怖…。TikTokのアプリ内ブラウザでキー入力が監視されているとの報告
怖…。TikTokのアプリ内ブラウザでキー入力が監視されているとの報告2022.08.21 09:0031,673 そうこ なお、悪用はしていないとのこと。 セキュリティ研究員のFelix Krause氏が、iOS版TikTokアプリに、アプリ内ブラウザで外部サイトを観覧するさい、キー入力を監視するJavaScriptが埋め込まれているという内容のレポートを公開しています。 アプリ内ブラウザって？アプリ内ブラウザとは、アプリ中でウェブリンクをタップした時、デフォ設定のウェブブラウザアプリ（SafariやChromeなど）に飛んで開くことなく、そのままアプリの中でウェブ観覧ができるもの。ブラウザでキー入力が監視されるということは、TikTok内でリンク踏んでウェブ観覧し、ユーザーが叩いたキーが全てモニタリングされるとうこと。つまり、検索したりアカウントログインしたり、住所やクレジットカード番
「Webブラウザがメモリを食い過ぎる」理由はこれだ
ダウンロードはこちら 人気アーティストのライブチケットや話題のプラモデルの争奪戦から、業務アプリケーションによるビジネスプロセスの実行まで、Webブラウザは文字通りあらゆる活動の起点になりつつある。それほど大事な役割を担うWebブラウザがうまく動かなくなったとすれば、くだんの争奪戦に“門前払い”を食らうどころか、何より仕事にならなくなる。 Webブラウザが突然重くなった――。こうしたトラブルはメモリ消費に起因する可能性がある。メモリ消費量が過剰になると、Webブラウザだけではなく、他のアプリケーションやPC全体の動作にも支障を来しかねない。Webブラウザがメモリを“食い過ぎる”のはなぜか。メモリ消費量を抑えるには、どうすればよいのか。 中身を読むには、「中身を読む」ボタンを押して無料ブックレットをダウンロードしてください。 Webブラウザ「メモリ使い過ぎ」防止法 Copyright © I
Socket.IO: the cross-browser WebSocket for realtime apps.
Socket.IOBidirectional and low-latency communication for every platform PerformantIn most cases, the connection will be established with WebSocket, providing a low-overhead communication channel between the server and the client. ReliableRest assured! In case the WebSocket connection is not possible, it will fall back to HTTP long-polling. And if the connection is lost, the client will automatical
Customer Engagement Platform for Email, Push Notifications, & SMS
Mobile Push Notifications Direct, highly visible, mobile-first
The web's scaffolding tool for modern webapps | Yeoman
Get started and then find a generator for your webapp. Generators are available for Angular, Backbone, React, Polymer and over 5600+ other projects. One-line install using npm: npm install -g yo What's Yeoman?Yeoman helps you to kickstart new projects, prescribing best practices and tools to help you stay productive. To do so, we provide a generator ecosystem. A generator is basically a plugin tha
WebRTC
Google is committed to advancing racial equity for Black communities. See how. With WebRTC, you can add real-time communication capabilities to your application that works on top of an open standard. It supports video, voice, and generic data to be sent between peers, allowing developers to build powerful voice- and video-communication solutions. The technology is available on all modern browsers
Bookmarklet という一番身近な自動化技術 | blog.jxck.io
Intro 「毎回やるなら bookmarklet にでもすれば?」と言ったら、後輩が「そんな便利なことできたんですね、知りませんでした」と言っていた。 そんな時代にこそ、今更だれも解説しないであろう、bookmarklet という技術についてもう一度書いておく。 Bookmarklet 簡単に言えば、JS を書き、それを Bookmark として登録すれば、クリックするだけで現在のページでそれが動くというものだ。 ブラウザ上で何かを自動化したいと思うなら、最も簡単に実現できる便利な技術だろう。 似たような手法ではブラウザの Extension などもあるが、Bookmarklet の良いところは一切誰にも邪魔されないというところだ。 開発者登録も、ストアへのアップロードも、難解なドキュメントを忖度して煩雑な設定ファイルを書く必要もない。 開発者ツールで、「こんなことできないかな」と試し終
JavaScriptでのDOM操作は重いのかという話とForced Synchronous Layoutについて - id:anatooのブログ
2015年にもなるのにJavaScriptでのDOM操作のパフォーマンスについて書く。ウェブページにインタラクションを持たせたい時に、JavaScriptでDOM操作を行うことがよくある。このDOM操作のパフォーマンスについて、よく聞く意見を大別すると次の2つがある。 JavaScriptによるDOM操作は重たい レンダリングが重いだけで、DOM操作そのものはそれほど重たくない JavaScriptでオブジェクトのプロパティを操作したりする単体の処理は通常1ミリ秒もかからないが、DOM操作をするとレンダリングが完了するまでに数十ミリ秒程度かかったりする場合がある。1番目のDOM操作が重たいと言っている人は経験則的にそう言っていることが多い。 レンダリングの仕組みを知っている人は2番目の意見を言うが、重箱の隅をつつくような話をするとこれも必ずしも正しいわけではない。DOM操作するコードによっ
can I use... Support tables for HTML5, CSS3, etc
Test a feature Our partnership with BrowserStack now lets you test your website for compatibility across 2,000+ real browsers and devices. Test on: Did you know? Next If a feature you're looking for is not available on the site, you can vote to have it included. Better yet, if you've done the research you can even submit it yourself! You can import usage data from your Google Analytics account and
can I use... Support tables for HTML5, CSS3, etc
Test a feature Our partnership with BrowserStack now lets you test your website for compatibility across 2,000+ real browsers and devices. Test on: Did you know? Next If a feature you're looking for is not available on the site, you can vote to have it included. Better yet, if you've done the research you can even submit it yourself! You can import usage data from your Google Analytics account and
Masato Kinugawa Security Blog: Referrer文字列によるXSS
リファラを使ったXSSの小ネタです。 今回取り上げるのは、ターゲット自身が、細工したページを経由することでつけられたリファラによって攻撃を受けるケースです。このような攻撃の場合は、現実に経由可能なページからでしか攻撃文字列を送りこむことができません。 例えば、以下のように、document.referrerをそのままdocument.write()しているページがあるとします。 http://vulnerabledoma.in/location/ リファラを書き出している部分でXSSできるでしょうか。 IEでは単純です。 IEはURLのクエリに、エンコードせずに「"<>」などを含めることができるので、これらを含むURLから、リファラを書き出しているページへ遷移させれば、XSSが起きます。 http://l0.cm/xss_referrer.html?<script>alert(1)</sc
Firefox 23 が Content Security Policy 1.0 仕様に対応
Firefox 23 （2013年 8月 6日正式リリース予定） が、クロスサイトスクリプティング （XSS） などの攻撃から Web ページを保護するための仕組み 「Content Security Policy 1.0」 仕様に対応しました。 Mozilla Hacks で、現在 Aurora チャンネルの、Firefox 23 が、Content Security Policy (CSP) 1.0 の仕様に対応した件、紹介されていました。 Content Security Policy (CSP) 1.0 は、あらかじめその Web ページで読み込まれることが想定されている JavaScript などのコンテンツを、ホワイトリストとして指定することによって、攻撃者によって挿入される悪意のあるスクリプトの読み込みを遮断し、クロスサイトスクリプティング （XSS） など、インジェクション
Same-Origin Policy とは何なのか。 - 葉っぱ日記
ちょっと凝ったWebアプリケーションを作成していたり、あるいはWebのセキュリティに関わっている人ならば「Same-Origin Policy」(SOP)という言葉を一度は聞いたことがあると思います。日本語では「同一生成元ポリシー」あるいは「同一生成源ポリシー」などと訳されることもありますが、個人的には「オリジン」は固有の概念を表す語なので下手に訳さず「同一オリジンポリシー」と書いておくのが好きです。 さて、この「オリジン」とは何なのかという話ですが、これは「RFC 6454 - The Web Origin Concept」で定められており、端的に言うと「スキーム、ホスト、ポート」の組み合わせをオリジンと定め、それらが同じものは同一のオリジンとして同じ保護範囲のリソースとして取り扱うということです。 例えば、http://example.jp/fooとhttp://example.jp:
ユーザーエージェント（ユーザーエージェント一覧） | 用語解説 | web showcase : s-ej web tips
ユーザーエージェント 一般にユーザーエージェント（User Agent）とは情報にアクセスする手段のことを表すが、特にWebにおいてユーザーエージェントと称する場合はHTTPユーザーエージェント（HTTP_USER_AGENT）のこと、あるいはそれらを識別する名称文字列のことを指す。 HTTPユーザーエージェントにはブラウザやウェブクローラーなどがあり、HTTPユーザーエージェントはHTTPリクエストの際にユーザーエージェント毎に決められた識別名称文字列を送信する。この文字列はハードウェア情報、携帯キャリア名、ホストOS名、アプリケーション名、レンダリングエンジン名、バージョンナンバーなどで構成されており、各エージェントにとって最適な情報や反応の取得に役立つ一方、ユーザエージェント文字列には厳密な構文の決まりはなく、ブラウザの発展やシェア争いの過程で文字列が複雑に変化したり、仕様上、エージ
The Evolution of the Web
The web today is a growing universe of interlinked web pages and web apps, teeming with videos, photos, and interactive content. What the average user doesn't see is the interplay of web technologies and browsers that makes all this possible.� Over time web technologies have evolved to give web developers the ability to create new generations of useful and immersive web experiences. Today's web is
JSONのエスケープをどこまでやるか問題 - 葉っぱ日記
Ajaxなアプリケーションにおいて、サーバからJSONを返す場合に、JSON自体はvalidであるにも関わらず、(IEの都合で)エスケープが不足していて脆弱性につながってる場合があるので、書いておきます。 発生するかもしれない脆弱性 JSONのエスケープが不足している場合に発生する可能性のある脆弱性は以下の通りです。 JSON内に含まれる機密情報の漏えい XSS それぞれの詳細については後述します。 開発側でやるべきこと 文字列中のUnicode文字は "\uXXXX" な形式にエスケープするとともに、ASCIIな範囲であっても「/」「<」「>」「+」も同様にエスケープすることにより、前述の脆弱性を防ぐことができます。 Perlであれば、以下のような感じになります。JSON->ascii(1) に続けて、JSON文字列を正規表現で置換しているあたりがキモになります。 use utf8; u
ブラウザでJavaScriptが動く時代がやってきた！ - 葉っぱ日記
というわけで、昨日から話題沸騰の Javascript PC Emulator すごいですね。JavaScript で書かれた x86 PC エミュレータ上で Linux 動かして、入ってる tcc 使えばそこそこのソースもコンパイルして動いたり。 もとのディスク容量が少ないので、適当な母艦を用意して、こんな感じ で新しいディスクイメージ作って、CocProxy や Fiddler の AutoResponder を使って root.bin へのリクエストをローカルのファイルに差し替えてやれば、好きなファイルも入れられますね。 というわけで、SpiderMonkey を入れて動かしてみました。ブラウザ内でJavaScriptが動くなんてムネアツですね！ 手順としては、コンパイルの簡単な SpiderMonkey 1.7 を x86 の32ビットマシンで -static 付きでビルドして、r
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Testing Frameworks for Javascript | Write, Run, Debug | Cypress
CodePen - Front End Developer Playground & Code Editor in the Browser
TechCrunch | Startup and Technology News
