【2017/1/18 13:10追記】標的型攻撃メールに関する注意喚起 - 情報基盤センターからのお知らせ
Information Technology Center, The University of Electro-Communications 2017年 1月18日 7:24頃より学外から学内のメールアドレスに向けて、標的型攻撃メールを大量に受信しています。 今回の標的型攻撃メールの内容は以下の通りです。 Subject: 写真 Subject: 写真 ご送付いただきまして ありがとうございます Subject: 写真ありがとうこざいます Subject: 様写真 Subject: 写真のみ 不足し 本文は お世話になっております 写真で ご確認ください。 取り直しお願いします。 等の短文が記入されています。 添付ファイルはPで始まるZIPファイルで、展開するとjpegファイルを装ったsvgファイルが展開される。 該当するメールを受信した場合はただちに破棄してください。添付ファイルを展開
SVGにはどのようにしてスクリプトが混入するのか
SVGが他の画像形式と一線を画している点として，javascript等によるスクリプトを挿入することが出来ることが挙げられます．この特徴により特別なツールを必要とせずにダイナミックに内容を書き換えることが出来るのがウリの一つです．しかしスクリプトが全て善意から成り立っているとは限らず，ウィルス等の良からぬ内容が含まれている可能性を否定できません． ではSVGに対するスクリプトの混入有無を確認するにはどうすればよいのでしょうか? ※少し追記 ※10/10追記 補足はアンチパターンとして紹介していますから，そのようなものだと勘違いしないでくださいね． SVGにおけるスクリプトの記述場所 SVGではjavascript等によるスクリプトの実行をサポートしており，この仕組みによりアニメーションなどの動的なグラフィックを表現することが可能です． この時，SVGにおけるスクリプトは主に次の4箇所で定義
OpenSSL #ccsinjection Vulnerability
[Japanese] Last update: Mon, 16 Jun 2014 18:21:23 +0900 CCS Injection Vulnerability Overview OpenSSL’s ChangeCipherSpec processing has a serious vulnerability. This vulnerability allows malicious intermediate nodes to intercept encrypted data and decrypt them while forcing SSL clients to use weak keys which are exposed to the malicious nodes. Because both of servers and clients are affected by thi
SVG Fun Time - Firefox SVG Vector + Bypassing Chrome XSS Auditor
SVG Fun Time - Firefox SVG Vector + Bypassing Chrome XSS Auditor I played around with SVG and the <use> element and found some interesting things, which I want to share. I do not know if anyone already posted some information about that. Let me know, if there is already information out there :) ====================== SVG - <use> element ====================== The <use> element is used in SVG to re
SVGヤバイ 2013冬 - fragmentary
Chrome 31がStableになって久しい。何が変わったのか思い出せないんだけど、ひとつだけ覚えてるのがこちら。 (@156422) - b87d44f — Allow SVG images to not taint the canvas with drawImage/drawPattern WebKitのパッチをマージしたものらしい。ちょっとずつ離れているらしいけど、まだお互い共有できるパッチもあるんだね。 さて、このパッチによって、CanvasでSVG画像をdrawImage()などで描画したとき、条件によってはそのCanvasがtaintされなくなった。 Tainted Canvasとは CanvasにはdrawImage()など、画像をCanvasに描画するメソッドがある。ここで、スクリプトとsame-originではないとこにある画像を描画してしまうと、セキュリティ上の都合か
Scriptless Attacks – Stealing the Pie Without Touching the Sill
Scriptless Attacks – Stealing the Pie Without Touching the Sill Mario Heiderich, Marcus Niemietz, Felix Schuster, Thorsten Holz, Jörg Schwenk Horst Görtz Institute for IT-Security Ruhr-University Bochum, Germany {firstname.lastname}@rub.de ABSTRACT Due to their high practical impact, Cross-Site Scripting (XSS) attacks have attracted a lot of attention from the security community members. In the sa
svgのセキュリティについて考える - ゲームミュージックと生存確認をかねた画期的な
便利な道具も使い方によっては凶器になりうるというのは洋の東西を問わず真理であり，svgそのものは非常に便利な仕組みですが，誤った認識のまま普及してしまうことは実に危ういことです．とりわけsvgの歴史的な経緯を鑑みるに，svgを取り巻く現状は非常に危ない状態にあると言えます． 今回はsvgは「なぜ危ないか」と言った面に焦点を当て，筆者の見解を述べて見ることとします． ※まとめを追加しました．（なんか書き忘れてたので・・・） セキュリティを考えるきっかけ なぜこのような事を考えるに至ったのかというと，twitterにおいて次のような記事が紹介されていたからです． Scriptless Attacks - Stealing the Pie without touching the Sill かいつまんで言うと，「svgの仕組みを使えばスクリプトを使わずにに悪さを行えるよ」という内容です．中身を読
外部のCSSを参照したSVGは思うように参照できるか - fragmentary
おおおお、なるほどー！ HTML -> CSS -> SVG -> CSS - Weblog - hail2u.net ただやっぱり、CSSの外部参照は厳しそうですね。 SVGから外部スタイルシートを参照するその他の方法 SVGから外部CSSを読み込む方法としては、記事にあるxml-stylesheet PIを使う他に、SVGの<style>要素を使うという手がある。SVGでCSS使う際にも @import が使えるので、そこから参照してやればよい。あ、XMLだから要素の内容はちゃんとCDATAセクションで囲ってね。 <style><![CDATA[ @import url(external.css); ]]></style> <svg:style>を使ったSVGファイルを直接開いたら、PIの例と同じようにChrome (dev), Firefox (beta), Opera (Next)
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
「Firefox」「Tor Browser」にゼロデイ攻撃、修正版が緊急公開
svgに恋をした