競技参加者向けHSR 開発コミュニティ公募の結果,7大学に競技用のトヨタ製ロボットHSRを貸与することに決定しました. 創価大学 東京工科大学 東京大学 金沢工業大学 静岡理工科大学 大阪電気通信大学 北九州高専
![RoboCup日本委員会公式HP](https://cdn-ak-scissors.b.st-hatena.com/image/square/ce7434c53581ce08e33da3860e956e7cd8c8a6ae/height=288;version=1;width=512/https%3A%2F%2Fwww.robocup.or.jp%2Farchives%2F001%2F201903%2Ff0dbd3387a757d566993ee3187f52200.png)
スーパーマリオを近代化するとこうなる Tweet カテゴリ☆☆☆ 0 :ハムスター2ちゃんねる 2012年6月14日 21:00 ID:hamusoku http://www.facebook.com/pages/Blumasters/122757904421023 他、海外のマリオ好き画像 1 flickr 2 imgur 3 flickr 4 http://www.8bitwood.com/8/ 5 6 7 imgur 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 マリオパーティ9posted with AZlink at 2012.6.12Nintendo Wii 任天堂 売り上げランキング: 32 Amazon.co.jp で詳細を見る 記事を出した後にコメント欄をまとめて記事中に掲
強い将棋ソフトを作る場合は、探索速度を上げるとか評価関数を良くするとか並列処理するとか、方法論そのものは存在していて(困難ではあっても)その方向に着実に進歩しているように思う。 ところが、初級者向けの弱い将棋ソフトの進歩は、強い将棋ソフトの進歩に比べると微々たるもののように思う。それでも素晴らしい初心者向けコンピュータ将棋ソフト「こまお」で紹介したように、ぽつぽつ初心者向けのソフトも出てきている。でも、まだまだ「弱ければ初心者向け」と誤解したような作りのソフトも多い。 左図はそのようなソフトと対局した一局面。論点をはっきりさせるため、先手の私はワザと駒を捨てるように指している。初手から▲2六歩△8四歩▲2五歩△8五歩▲2六飛△6二玉▲7六飛△5一金右▲7四飛。飛車がタダである。しかし、コンピュータはこの飛車を取ってくれない! 以下、 △1二香▲8四飛△9二香▲8三飛成△5二玉▲7二龍△6二
前回の記事(「Java6 と Java7 の挙動の違い(バグ?)」)に、id:expf さんからコメントをいただきました。 おそらく、最初のprintStackTrace呼び出しではStackOverflowErrorが出ていると思います。 その後、1つ前のTest.mainがcatch→printStackTrace呼び出し→StackOverflowError を繰り返して、少しずつ使えるスタックが増えます。 Java6のケースだと、途中で何回か「クラス名は出力できたがその後のスタック出力前にStackOverflowError」があるため、「java.lang.StackOverflowError」が何回も出力されているのだと思います。 Java7のケースでは、IdentityHashMapの初期化まで処理が進むようになると、初期化中にStackOverflowErrorが出て、1つ
2012年6月13日 明和政子 教育学研究科准教授、岡ノ谷一夫 東京大学大学院総合文化研究科教授と科学技術振興機構(JST)戦略的創造研究推進事業 ERATO型研究「岡ノ谷情動情報プロジェクト」の松田佳尚 研究員らは、赤ちゃんの「感情の発達」と「母親を認識する能力」の関係を研究し、母親と他人を半分ずつ重ね合わせた「半分お母さん」の顔を見ようとしない「不気味の谷」現象を発見しました。 生後半年以降の赤ちゃんは母親と他人を区別したうえで、両者を好んで見ることが知られています。「母親(親近感)」と「他人(目新しさ)」は、全く違う存在にも関わらず、赤ちゃんが両方を好んで見るため、どのように母親と他人の区別をしているのか分かりませんでした。また、どの程度母親の顔に敏感かも不明でした。 本研究グループは、この問題を解明するために、生後7~12ヵ月の赤ちゃん51名が、母親、他人、「半分お母さん」の3種類
開発に関わっていて、UNIX(Linux)を触った事のある人は「SLコマンド」をご存知の方が多いのではないでしょうか? lsを間違えてslと打つとこんなのが煙を吹きながら走る sl(1) コマンドを作りました. via: 豊田正史とslコマンド (Masashi Toyoda and SL command) ファイル一覧を出力する「ls」をtypoして「sl」と打ってしまうと、文字通りSLが画面を走り抜けるというすばらしくくだらない仕組みなのだ。いわゆる、ジョークコマンドの一つとしてとても有名で、多くの開発者の気持ちを和らげた(腰を砕いた)ことでしょう。 さて、そんなくだらないジョークコマンドを懐かしんでいると、JavaScriptでSLを動かしてみたくなってしまったので作ってみました。 ・SL.JS ブックマークレット方式にしてあるので、上のSL.JSリンクをブックマークして下さい。 ど
Example clusterings for a dataset with the kMeans (left) and Mean shift (right) algorithms. The calculated Adjusted Rand index for these two clusterings is The Rand index[1] or Rand measure (named after William M. Rand) in statistics, and in particular in data clustering, is a measure of the similarity between two data clusterings. A form of the Rand index may be defined that is adjusted for the c
「世の中のニーズや最先端技術を的確にとらえ、 社会が望んでいるもの、必要としているものを創り出す。」 これが私たちの理念です。 ネットエージェントは、サイバーセキュリティ事業を行っています。私達は、 「他社にはないIoTセキュリティ技術の開発」 「ハッカーとしての技術や知見を活用して新しい市場の開拓」 など、世の中にないサービスを自ら創造し 社会貢献をしていきたいと考えている会社です。 ネットエージェントのセキュリティエンジニアは 「フォレンジック調査技術」「脆弱性の知識」「プログラミング技術」などを活かして、 「端末やサーバ等の調査、プロファイリング」「攻撃者視点での侵入テスト(ペネトレーションテスト)」といったサービスの提供をしています。 今後さらに重要になると言われているセキュリティ技術。 「セキュリティの仕事に携わってみたい!」 そんな思いがある方は ぜひネットエージェントの一員と
レバ刺しが、とうとう今月いっぱいで全国の焼肉屋のメニューから姿を消すことが決定した。自粛や禁止の話が持ち上がったとき、過剰規制ではないかと思っていたが、そうでもないらしい。牛は腸などに腸管出血性大腸菌O157などがいるため、衛生管理を徹底的にしても、レバーの表面をそぎ取ったりしても感染の危険があるのだという。 BLOOMBERG NEWS 単なる下痢ぐらいで済むのであればいいが、O157に感染すると脳症や尿毒症を起こし死も覚悟しなければならない。 また、食べた本人以外にも感染が広がる可能性がある以上、国としても自己責任に委ねるとして放置するわけにはいかないわけだ。 しかし、好きな人には残念な決定だろう。昨日来の報道をみていると国内新聞・テレビでは、「がっかり」という声が多く紹介されていた。 違反した場合には、2年以下の懲役か200万円以下の罰金が科されることになるのだが、当面は周知期間とみ
乳糖不耐症(にゅうとうふたいしょう、英: Lactose intolerance)とは、乳糖(ラクトース)を体内で適切に消化(分解)できない結果、消化器に生じる諸症状[1]。世界的には乳糖不耐症はむしろ自然なことであり、決して病気ではないため、「乳糖不耐症」ではなく「乳糖不耐性」と表記すべきとの指摘もある[2]。ラクターゼ(消化酵素)が十分には働かない。 多くの場合、消化不良や下痢などの症状を呈する。ヒトを含むほとんどの哺乳動物は、離乳するとラクターゼの活性が低下する[3]。 成体になっても活性が続いている場合には、ラクターゼ活性持続症などと呼ばれる。また牛乳アレルギーやガラクトース血症は、乳糖不耐症とは異なる。 原因[編集] 乳糖不耐症は、小腸でラクターゼが十分に働かず、乳糖が分解されないことで症状を起こしている。 乳糖(ラクトース)は、腸内で作られる消化酵素のラクターゼによって加水分解
時間 A会場 山口県教育会館/大ホール B会場 山口県教育会館/第一研修室 C会場 山口県教育会館/第二研修室+第三研修室 D会場 山口県教育会館/第二研修室+第三研修室 E会場 山口県教育会館/第四研修室 F会場 山口県教育会館/会議室I G会場 山口県教育会館/大ホールの外 H会場 ゆ~あいプラザ山口県社会福祉会館/入口のロビー I会場 ゆ~あいプラザ山口県社会福祉会館/大ホール J会場 ゆ~あいプラザ山口県社会福祉会館/大ホールの外 K会場 ゆ~あいプラザ山口県社会福祉会館/第1会議室 L会場 ゆ~あいプラザ山口県社会福祉会館/第2会議室 M会場 山口県自治会館/大会議室 N会場 クリエイティブ・スペース赤れんが/1F O会場 クリエイティブ・スペース赤れんが/2F P会場 ふるさと伝承センターみやび館/和室 09:00-09:05
今春、学生を募集した法科大学院73校のうち、86%に当たる63校で入学者が定員を下回ったことが14日、文部科学省の調査で分かった。定員の半数に満たなかったのはうち35校で、前年度より14校増えた。20校は入学者数が10人未満となり、特に新司法試験合格率が低迷する学校は前年度からの落ち込みが大きかった。学生数が極端に少ないと教育の質の確保が難しくなる。運営がさらに厳しくなったことが入学者数から
my biased thoughts on the fields of natural language processing (NLP), computational linguistics (CL) and related topics (machine learning, math, funding, etc.) Like many people, I spent last week in lovely Montreal (at least lovely for the second half) at NAACL. Despite the somewhat unfortunate submission date, I thought the program this year was quite good. Of course I didn't see every talk an
なかなかつながらないことも多いコールセンター。主要11カ国の男女に何分まで待てるか聞くと、日本人は平均6分と調査対象国の中で最も短かった。アメリカン・エキスプレス調べ。 製品の操作方法が分からない時や故障した時などに利用するコールセンター。なかなかつながらないことも多いが、どのくらいまでなら我慢できるのだろうか。 アメリカン・エキスプレスの調査によると、主要11カ国の男女に「電話で顧客サービスセンターに連絡した場合、電話がつながるまで最大でどれくらい待てますか?」と尋ねたところ、日本は平均6分。最も長かったインドの16分や米国の13分、英国の11分などを大きく下回り、調査対象となった11カ国中最も短かかった。 また、「待てるのは最大5分以内」とした割合も63%と最も高く、米国(19%)や英国(27%)、ドイツ(50%)などを上回った。 良い話より悪い話の方が多くの人に伝えられる メディアな
大卒の就職が厳しいのはいずこも同じ。アメリカの大学生も頭を痛めている。大卒の8.2%が職に就けず、不完全雇用が18%近くにまでのぼる現実を前に、大学院に進む学生が増えているという。 そこで米経済誌『フォーブス』は“役立つ修士号ベスト10”と“無駄な修士号ワースト10”を以下のとおり発表した。 まずは“役立つ修士号ベスト10”から。10位から6位は順に経済学、看護学、ヘルスケア、作業医療、物理学となっている。 ベスト5については中堅社員の年収及び、修得した学問が就職や実際の仕事にどれだけ役立つかをパーセンテージで提示している。 第5位 情報システム 760万円 23.3% 第4位 数学 730万円 24.7% 第3位 電気工学 970万円 17.7% 第2位 コンピューターサイエンス 870万円 22.3% 第1位 準医師資格 780万円 30% 安定した給与と、学んだことが即仕事で活かせる
[作品:映画 「若おかみは小学生!」について] 累計発行部数300万部を誇る人気児童文学(講談社青い鳥文庫)シリーズ「若おかみは小学生!」(原作:令文ヒロ子・絵:亜沙美)、本作は2018年4月からテレビアニメとしてオンエアされ、同年9月に劇場公開。両親を亡くした小学生 主人公おっこ(関 織子)が、祖母の営む温泉街の老舗旅館「春の屋」で、新米若おかみとして祖母の仕事(接客や清掃、お料理など)を手伝いながら、様々な経験を積み、成長していく少女の物語です。同映画はアヌシー国際アニメーション映画祭の長編コンペティション部門出品、韓国で開催された第20回プチョン国際アニメーション映画祭 長編コンペティション部門で優秀賞と観客賞W受賞、第73回毎日映画コンクール(毎日新聞社 スポーツニッポン新聞社主催)アニメーション映画賞受賞、第42回日本アカデミー賞 優秀アニメーション作品賞受賞、2019年 モロッ
※本ページはアフィリエイトプログラムによる収益を得ています 小さくてもちゃんと「スマブラ」! ……え、ちょ、マジで遊べるんですか、これ! ということで、何を考えたのか海外のゲームファンが、ホントに遊べる「ゲームボーイ風スマッシュブラザーズ」を作ってしまいました。昨年12月にはデモバージョンがリリースされ話題になっていましたが、まさか本当に完成させるとは……! タイトル名は「Super Smash Land」。おなじみマリオやカービィはポリゴンからドット絵に、操作方法も方向キー+2ボタン(ジャンプ&攻撃)へと簡略化されていますが、プレイ感覚はたしかに「スマブラ」! ネオジオの格闘ゲームをむりやりゲームボーイに移植した「熱闘」シリーズをちょっと思い出したりも……。 初期選択可能なキャラクターはマリオ、カービィ、リンク、ピカチュウの4体ですが、キャラクター選択画面にはまだあと2人分の空きが。動画
TEDってアカデミック?いえ、エンターテイメントです!「TEDっていってもアカデミックな内容でしょ?学術的なことには興味がないし」と言われるかもしれません。ですが、TEDのスピーカーはみんな聞き手を引き込むのが非常にうまいので、難解な研究テーマは必ず誰もが分かるレベルまで、落としこんでくれているのです。 しかも、ちゃんと日本語の字幕が用意されています。再生ボタンを押すと、言語が選べますので「Japanese」を選んで字幕を出してご覧下さい。 NHKのEテレで毎週月曜日放送/日曜日には再放送もしています。録画必須! 厳選された15本これが選びぬかれた15本です。 4月2日放送(1/2) - ハンス・ロスリング「増え続ける世界人口」 ★プレゼンの手法が最高4月2日放送(2/2) - マット・カッツ「30日間チャレンジ」4月9日放送(1/2) - パティ・メースとプラナフ・ミストリー「"第六感"
いやいやもっと楽しい言語あるでしょ?と思った方にとっても興味深い調査結果がExploring Expressions of Emotions in GitHub Commit Messages(GitHub上のコミットメッセージの感情表現の調査)として公開されていました。記事の作者はベルリンのRamiro Gómezさんで、自然言語とプログラミング言語の双方に関心のある彼はGitHubが公開した統計情報からさまざまな感情表現をコミットメッセージから探して分析するという調査を行いました。これによりanger(怒り), joy(喜び), amusement(楽しみ) surprise(驚き)の表現が多く使われているプログラミング言語のランキングを生成して公開しています。 怒りの言語はVimL、C、Shell 怒りのランキングではangry(腹を立てる)、annoying(いらいらする)、cra
さくらインターネット株式会社のDNSサービスにセキュリティ上の問題がありましたが、改修されましたので報告します。 DNSサービスへのドメイン登録時における不具合について 障害内容 : 当社の提供するネームサーバサービスにおいて、既に登録されているドメインのサブドメインが、他の会員IDの方に登録できる状態となっておりました。この障害により、悪意のある第三者がドメインの一部を乗っとれる脆弱性につながる危険性がありました。 本問題につきましては現在は解消されており、全ての登録について不正がないかの調査を行っております。 この問題の発見者は前野年紀氏で、私はさくらインターネット株式会社に問題を通告し、改修を促すための連絡などでお手伝いをしました。 (12:00追記)なお、この脆弱性が混入したのは6月8日頃で、さくらインターネットは6月11日から修正を開始し、昨日(6月13日)には改修されましたので
Pro Gitから図を引用すると、こういう 場合に、分岐した時点のmasterとexperimentの先っちょのlogやdiffをみたいというお話です。実際的には、topic branchをmasterにマージする前に変更点を確認したいといった局面です。 log logの場合は「..」です。 $ git log --pretty=oneline master..experiment ec8428d4d1884d3413e0949603c0c5cdd8aef414 D 863f5738a395fe090afaeaa120b67c45d65131c4 Clogにおける「..」についてPro Gitから引用すると、以下のように書かれています。 これは "experiment からはたどれるけれど、master からはたどれないすべてのコミット" という意味です。 Git - リビジョンの選択 一
The Journal of English as an International Language という雑誌に論文が載りました。 Terasawa, T. (2012). The discourse of “Japanese incompetence in English” based on “Imagined Communities”: A sociometric examination of Asia Europe Survey. The Journal of English as an International Language, 7(1), pp. 67-91. Download ---> Visit this page and click "Issue 1 of May 2012" よくTOEFLの平均スコアなんかをとりあげて「日本人の英語力はアジアでも最低レベル」なんて
関連トピックスTwitter インターネット経由で番組を流している動画サイト「ニコニコ動画」で14日午後10時30分から、同サイトの公式生放送番組「朝日新聞とニコニコ動画、生き残るのはどっちだ?」が配信される。同サイトを運営するニワンゴ社の杉本誠司社長と、朝日新聞の電子版「朝日新聞デジタル」の企画を担当してきた赤田康和記者らが討論する。 朝日新聞デジタルやツイッターなどネットを通じた発信に力を入れる朝日新聞と、視聴者が感想を書き込める機能で若い世代の圧倒的支持を集めるニコニコ動画。番組では両者がそれぞれの魅力を訴え、どちらが生き残ると思うかを視聴者にアンケートで聞く。 番組はニコニコ動画(http://live.nicovideo.jp/watch/lv96007002)のほか、朝日新聞デジタルの特集ページ(http://digital.asahi.com/special/20120
川崎市川崎区殿町先の多摩川河川敷の土壌から一キログラム当たり約二万七〇〇〇~二万一〇〇〇ベクレルの高濃度の放射性セシウムが検出されていたことが分かった。河川敷を管理する国土交通省京浜河川事務所が五月に汚染物質を調べて判明した。同事務所は「今のところ除染の予定はたっていない」としている。 (山本哲正) 河川事務所は「原発事故由来と考えられる」と分析。五月三十日までに、三カ所の土を土のうなどで覆い、川崎市の除染の目安である「毎時〇・一九マイクロシーベルト」を上回る範囲をロープで囲った。市と連携し、定期的に監視する。 廃棄物であれば「指定廃棄物」として国が処理を求められる基準値「一キログラム当たり八〇〇〇ベクレル」を大幅に超えているが、土壌であるため対象にならない。河川部の汚染についても国の対策の方針が決まっていないという。
Problem 1 さっそくProblem 1を解いていきましょう。 この問題を解く最も簡単な方法は、包除原理を使うことでしょう。すなわち、3の倍数の和と5の倍数の和を足して、15の倍数の和を引きます。 まず、1000を変数に代入します。 > $n = 1000変数には頭に$をつけます。シェルスクリプトっぽいですね。大文字小文字は区別しません。 > $N 1000これはMS-DOSからの文化ですね。 次に、各倍数の個数を調べます。 > ($n - 1) / 3 333 > ($n - 1) / 5 199.8 > ($n - 1) / 15 66.6このようにPowerShellの除算はProject Eulerに使うには残念な仕様となっています。まあ、シェルスクリプトですからね。これを整数にするには.NETのライブラリを使います。 > [math]::floor(($n - 1) / 5
コメント一覧 1. 交 参 狂 消 投稿日:2014年02月15日 13:04 ID:LPecqngJ0 とてもわかりやすい説明ありがとうございます 私も加賀愛ちゃん好きです また見させていただきます 2. 坑 断 寂 人 投稿日:2014年02月15日 14:59 ID:LPecqngJ0 とても感動しました 最終回のアニメってあるんですか? あと僕が好きなのは小森ちゃんです 何か可愛いですよね カフカちゃんのウエディング姿女神みたいですね 先生になりたい・・・とかよく思う 3. 殺人交渉してみましょうか? 投稿日:2014年05月17日 20:26 ID:HA0EXwyG0 すごくわかりやすい説明ありがとうございます! 今度来世の皆の話をイラストで描いてみようかと思いました いい話やぁ・・・ 私はめるちゃん好きですよ♪ 4. 名も無き漫画好き 投稿日:2014年07月29日 18:51
jbeef曰く、"本家に「Cross Site Scripting Discovered in Google」というストーリが掲載された。 これは、Web Application Security Consortiumが主宰するメーリングリストに投稿された記事を伝えるもの。その記事によると、Google.comにXSS(クロスサイトスクリプティング)脆弱性が見つかり、発見者が11月15日にGoogleに連絡したところ、12月1日に修正されたという。この脆弱性の原因と対策は以下の通り。" (つづく...) "まず、Googleの404 Not Foundのページはこの例のように、リクエストされたURLのパス名を画面に表示するようになっている。ここで、そのパス名にHTMLのタグを構成する文字「<」「>」が含まれている場合、Googleは、これをきちんと「<」「>」にエスケープして出
前回に引き続き、UTF-7によるクロスサイトスクリプティング(XSS)について説明していきます。 UTF-7によるXSSは、攻撃対象のコンテンツの文字エンコーディングが不明瞭な場合に、そのコンテンツを被害者のブラウザ(Internet Explorer)で開いたときに、そのコンテンツの文字エンコーディングがUTF-7であるとIEに誤認させ、「+ADw-script+AD4-」のようなUTF-7の文字列が有効なHTML要素として認識されるために発生します。 そして、「文字エンコーディングが不明瞭」な具体的な状況として、以下のような条件のいずれかに該当するということを前回説明しました。 レスポンスヘッダ、meta要素のどちらでもcharsetが指定されていない charsetにIEが解釈できないエンコーディング名が指定されている meta要素でcharsetを指定しているときに、meta要
5/11の日記XSS対策:JavaScriptなどのエスケープ - ockeghem(徳丸浩)の日記に対する金床さんのコメントに触発されて、JavaScriptのエスケープについて検討してみよう。ただし、現実のアプリケーション開発においては、私はJavaScriptの動的生成を推奨していないが、これはエスケープ処理をどのように考えるかと言うレッスンのつもりで検討することにする。 金床さんのコメントで紹介されたリンクには、以下のようなガイドライン案が提案されている。 JavaScriptの文字列でのエスケープ手順としては、以下が今のところ正解っぽい感じです。 1. 「\」を「\\」に置換する 2. 「"」を「\"」に置換する 3. 「'」を「\'」に置換する 4. 「/」を「\/」に置換する 5. 「<」を「\x3c」に置換する 6. 「>」を「\x3e」に置換する 7. 「0x0D(CR)
XSS対策:JavaScriptのエスケープ(その3) - ockeghem(徳丸浩)の日記にて、JavaScriptのリテラルを動的生成する場合のエスケープ方法について検討したが、id:hoshikuzuさんから、考慮がもれているという指摘を受けた(http://d.hatena.ne.jp/hoshikuzu/20071011#p1:TITLE=2007-10-11 - hoshikuzu | star_dust の書斎 - JavaScriptエスケープについて論考)。 上記は長いエントリーではあるが、要約すると、特定文字エンコードの特定のバイト●に対して、特定ブラウザにおいて「●\」が一文字「■」として解釈されるため、「"」に対するエスケープ「\"」が破綻するという意味に解釈した。 興味深い内容であるので、以下に考察してみよう。 なぜエスケープが破綻するのか 上記のようなケースはさ
ITproの連載中に、id:hasegawayosukeさんから以下のようなコメントをいただいていました。 対策遅らせるHTMLエンコーディングの「神話」:ITpro - 葉っぱ日記 全ての文字をエスケープしようなどと非現実的なことは言わないけれど(とはいえMicrosoft Anti-Cross Site Scripting Libraryのようにほとんど全ての文字を実体参照に置き換えるものもあるので、あながち非現実的とも言えないのかも知れない)、エスケープ対象を「'」「"」「<」「>」「&」の5文字に限定しているのは何かこの記事に書かれていない理由があるはずだと思ったからです。 はてぶの方は見ていましたが、日記の方を見落としていまして、お返事が遅れました(_ _)。 なぜ、「<」、「>」、「&」、「"」、「'」の5種類の文字をエスケープするのかについては、色々考えるところがあります。
昨日の日記に対して、id:ikepyonさんからトラックバックを頂戴した。内容はそちら(Tipsと考え方とXSS対策)を読んでいただくとして、興味深いテーマなので少し突っ込んでみたい。 # 日によって「です・ます」で書いたり、「だ・である」で書いているのは気分の問題なので、あまり気にしないでいただきたい Tipsだけでなく、物事の本質を見極め、何が危険で、何が安全なのかということを考える必要があると思う。 昨日の記事は、(一般的な)XSS対策として、どの文字をエスケープするのが「本質的」だったかを考えたかったのであって、あれをTipsととらえると確かに失敗する。 JavaScriptのスクリプトなどが入っている場合も昨日と同じ方法論で考えることは可能である。まずはこれを検討してみよう。 スクリプトがonXXXのイベントハンドラとして記述されている場合 この場合は、HTMLタグの属性値として
5/14の日記XSS対策:JavaScriptのエスケープ(その2) - ockeghem(徳丸浩)の日記に対して、id:hasegawayosukeさんからコメントを頂戴した。その内容は、JavaScriptに対応していないブラウザの場合に対する考慮が抜けているという趣旨だと理解した。 元の日記にも書いたように、私自身はJavaScriptの動的生成は(特殊な場合を除いて)好ましくないと考えているが、始めた以上は最後まで検討しようと思う。 解決すべき課題の整理 まず、解決すべき課題を整理しよう。元の日記では、JavaScriptを動的生成する(ただし、文字列リテラル内のデータに限る)場合のXSS対策として二段階のエスケープが必要であることを説明した。具体的には、(1)JavaScript文字列リテラルのエスケープとして、「"」、「'」、「\」のエスケープの実施、(2)HTMLとしてのエス
補足 この記事は旧徳丸浩の日記からの転載です(元URL、アーカイブ、はてなブックマーク1、はてなブックマーク2)。 備忘のため転載いたしますが、この記事は2007年12月6日に公開されたもので、当時の徳丸の考えを示すものを、基本的に内容を変更せずにそのまま転載するものです。 補足終わり 最近、画像ファイルを用いたクロスサイト・スクリプティングが注目されている。本稿では、画像を悪用したXSSについて説明した後、対策方法について解説する。 画像によるXSSとはどのようなものか Internet Explorer(IE)の特性として、コンテンツの種類を判別する際に、レスポンスヘッダ内のContent-Typeだけでなく、コンテンツの内容も判断基準にしている。このため、Content-Typeが例えばimage/gif(GIF画像)となっていても、中身がHTMLであればHTMLと解釈して表示する。
クロスサイト・スクリプティングという言葉は元々,WebアプリケーションのHTMLエンコード漏れなどを利用することによって第三者にJavaScriptを実行させる手法を指す。広義では,HTMLのエンコードによる画面改変などを含むこともある。 前回述べたように,クロスサイト・スクリプティングのぜい弱性はWebアプリケーションに見付かるぜい弱性の半分以上を占める。数年前から指摘されているにもかかわらず,一向になくならない。その理由として,クロスサイト・スクリプティング対策あるいはHTMLエンコード注1)に対する「神話」があり,正しい対策の普及を遅らせているように思う。その「神話」の数々について説明しよう。 注1)実体参照(entity reference)というのが正式だが,あまり普及していない用語なので,HTMLエンコードという用語を用いる 「すべからくHTMLエンコードすべし」が鉄則 HTM
前回はクロスサイト・スクリプティングのぜい弱性を突く攻撃の対策としてのHTMLエンコードの有効性を述べた。ただ,HTMLエンコードだけではクロスサイト・スクリプティング攻撃を完全に防御することはできない。そこで今回は,HTMLエンコードで対処できないタイプのクロスサイト・スクリプティング攻撃の手口と,その対策について解説する。 HTMLエンコードで対処できない攻撃には,次のようなものがある。 タグ文字の入力を許容している場合(Webメール,ブログなど) CSS(カスケーディング・スタイルシート)の入力を許容している場合(ブログなど) 文字コードを明示していないケースでUTF-7文字コードによるクロスサイト・スクリプティング <SCRIPT>の内容を動的に生成している場合 AタグなどのURLを動的に生成している場合注) 以下では,HTMLタグやCSSの入力を許容している場合と,文字コードを明
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く