

Tips:ファイル転送の仕方は以下のページを参考にしてください。

FTP : Windows編

FTP : Macintosh編

サンプル

買物ページ : mart.html (トップ画面です)
管理ページ : admin.cgi (管理用パスワードを入力してログインします)

最初に商品を登録する必要があります。商品登録は admin.cgi から1点ずつ行います。

記述例(1) 色、サイズを指定しない例

記述例(2) (数量、色、サイズをセレクトボックスで指定する例)

・注文画面およびメール本文はテンプレート式となっていますので、レイアウトや画面を自由にカスタマイズすることができます。
・テンプレートファイルは、すべて tmplディレクトリ に置かれています。

全ファイルをSSLモードのディレクトリに配置します。
あるいは、買物カゴ機能のプログラム (mart.cgi) と、入力・送信機能のプログラム (order.cgi) を分割配置させるとよいでしょう。後者の配置例は次のとおりです。

/home/homepage / ... FTPでログインする位置
  |
  +-- public_html / ... 一般のディレクトリ
  |      |
  |      +-- mart /  mart.cgi
  |            |     init.cgi
  |            |     check.cgi
  |            |
  |            +-- lib / *.pm
  |            |
  |            +-- data / *.dat
  |            |          *.txt
  |            |
  |            +-- log /
  |            |
  |            +-- tmpl / *.html
  |                       *.txt
  |
  +-- ssl_html / ... SSLモードディレクトリ
        |
        +-- mart / admin.cgi
                   order.cgi

[ 注1 ] admin.cgi, order.cgi の require の init.cgi へのパスをフルパスで記述。
[ 注2 ] init.cgi で指定するプログラムのURLパスおよびデータファイルのサーバパスをフルパスで記述。

【 admin.cgi, order.cgi指定例 】
# 外部ファイル取り込み
require '/home/homepage/public_html/mart/init.cgi';

【 init.cgi指定例 】
# 買物プログラムURL 【URLパス】
$cf{mart_cgi} = 'http://www.xxx.xxx/mart/mart.cgi';
# 注文CGIプログラムURL
$cf{order_cgi} = 'https://www.xxx.xxx/mart/order.cgi';
# 管理プログラムURL 【URLパス】
$cf{admin_cgi} = 'https://www.xxx.xxx/mart/admin.cgi';
# データファイル【サーバパス】
$cf{datfile} = '/home/homepage/mart/data/mart.dat';
# 注文番号ファイル【サーバパス】
$cf{numfile} = '/home/homepage/mart/data/num.dat';
# 特商法データファイル【サーバパス】
$cf{rawfile} = '/home/homepage/mart/data/raw.txt';
# ログディレクトリ【サーバパス】
$cf{logdir} = '/home/homepage/mart/log';
# 在庫ファイル【サーバパス】
$cf{stkfile} = '/home/homepage/mart/data/stock.dat';
# テンプレートディレクトリ【サーバパス】
$cf{tmpldir} = "/home/homepage/mart/tmpl";
# クッキー（顧客情報）をSSL対応 (0=no 1=yes)
$cf{ssl_cookie} = 1;