HTTP Headers という 5万人が使っている Chrome 拡張のマルウェア疑惑。セッション盗まれて BTC も盗まれそうになった話。 - clock-up-blog
疑惑どころか 99.99% くらい黒な話。 （後記：セッション盗まれたと思ってたけど、よくよく考え直してみると生パスワードごと盗まれてる可能性もあるしやばい） 追記：続報 11月3日 今回指摘した HTTP Headers 以外にも、「Tab Manager」「Give Me CRX」「Live HTTP Headers」等で同様（？）の問題が報告されています。第三者が元の作者からソフトウェア権利を買い取って悪用する、というケースが割とある模様（？）。皆さま情報ありがとうございます。 11月4日 Zaif については、「不正な Chrome 拡張」と「スクリプトから保護されていなかったクッキー」のコンボによりセッションが盗まれていた可能性あり。 Zaif のセッション情報が盗まれた原因のひとつについて。JavaScript からクッキー値を取得させない方法。 - clock-up-blog
色んなXSS – nootropic.me
2015/4/16(木)：ページの一番下に追記を記述しました。 その昔、なんとかキャンプというセキュリティのイベントに参加した時「アウトプットが大事」と言われたのを思い出しました。 でも、普通自分の見つけた知識は後生大事に抱えておきたいもんだと思います。 そこで今回はそういった何かしょーもないものを捨てるべく、溜め込んだ色んなXSSのPoCを少し書き出してまとめました。 今まで自分で見つけたものや海外のSecurity Researcher達から収集したものもあります。 さて、今回リストアップしたPoCの見方ですがいくつかの項目があります。 一番上の「手法」はタイトルみたいなものだと思って下さい。 二番目の「PoC」はスクリプトを実行する為のコードです。殆どがアラートが出るだけのスクリプトの為危険なコードは無いつもりですがご自分のブラウザで実行する際は自己責任でお願いします。リンクをクリッ
Google、古いAndroid向けWebViewパッチ打ち切りについて説明
米GoogleでAndroidセキュリティ担当リードエンジニアを務めるエイドリアン・ラドウィッグ氏は1月24日（現地時間）、旧バージョンのAndroidについて、同社が脆弱性を修正するパッチの提供を打ち切ったという情報について説明した。この情報は12日、Rapid7の研究者であるトッド・ビアズリー氏がブログで伝えたものだ。 ビアズリー氏は、Googleに4.4よりも前のバージョンのWebViewの脆弱性を報告したところ、Googleのインシデント対応担当者からメールで「もし影響を受けるのが4.4（コードネーム：KitKat）よりも前のバージョンであれば、我々は一般的に、自らパッチを開発しない。4.4より前のバージョンに影響する報告で、パッチを伴わないものについては、OEMに通知する以外の対応はできない」という返事を受けたという。 Google自身が公開している統計によると、1月5日の時点で
第9回 文字コードが引き起こす表示上の問題点［前編］ | gihyo.jp
文字コードが引き起こす問題点は、これまで説明したような比較の一致・不一致といったソフトウェアの処理上のものだけでなく、人間に対する視覚的な効果という点でも強く影響を与え、攻撃者にとっての強力な道具となることがあります。 今回および次回で、そのような文字コードが引き起こす視覚的な問題点を紹介します。 視覚的に似た文字 見かけのよく似た文字は、フィッシングなどによく利用されます。典型的な例としては、アルファベット小文字のl（エル）と数字の1などがあります。たとえば、http://bank1.example.jp/ というURLのオンラインバンクがあったとすると、攻撃者は http://bankl.example.jp/ というURLを使ってフィッシングを企むということは容易に想像できると思います。 もちろん、収録している文字数が増えれば増えるだけ、このように見かけのよく似た文字が存在する率も高
ネット通信を匿名化する「Tor」とFirefoxの開発元「Mozilla」が提携
By Johan Larsson Firefoxの開発元であるMozillaが、どこからアクセスしているかを隠して匿名化できるブラウザ「Tor Browser」などを開発するTorプロジェクト、さらにはワシントンDCに本部のあるインターネットのオープン化やフリー化を推進する非営利団体Center for Democracy＆Technologyと提携し、Mozillaプロダクトのプライバシー面の強化を共に行っていくことが明かされました。 Partnering with Mozilla | The Tor Blog https://blog.torproject.org/blog/partnering-mozilla Introducing Polaris Privacy Initiative to Accelerate User-focused Privacy Online | Mozil
匿名通信システム「Tor」を使うのに知っておくべき7つのこと
By quinn norton Tor(トーア)はIPアドレスを相手に知られることなくインターネットに接続したり、メールを送信したりできる匿名の通信システムです。世界的に有名なBlack Hatセキュリティカンファレンスでは、Torの暗号化を無効にしてしまう内容の講演が、講演者の在籍する大学の弁護士による要望によってキャンセルされたこともあり、セキュリティ業界に波紋を広げました。インターネットに詳しい人ならよく知っているTorですが、名前を聞いたことはあるけども実際はよく知らない人や、存在自体を知らない人がたくさんいるとのことで、デジタル社会の自由な権利について活動している電子フロンティア財団が、「Torについて知っておくべき7つのこと」を公開しています。 7 Things You Should Know About Tor | Electronic Frontier Foundation
大量のパスワードを暗号化管理し一発で自動ログインできるフリーソフト「LoginCode」
Internet ExplorerなどにAmazon･Twitterのパスワードを保存している人でも、ネットバンキングなどセキュリティに厳しいサイトでは保存できずパスワード忘れてしまうことがあると思います。そんなときに、ログインパスワードを一つだけ覚えておけば、それ以上覚える必要がなくなり、ログインID･パスワードを暗号化して保存でき、登録済みのサイトへ自動ログインが可能になる無料のソフトが「LoginCode」です。インストール･ログインIDとパスワードの登録･自動ログインなどは以下から。 LoginCode - Password Manager that gives you Safety on the Web http://logincode.com/content/download.php ◆インストール 上記サイトの「Download」をクリック。ここでは、Windows 64-b
Microsoft、IE 8のサポートを2016年1月12日に終了へ
米Microsoftは8月7日（現地時間）、Webブラウザ「Internet Explorer（IE）」のサポートおよびセキュリティアップデートの各バージョンのタイムラインを発表した。IE 8に関しては2016年1月12日に完全に終了する計画という。 2016年1月12日時点でサポートおよびセキュリティアップデートの対象になるのは、以下のOSとブラウザの組み合わせのみ。例えばWindows 7 SP1でIE 8～10を使っているユーザーはこの期日までにIE 11にアップデートするようMicrosoftは推奨する。 米分析会社Net Applicationsが毎月発表している世界でのWebブラウザのバージョン別シェアの7月版では、IE 8のシェアがいまだに最も大きく21.56％。Microsoftが昨年秋にリリースした最新ブラウザのIE 11のシェアは2位の16.7％だった。 関連記事 IE
Microsoft、Internet Explorerのサポートを最新版のみに - 2016年1月から
米Microsoftは8月7日(現地時間)、Webブラウザ「Internet Explorer (IE)」の利用者が、より安全で新しいWeb標準に対応する最新バージョンを使用するように、2016年1月12日からIEのサポートサイクルを変更すると発表した。Windows VistaならIE 9、Windows 8.1ならIE 11というように、WindowsおよびWindows Serverの各プラットフォームで使用できるIEの最新版のみにテクニカルサポートとセキュリティアップデートを提供する。 公式ブログで公開された記事「Stay up-to-date with Internet Explorer」によると、2016年1月12日時点で以下のようなWindowsプラットフォームとIEバージョンの組み合わせがサポートされる予定だ。 Windows Vista SP2：Internet Expl
Best Internet Browser 2022 | Free Secure Web Browser
Your best web browser is the gateway to the internet. You shop online, use online-banking and browse sites with personal content. Secure Internet Browsers such as Internet explorer, Firefox and Chrome cannot be replied upon when malware is in question. Only a Cybersecurity company like Comodo develops their best secure web browsers with technology that can immediately contain online threats. Other
IEに重大な脆弱性、サポート終了のWindows XPは修正パッチの予定なし - GIGAZINE
By tim_d Internet Explorer 6から11までの全バージョンに関わる脆弱性の存在をMicrosoftが発表しました。対象OSはWindows 8.1やWindows Server 2012などほぼすべてのWindows OSで、当然、2014年4月9日にサポートが終了したWindows XPも含まれていますが、マイクロソフト セキュリティ アドバイザリの適用はありません。 Microsoft Security Advisory 2963983 https://technet.microsoft.com/ja-jp/library/security/2963983 New Zero-Day Exploit targeting Internet Explorer Versions 9 through 11 Identified in Targeted Attacks |
Google Chrome、Windows XPのサポートを2015年4月まで延長
Webブラウザの脆弱性を突いてコンピュータにマルウェアを感染させる攻撃が横行している実態を踏まえ、サポート期間を延長する。 米Googleは10月16日、2014年4月でMicrosoftのサポートが終了するWindows XPについて、Webブラウザ「Google Chrome」は少なくとも2015年4月まで、XP向けにも通常のアップデートやセキュリティパッチの提供を続けると発表した。 Googleのブログによると、XP向けChromeのサポート期間延長は、脆弱性が放置されたWebブラウザを使ってコンピュータにマルウェアを感染させる攻撃が横行している実態を踏まえた措置。マルウェアやフィッシングなどの攻撃を防ぐため、2015年4月まではXPにもこれまで通りChromeの最新版を自動的に配信し、脆弱性の修正などを行う。 XPは、Chromeのユーザーを含めてまだ相当量のユーザーが使い続けてお
IT Pro : 「ソースコードが入ったパソコンを盗まれた時は1週間寝込んだ」---Sleipnir作者 フェンリル代表取締役 柏木泰幸氏
フェンリルは10月12日，タブブラウザSleipnir 2.00の正式版を公開した（関連記事）。Sleipnirはバージョン 1.66まで柏木泰幸氏が個人で開発していたが，2005年6月にフェンリル株式会社を設立し，バージョン2の開発を行っていた。柏木氏に，Sleipnirを開発した経緯や狙いを聞いた。（聞き手は高橋 信頼=IT Pro） ---Sleipnirを作り始めたきっかけは。 大学生の時，友達とタブブラウザについて話していて「自分でも作れる」と思って，作り始めたのがきっかけです。ユーザーの使いやすさを追求して，様々な機能を作りこみました。ソフトウエア配布サイトなどで紹介され，次第にアクセスが増えていきました。 学生時代は，ほぼ毎日全ての時間をソフトウエア開発にあてていました。あまり学校には行かず（笑）。ユーザーの声を聞いているのが楽しくて。それが原動力ですね。 就職すると，仕事も
Firefox、プラグイン不使用に向けた対応強化 | マイナビニュース
掲載当初、「Firefox、プラグイン廃止へ」というタイトルの下、「プラグインを削除する方向で作業を進めている」と記述しておりましたが、誤りであったため修正いたしました。ご迷惑をおかけした読者の皆様ならびに関係各位に深くお詫び申し上げます。 Mozillaは「Mozilla Security Blog - Update on Plugin Activation」において、セキュリティ強化を目的として、Firefoxのプラグイン(メディアの再生などで必要になるソフトウェアの追加機能)不使用を強化する方向で作業を進めていることを伝えた。 Firefoxでは以前から対応を進めており、現在のバージョンではプラグインはデフォルトで無効。プラグインの使用が必要になるページを開くとプラグインを有効にするかどうかをたずねる「click-to-play」という機能が動作する仕組みになっている。記事ではWeb
Google Chromeが最も安全なWebブラウザ――Accuvant LABS調べ
セキュリティコンサルティング企業の米Accuvant LABSが12月9日（現地時間）に発表したWebブラウザのセキュリティに関する調査結果によると、米GoogleのGoogle Chromeが最も安全なブラウザだという結論に達したという。 この調査では、Google Chrome、米MicrosoftのInternet Explorer（IE）、MozillaのFirefoxに関し、複数の観点から安全性を比較した。従来の調査に多い、脆弱性の報告数やURLブラックリストの比較ではなく、脆弱性攻撃への対抗策の分析・比較に重点を置いたという。 同社は、この調査にはGoogleが資金を提供しているが、結果はAccuvant独自のデータに基づいた客観的なものだとしている。 サンドボックス、プラグインのセキュリティ、JITコンパイラの強度、ASLR（アドレス空間配置のランダム化機能）、DEP（データ
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
対応ブラウザーを拡充した脆弱性緩和ツール「Malwarebytes Anti-Exploit」v1.06
アダルト動画をタップ→スマホブラウザーを乗っ取られ、登録料金9万9800円要求 日本のアダルトサイトで“新手”のワンクリック詐欺登場
input type = password autocomplete = off は使ってはいけない
VirusTotal
ggsoku.com
