Greasemonkey スクリプトは安全ではありません

■ Greasemonkey スクリプトは安全ではありません Webアプリケーションセキュリティフォーラム の奥さんと高木先生のバトルより。 高木先生 ええと、「クッキーが漏洩する程度なので問題ない」と聞こえたような気がしたんですが。 Greasemonkey には超絶便利な GM_xmlhttpRequest があるので、どのウェブサイト上でスクリプトを動かそうが、あらゆるサイトにアクセスする事が可能です。この観点から考えると、クッキーが漏洩するどころの騒ぎではありませんし、スクリプトを有効にするドメインが限られていた所で大した意味はありません。例えば Google Search を便利にするようなスクリプトに、mixi のパスワードを任意の値に変更させるようなトロイを仕込む事も難しくないでしょう(実際に作って試しました*1)。もちろん対象サイト上に、XSS や CSRF の脆弱性がなく

[webmarksjp]

ブラウザ

[mind]

――有名.js の配布者としてはoriginationとversionの管理が大切になる、と。二次創作に因って事件(;損害)が起こったら誰が責任(;不法行為etc)をとることになるのだろう? ―― // ―― //

[ymorimo]

どのドメインでも

[suVene]

そりゃそうだ。どのクライアントソフトにしたって、スクリプトにしたって安全ではない。Greasemonkeyは手軽にインストールできるだけ、敷居が少々低いということか。ソース見えるだけマシという考えも。

[hirose31]

GM_xmlhttpRequest

[TAKESAKO]

コメント欄に「とおりすがり」さん出現

[kornpritz]

まあ，いじくるんだしね

[cubed-l]

何でも出来るからな／高木さんと奥さんのやり取りばかりが話題になってるな。アプリのロギングの話とか興味深かったのに

[taninsw]

特定のサイトにXXS脆弱性(例:http://www.akiyan.com/blog/archives/2007/02/greasemonkeyxss.html)やCSRF脆弱性(例:http://d.hatena.ne.jp/taninsw/20061021)を仕込むことが出来たり云々／GM_setValue,GM_getValueでドメイン間のフォームのデータ受け渡しとか以下略

[myrmecoleon]

この手の問題はどのツールでもあるわけで。「自分でソースor挙動を確認する」＞「信頼できる人の評価を確認してから使う」＞「みんなが使ってるから使う」かな。

[gotin]

あやしげなスクリプトには警告を出す的な機能ってつけられないかなぁ。難読化されてるとチェック無理そうだし、難読化してるかいなかを判定するのも難しそうだし。ん〜どうかなぁ。やっぱりしらみつぶしにコード読も

[m_yanagisawa]

「Greasemonkey も userChrome.js も拡張機能もみんな危険です。危険性を認識した上で利用するべき」

[kazuhooku]

GM_xmlhttprequest か、確かに。勉強になります