色んなXSS – nootropic.me
2015/4/16(木)：ページの一番下に追記を記述しました。 その昔、なんとかキャンプというセキュリティのイベントに参加した時「アウトプットが大事」と言われたのを思い出しました。 でも、普通自分の見つけた知識は後生大事に抱えておきたいもんだと思います。 そこで今回はそういった何かしょーもないものを捨てるべく、溜め込んだ色んなXSSのPoCを少し書き出してまとめました。 今まで自分で見つけたものや海外のSecurity Researcher達から収集したものもあります。 さて、今回リストアップしたPoCの見方ですがいくつかの項目があります。 一番上の「手法」はタイトルみたいなものだと思って下さい。 二番目の「PoC」はスクリプトを実行する為のコードです。殆どがアラートが出るだけのスクリプトの為危険なコードは無いつもりですがご自分のブラウザで実行する際は自己責任でお願いします。リンクをクリッ
「ノートン」更新でＩＥに障害、修正ファイルを配布：朝日新聞デジタル
情報セキュリティー大手シマンテックのパソコン用ソフト「ノートンセキュリティ」などセキュリティー製品で、２１日に配布された更新を実行すると、ウィンドウズのブラウザー（インターネット閲覧ソフト）「インターネットエクスプローラー（ＩＥ）」が動作しなくなる障害が起きていたことがわかった。配布された時間は同社が調査中だが、ネット上では同日午後１時半ごろから障害を指摘する声があがっていた。 同社は同日午後７時半ごろ、問題を修正した更新ファイルを配布した。ノートンセキュリティなどの「ライブアップデート」を実行すれば、問題は解決するという。障害が起きたウィンドウズやＩＥのバージョンなどの詳細はまだわかっていない。 企業向け製品にも同様の更新が配布されていた可能性があるが、２１日夜以降の最新の更新を適用すれば問題は発生しないという。 また、グーグル・クロームやファイアフォックスなど、ＩＥ以外のブラウザーでは
Windows 7 メインストリーム サポート終了のお知らせ - Microsoft
Windows 7 のメインストリーム サポートは 2015 年 1 月 13 日 (米国時間) に終了させていただきました。 マイクロソフトの製品サポートは、製品発売後、最低 5 年間のメインストリーム サポートと、最低 5 年間の延長サポート (合計最低 10 年間) が提供されます。サポートが終了することで、セキュリティ更新プログラムの提供や、仕様変更、新機能のリクエストなどがマイクロソフトより受けられなくなります。 2015 年 1 月 13 日 (米国時間) には、Windows 7 のメインストリーム サポート期間が終了し、無償サポート、仕様変更、新機能のリクエスト受け入れが終了しました。すでに延長サポート期間に入っています。 サポート終了に備え、新しい環境への移行を早めにご検討ください。
新しいエメット（EMET）さんにご用心！
マイクロソフトの無償の脆弱性緩和ツール「Enhanced Mitigation Experience Tool（EMET）」の最新バージョン「EMET 5.0」がリリースされました。本連載でもEMET 4.xの導入をお勧めしましたが、EMET 5.0に飛び付くのはまだ早いかも……。 連載目次 最新バージョンEMET 5.0、リリース 「Enhanced Mitigation Experience Tool（EMET）」は、マイクロソフトが無償提供するセキュリティツールです。EMETは、Windowsが備えるセキュリティ機能をシステムやアプリケーションに適用することで、既知および未知の脆弱（ぜいじゃく）性を悪用した攻撃の成功を回避します。 「Mitigation（軽減、緩和）」という名が示すように、EMETはあらゆる攻撃に対抗できる“銀の弾”などではなく、未パッチの脆弱性のリスクを緩和するツ
Microsoft、IE 8のサポートを2016年1月12日に終了へ
米Microsoftは8月7日（現地時間）、Webブラウザ「Internet Explorer（IE）」のサポートおよびセキュリティアップデートの各バージョンのタイムラインを発表した。IE 8に関しては2016年1月12日に完全に終了する計画という。 2016年1月12日時点でサポートおよびセキュリティアップデートの対象になるのは、以下のOSとブラウザの組み合わせのみ。例えばWindows 7 SP1でIE 8～10を使っているユーザーはこの期日までにIE 11にアップデートするようMicrosoftは推奨する。 米分析会社Net Applicationsが毎月発表している世界でのWebブラウザのバージョン別シェアの7月版では、IE 8のシェアがいまだに最も大きく21.56％。Microsoftが昨年秋にリリースした最新ブラウザのIE 11のシェアは2位の16.7％だった。 関連記事 IE
Microsoft、Internet Explorerのサポートを最新版のみに - 2016年1月から
米Microsoftは8月7日(現地時間)、Webブラウザ「Internet Explorer (IE)」の利用者が、より安全で新しいWeb標準に対応する最新バージョンを使用するように、2016年1月12日からIEのサポートサイクルを変更すると発表した。Windows VistaならIE 9、Windows 8.1ならIE 11というように、WindowsおよびWindows Serverの各プラットフォームで使用できるIEの最新版のみにテクニカルサポートとセキュリティアップデートを提供する。 公式ブログで公開された記事「Stay up-to-date with Internet Explorer」によると、2016年1月12日時点で以下のようなWindowsプラットフォームとIEバージョンの組み合わせがサポートされる予定だ。 Windows Vista SP2：Internet Expl
IEに新たな未解決の脆弱性、セキュリティ機関が公表
IE 8に未解決の脆弱性が発覚した。ユーザーに不正なWebページを閲覧させたり不正なファイルを開かせるなどの手口を使って、リモートで任意のコードを実行される恐れがある。 米Hewlett-Packard（HP）のセキュリティ研究機関は5月21日、米MicrosoftのInternet Explorer（IE） 8に存在する未解決の脆弱性に関する情報を公開した。 Zero Day Initiative（ZDI）サイトに掲載された情報によれば、IE 8に、CMarkupオブジェクトの処理に起因する解放後使用の脆弱性が存在する。悪用された場合、ユーザーに不正なWebページを閲覧させたり不正なファイルを開かせたりするなどの手口を使って、リモートで任意のコードを実行される恐れがある。 この問題は2013年10月11日にMicrosoftに報告され、2014年2月には同社でも問題が再現できること確認し
IEの脆弱性を修正する緊急アップデート公開、XPにも「特例」で提供
米マイクロソフトは米国時間の2014年5月1日（日本時間5月2日）、Internet Explorer 6～11に存在する深刻な脆弱（ぜいじゃく）性を修正するセキュリティ更新プログラム（MS14-021）を緊急公開した。特例としてWindows XP向けも含まれている。 米マイクロソフトは米国時間の2014年5月1日（日本時間5月2日）、Internet Explorer（IE）6～11に存在する深刻な脆弱（ぜいじゃく）性を修正するセキュリティ更新プログラム（MS14-021）を緊急公開し、Windows Updateなどを通じて配布を開始した。さらに「特例」として、4月9日（日本時間）でサポートが終了したWindows XPおよびIE 6用にもパッチを提供する。 この脆弱性は米国時間の4月26日に明らかになった。IEのメモリ管理に問題があり、悪意あるサイト、あるいは改ざんされたサイトにア
「Internet Explorer」の脆弱性、日本人ユーザーが対策ソフト公開
米マイクロソフトは米国時間4月27日遅く、ウェブ閲覧ソフト「Internet Explorer（IE）」にリモートでコードが実行される脆弱性が見つかり、それを悪用しようとする標的型攻撃（外部のハッカーからのサイバー攻撃）を受けていることを確認したと発表した。対象となるバージョンはIE 6～11。攻撃はIEを介し、ユーザーに対して特別に作成したウェブページを表示し、誘導するなどして行われる。 30日時点で、マイクロソフトはこの脆弱性を解消する修正プログラムを提供していない。また、先日サポートが打ち切られたWindows XPに対応したセキュリティパッチは公開されない可能性がある。 日本人ユーザーが対策ソフトを公開 修正プログラムの提供を待つ間に、ソフトウェア技術者の西村誠一氏（@khb02323）が、この脆弱性の対策ができるフリーソフト「IE_Remove_VGX_DLL Ver0.1」を公
IE 10狙いのゼロデイ攻撃は日本に集中、標的の9割近くに
日本国内の多数のWebサイトに不正なコードが仕掛けられ、IE 9／10で閲覧した場合、ユーザーが知らないうちに、特定の銀行のログイン情報を盗み出すマルウェアに感染する恐れがあるという。 米MicrosoftのInternet Explorer（IE）9と10に存在する未解決の脆弱性を突く攻撃が、日本国内で猛威を振るっているという。米Symantecが2月25日のブログで伝えた。 この脆弱性は2月上旬に発覚し、これまでは米国などで特定の標的を狙った「水飲み場攻撃」の発生が確認されていた。 しかしSymantecによると、2月22日ごろからこの脆弱性を付くゼロデイ攻撃が急増し、脆弱性を突くコードは誰にでも入手して再利用できる状態になっているという。 攻撃は特に日本で多発しており、攻撃コードの標的にされた各国のコンピュータの中で、日本が占める割合は89.3％と群を抜いている。
「インターネット・エクスプローラー使うな」と警告 米国土安全保障省 ハッカー攻撃の危険 - MSN産経ニュース
米国土安全保障省は２８日、ハッカー攻撃にさらされる危険があるとして、米マイクロソフト社の閲覧ソフト「インターネット・エクスプローラー」を使わないよう警告、代替ソフトの使用を呼び掛けた。ロイター通信が伝えた。 米当局によると、バージョンが「６」から「１１」までのインターネット・エクスプローラーが攻撃を受けた場合、大きな危険につながる恐れがあるという。（共同）【ビジネスの裏側】サポート切れ「ＸＰ」狙い撃ちのサイバー犯罪者も、危険すぎる「窓割れた家」…自己責任では済まぬ、取引先に「ウイルス」送ってしまう恐れも
IEに重大な脆弱性、サポート終了のWindows XPは修正パッチの予定なし - GIGAZINE
By tim_d Internet Explorer 6から11までの全バージョンに関わる脆弱性の存在をMicrosoftが発表しました。対象OSはWindows 8.1やWindows Server 2012などほぼすべてのWindows OSで、当然、2014年4月9日にサポートが終了したWindows XPも含まれていますが、マイクロソフト セキュリティ アドバイザリの適用はありません。 Microsoft Security Advisory 2963983 https://technet.microsoft.com/ja-jp/library/security/2963983 New Zero-Day Exploit targeting Internet Explorer Versions 9 through 11 Identified in Targeted Attacks |
IE 6～11に未解決のゼロデイ脆弱性、Microsoftがアドバイザリ公開
米MicrosoftのInternet Explorer（IE）6～11に未解決の脆弱性が見つかった。Microsoftは4月26日（現地時間）、この脆弱性に関するアドバイザリーを公開し、注意を呼び掛けている。 対象となるのはほぼすべてのWindows OS（Windows 8.1、Windows Server 2012 R2などを含む）上のIE。なお、MicrosoftはWindows XPのサポートを終了している。 米セキュリティ企業のFireEyeは、この脆弱性を利用した攻撃を確認した。同社が「Operation Clandestine Fox」と名付けたこの攻撃の対象はIE 9～11という。 脆弱性は、削除されたメモリや適切に割り当てられていないメモリ内のオブジェクトにIEがアクセスする方法に存在する。悪用された場合、多数のユーザーが利用する正規のWebサイトを改ざんしたり、ユーザ
なぜhao123に汚染されるのか - ex
PC初心者が有名なマルウェアであるhao123を入れてしまうメカニズムがちょっと分かったので書き留めておく。 サンプルはセットアップしたばかりのWindows7パソコン。CPUはCore i5だがそれでもIEは重い。ブラウザをGoogle Chromeに入れ替えようとしてスタートページのMSN（検索エンジンはbing）から「chrome」を検索。 すると広告のトップに出てくるのは「www.download786.com」。いかにもなサイトだ。 ダウンロードのリンクは fastdownloadsoftw.areserver18.s3-eu-west-1.amazonaws.com/softwares/binary/504405/810823cbb5f742196e7fa1a65d5853b4d2580195/google-chrome_setup.exe 一応chromeのセットアップexe
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Engadget | Technology News & Reviews
深刻な脆弱性が見つかったInternet Explorer（IE6～11）を巡り全国各地の社内がコントでカオス : 市況かぶ全力２階建
ggsoku.com
IE10/9のゼロデイ脆弱性を狙った攻撃、日本国内のウェブサイトでも確認 
Microsoft、IE 9/10に存在するゼロデイ脆弱性を修正するFix itを公開
JVN、「Internet Explorer 10」に未修正のゼロデイ脆弱性が存在することを公表