asystのブックマーク - はてなブックマーク

JPドメインの悪用について - tike blog
はじめに世の中に数多く存在するWebサイトを閲覧する際、トップレベルドメイン(TLD)でその安全性を確認するという方は多いのではないでしょうか。検索サイトにキーワードを打ち込み、数ある検索結果の中から目的の情報に近いWebサイトを探す過程で、JPドメインのサイトには安心してアクセスできると考えるのは私だけではないと思います。 JPドメインのレジストリであるJPRS(株式会社日本レジストリサービス)も、JPドメインは世界一安全であると訴えています。世界一安全な.jp / JPRS この中で、JPドメインの安心感の根拠として以下のように述べています。世界一安全な.jp / JPRS 「.jp」を登録するには日本国内に住所を持っていることが条件所在のはっきりした日本サイトだとアピールできるという点を安心感の根拠として挙げています。しかしながら、私を含めてJPドメインが安全だと考えて
asyst 2019/04/22
リンク
放棄ドメインの大量取得によるスクリプトの乗っ取りについて - tike blog
はじめに既に役目を終えたドメインの遺産はリンク切れという形でインターネット上に残ることがあります。ここでいう遺産とは、放棄ドメインに紐付くリソース(画像、外部スクリプトなど)を指します。閲覧者の目に直接触れるリソース(画像や動画など)が存在しない状態になったことを閲覧者自身が認識することはさほど難しくはありません。その一方、外部スクリプトなどの目に見えないリソースについては、それが存在しないことを閲覧者が認識することは難しいのではないかと思います。このような放棄ドメインに紐付いた「存在しない」リソースを閲覧者に気付かれないように引き継ぎ、別の用途に悪用する事象がいくつか確認できましたので、本ブログで共有したいと思います。不審な JavaScript 先日、不審な挙動を示す以下のJavaScriptを目にしました。 Cookieを含むいくつかの情報を king[.]connect
asyst 2019/01/27
リンク
SEOポイズニングの手法を使用した偽ECサイトについて - tike blog
はじめに今年3月、リクルートテクノロジーズ社が偽サイトへの誘導を目的としたSEOポイズニングに関する記事を公開しました。 recruit-tech.co.jp 脆弱性を突くなどして他のサイトに検索エンジン(Google等)のクローラのみがアクセスできるページを不正に設置し、このページを踏み台として攻撃者が運用する偽サイトにユーザを誘導しようとする試みに関する記事です。同様の試みは、現在も活発に行われています。本記事では、SEOポイズニングの手法を使用した偽ECサイトに関して、現時点で確認できていることを纏めてみたいと思います。 SEOポイズニングの手法について偽ECサイトへの踏み台として不正に設置されるページは、日本国内で一般的に認知されている組織のWebサイトをコピーしたもののようです。検索エンジンで、このようなWebサイトのCopyright部分をキーワードとして検索すると、
asyst 2018/07/30
リンク
1