エフセキュアブログ : ソーシャルメディア時代の脆弱性報告
ソーシャルメディア時代の脆弱性報告 2011年05月27日22:28 ツイート mikko_hypponen ヘルシンキ発 by：ミッコ・ヒッポネン 昨晩、古い電子メールを探していて、以下の奇妙なヘッダを見つけた： ユーモアのセンスを持つ誰かが、メールのヘッダにXSSジョークを挿入したのだ。 面白いと思ったので、このことについてTwitterに投稿した： 数分後、私はRobin Jacksonが以下のようにリプライしているのに気づいた： あり得ない。ツイートが「スクリプト」タグを含んでいるからといって、Javascriptを実行するTwitterクライアントは無い。 本当であることを示すため、Robinはスクリーンショットを投稿してくれた。 彼が使用しているクライアントは、Chrome用のTweetdeckだった。開発者に報せなくては。そしてもちろん、彼らもTwitter上にいる。 Tw
TwitterのOAuth仕様変更、DMアクセスには再度ユーザーの”許可”が必要 - うさぎ文学日記
5月19日Twitterの公式BlogでTwitterのサードパーティなどのアプリケーションが使う、OAuthで設定しているアクセス権限に仕様変更があると、アナウンスがありました。 Twitter Blog: Mission: Permission これまでの”Readのみ”、”Read/Write”以外に、”Read, Write & Direct Messages”という種類が追加されることに。これを選択するとダイレクトメッセージの「読み込み」、「削除」ができなくなるようです。（送信はできるみたいですね） ユーザーにとっては、サードパーティのアプリケーションにダイレクトメッセージを読ませない、という選択肢を取ることができて嬉しいですね。 詳しい仕様は以下にあります。 The Application Permission Model | dev.twitter.com この仕様変更の適用
Twitterに携帯メールでTweetすべきではない、ただひとつの理由。 - ポケグレにヌカ・グレネード。
なんらかの要因で、プライベートな情報を間違えてTweetしてしまう可能性があるから。 え、携帯メールでTweet出来るの？という人はここで回れ右して頂いて結構です。今後も使用しないで下さい。一応説明を。 Twitterブログ: 携帯メールでツイートしましょう http://blog.twitter.jp/2010/01/blog-post_26.html 上記リンク先エントリのように、Twitterには登録メールアドレスにメールを送信するとTweet出来る機能があります。もちろん140字以下。 ・・・もし間違えてこのアドレスにプライベートなメールを誤送信してしまうとどうなるか。全世界にプライベートな情報を公開する、ということになります。 ・・・え？俺（私）はそんなミスしない？ ちょっと待った。なんらかの設定ミスで、それは容易に起こり得てしまうものなのです。 そんなとある事例。 何の気なしに
twitterで不用意な発言をして大炎上してどうしようもなくなって...
鍵かけてスクリーンネーム変えて逃げたつもりの子の新スクリーンネームを知るには。 まぁ、気づく人はすぐ気づくはずだけど。 消えたスクリーンネームでググる。よほど時間が経過してなければ大体そいつのtwitterはヒットするので、キャッシュを開く。アドレスバーにRSSアイコンが出ていれば大勝利。そのアイコンをクリックしてhoge's tweetを講読する。まぁprotectなのでnot authorizedとかなるけど気にしない。知りたいのはURLだけだから。RSSのURLは、「http://twitter.com/statuses/user_timeline/00000000.rss」みたいなものなのだが、その「00000000」がそいつのtwitterにおけるID。これはスクリーンネームを変えても不変。IDがわかったところで「http://twitter.com/users/show/000
つぶやきタカ！ボード
ハッシュタグ「#sbh2010」でHawksの試合を応援できます。選手やスタッフもつぶやきますので、みんなでHawksを盛り上げよう！
ハッカージャパンブログ セキュリティ業界 Twitterおすすめフォローリスト
こんにちはハカ子です ハッカージャパン3月号では「一歩先行く Twitterの使い方」という記事を掲載し、本誌読者向けの他とは違ったTwitterの使い方について解説しています。 「Twitterボットを作ってみよう」では、Rubyを使ったボットの作り方を紹介。特にモーションセンサーと組み合わせたボットは必見の記事です。 その他にも、HJ読者にお勧めのWebサービスをピックアップした「Twitterサービス７選」やTwitter上で発生した事件やその回避方法を分析した「Twitterトラブル対策ガイド」、そして「セキュリティ業界 おすすめフォローリスト」といった記事を載せています。 今回「セキュリティ業界 おすすめフォローリスト」のリスト部分を、以下アップしております。 記事内では、どのような基準でリストをピックアップしたか、情報の探し方、執筆者であるtessy氏のTwitterサービス紹
Twitterに深刻な脆弱性？ つぶやきを見ただけでアカウント乗っ取りの恐れ - ITmedia News
Twitterのサードパーティーアプリケーションにまつわる深刻な脆弱性情報が英国のブログに掲載された。 Twitterには深刻な脆弱性があり、ユーザーが特定のつぶやきを見ただけでアカウントを乗っ取られてしまう恐れがある――。英国のSEO情報ブログにそんな情報が掲載された。 この情報は、SEOサービスの専門家デビッド・ネイラー氏のブログに8月25～26日に掲載された。それによると、脆弱性はサードパーティーのアプリケーションに起因する。Twitterのつぶやきは、例えばTweetDeck、TwitterFox、HootSuiteといった専用アプリケーションから投稿することもでき、この場合は使われたアプリケーション名がつぶやきの下に表示される。 しかしこの部分は、外部のアプリケーション開発者がTwitterのフォームに入力した内容がそのまま反映され、例えばHTMLコードやJavaScriptのs
2008-03-09 - skubotaの日記（ついったー足跡帳考）
754d753< LT. NS HYDRA.HELSINKI.FI. 757d755< LT. NS NS.UU.NET. 761a760,761 > LT. NS C.TLD.LT. > LT. NS D.TLD.LT. 1053d1052< RU. NS NS1.RELCOM.RU. 1662d1660< HYDRA.HELSINKI.FI. A 128.214.4.29 1894d1891< NS1.RELCOM.RU. A 193.125.152.3 1980c1977< A.NS.SE. AAAA 2001:698:9:301:0:0:0:53 - > A.NS.SE. AAAA 2A01:3F0:0:301:0:0:0:53 2692a2690,2692 > C.TLD.LT. A 194.0.1.4 > D.TLD.LT. A 194.0.3.1 > D.TLD.LT. AA
Twitter の crossdomain.xml 問題について。 - てっく煮ブログ
ついったー足あと帳 関連でこんなブログ記事を発見した。今回は twitterのprotectな発言とかsettingからメールアドレスの取得や変更なんかできちゃってたわけで…2008-03-09 - skubotaの日記変更？？間違った情報が広がるとよくないので勝手に補足。この記事には誤解がある。確かに取得はできるけど、変更はできない。実際に試した私が言うんだから間違いない。（補足）ためしたのは、ついったー足あとちょうを作ったらへん。今は仕様変わってるかも(?)たぶん、サーバー側でリファラを見て弾いてるんだと思う。SWF からリクエストする場合は、SWF の URL がリファラとしてつくようになっている。リファラをなしにして送ったらうまく行くことも確認した。だから、swf からのクロスドメインアクセスに対しては通用しないであろう。よって、(1)メールアドレスの変更、(2)パスワードリセット
twitter のアカウント乗っ取りが可能だったかもしれない件 - 児童小銃
実際には試してないので勘違いかもしれないけど3/9の夕方まで twitter のアカウントが乗っ取り可能だったかもしれない、という話。←特殊なケースを除いて不可能だった模様。追記参照。 「ついったー足あと帳」(http://hamachiya.com/junk/twlog/)でアクセスした人のidと発言ログを抜き出す(protectedでも!)デモをやっていたり、それがきっかけで過去に settings から id とメールアドレスを抜き出す「(元祖)ついったー足あとちょう」があった(昨日までは動作していた)のを見て、ひょっとして、と思って昨夜少し調べてみた。 去年の11月のDK祭り*1の時に、パスワードクラック以外で乗っ取り可能か検討されたことがあった。 twitterの仕様を調査した結果、仮にtwitterにXSS脆弱性などがあり、セッションハイジャックができたとすると、第三者がパスワ
twitterを使ったオフ会での本人確認のアイデア。 - あそことは別のはらっぱ
ちょっとしたメモとして。 オフ会がある。 Twitterなどでは知り合いになっているが、実際の顔は知らない。 本人が代理人を立てるようなことはしない。 というような条件の下で、本人の意図しないなりすましを防ぐ方法を作れるかな?とか思った。 サイトに顔写真を登録する。 その登録した写真のmd5ハッシュを特定のid宛にtwitterのdirect messageで送る。 特定のidは登録サイトが読んでいて、md5ハッシュを受信する。 写真登録の際に、適当なパスワードを入れて、それをオフ会幹事に晒す。 オフ会幹事は登録サイトにそのパスワードを入れると、顔写真が出てくる。 登録サイトはオフ会幹事のtwitter uidに、過去にそのユーザーがmd5ハッシュを発言したこととその日時を送る。 これで特定の写真とそのidが関連づけられることを証明出来るかなあ? なんかもっと簡単にできたりとか、穴があった
twitterにクロスサイトスクリプティング(XSS)脆弱性があればパスワードを変更できる - ockeghem's blog
秋のDK収穫祭などで騒がれている、いわゆるDK祭り。 さすがの私も、今夜半の祭りにはmaitter。 私のtwitterが荒らされていたのだ。 http://blog.livedoor.jp/dankogai/archives/50959103.html 現象から見てセッションハイジャックされたと思われるが、原因となる脆弱性が小飼弾氏の主張どおりCSRF(Cross Site Request Forgeries)だったのか、パスワードは窃取されたのか、元々のパスワードが類推しやすいものだったのかなど、議論を呼んでいる。 私は、現象からみて、原因となる脆弱性はCSRFではなく、XSSだったと思う*1。twitterにXSS脆弱性があれば、セッションハイジャックにより、第三者が小飼弾氏になりすまして発言するところまでは可能だ。しかし、一般的にはXSSではパスワードまでは窃取できない。id:ha
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
はてな