[B! xss] amayanのブックマーク

「Facebook」を襲ったスパムメッセージの分析 |

読者の皆さんは「Facebook（フェイスブック）」をご存じですか？ Facebookは、Facebook, Inc. が提供するSNS（ソーシャル・ネットワーキング・サービス）です。調査会社の米comScoreの調べによれば、APAC地域におけるSNSシェア1位を占めているのがFacebookであったことが発表されています（2010年4月7日付け）。「そんなに人気なの？」私自身も、同様の意見です。それも無理はありません。米comScoreは先の調査結果においてAPAC地域でFacebookがSNSシェア1位を占めているのはフィリピン、オーストラリア、インドネシア、マレーシア、シンガポール、ニュージーランド、香港、ベトナムでした。対して台湾、インド、韓国、そして日本では各国のローカルプレイヤーがSNSシェア1位を占めていたことが併せて発表されています（なお、日本のトップシェアは「mix

amayan 2010/05/17

リンク

Twitter XSS 騒動 - Yaks

(2009/04/12 6：40 pm 追記しました) (2009/04/12 7：24 pm 再度追記しました) 先ほどから Twitter上にて XSS のよる被害が出ています。既に海外のブログなどでも取り上げられています。 HOWTO: Remove StalkDaily.com Auto-Tweets From Your Infected Twitter Profile (Twittercsm) Warning: Twitter Hit By StalkDaily Worm (TechCrunch) 既に XSS の部分は改修されて大分収まったようですが、念のために書いておきます。内容としては、 1. StalkDaily.com を宣伝するつぶやきが勝手に投稿される 2. プロフィールの Web が改ざんされる 3. 改ざんされたユーザーのページを見ると、自分のプロフィールも

amayan 2009/04/12

リンク

世間の認識と脅威レベルのギャップ――XSSは本当に危ないか？

皆さんこんにちは、川口です。コラムの第6回「IPSは“魔法の箱”か」でまっちゃ１３９で講演をしたお話を書きましたが、今度は関東でやっている「まっちゃ４４５」にお招きいただき、お話ししてきました。まっちゃ４４５は募集開始から定員が埋まるまでがとても速く、今まで参加したことがなかったのですが、今回は運良く（？）講師側ということでキャンセル待ちにならずに参加することができました。ロックオンの福田さんがオープンソースのECサイト構築システム「EC-CUBE」に脆弱（ぜいじゃく）性が発見された際のインシデントハンドリングのお話をされていました。EC-CUBEにSQLインジェクションとクロスサイトスクリプティング（以下、XSS）が発見されたあとの対応のお話です。JSOCで日々インシデントにかかわっているいる自分としてはとても興味深い内容でした。日本のエンジニアのセキュリティ意識は過剰？今回のよう

amayan 2009/03/20

xss
security

リンク

Bugtraq

amayan 2008/05/10

リンク

Atom や RDF を利用したXSS - 葉っぱ日記

Internet Explorer の悪名高い Content-Type: 無視という仕様を利用すると、Atom や RDF/RSS を利用してXSSを発生できることがあります。条件的に対象となるWebアプリケーションは多くはないと思いますが、それでもいくつか該当するWebアプリケーションが実在することを確認しました。以下の例では Atom の場合について書いていますが RDF/RSS でも同様です。例えば、http://example.com/search.cgi?output=atom&q=abcd という URL にアクセスすると、「abcd」という文字列の検索結果を Atom として返すCGIがあったとします。 GET /search.cgi?output=atom&q=abcd Host: example.com HTTP/1.1 200 OK Content-Type: ap