はてなグループの終了日を2020年1月31日(金)に決定しました 以下のエントリの通り、今年末を目処にはてなグループを終了予定である旨をお知らせしておりました。 2019年末を目処に、はてなグループの提供を終了する予定です - はてなグループ日記 このたび、正式に終了日を決定いたしましたので、以下の通りご確認ください。 終了日: 2020年1月31日(金) エクスポート希望申請期限:2020年1月31日(金) 終了日以降は、はてなグループの閲覧および投稿は行えません。日記のエクスポートが必要な方は以下の記事にしたがって手続きをしてください。 はてなグループに投稿された日記データのエクスポートについて - はてなグループ日記 ご利用のみなさまにはご迷惑をおかけいたしますが、どうぞよろしくお願いいたします。 2020-06-25 追記 はてなグループ日記のエクスポートデータは2020年2月28
イタリアのJoomla!を使用している複数のサイトにおいて、悪意あるサイトに誘導するためのJavaScriptを注入されるという攻撃が発生したようですが、そのときに埋め込まれるJavaScriptが、jjencode によって難読化されたものだったようです。 Italian compromised sites extraexploit: dollars javascript code – yet another Javascript obfuscation method for cc frauds 実際に攻撃を受けたサイトのHTMLソースは以下のような感じ。jjencode によって生成された記号JavaScriptが埋め込まれています。 jjencodeによる難読化コードを、このような形で攻撃に利用することは、実際には攻撃者側にとってはあまり効果がないのではないかと思います。理由は以下の
先日、なかなか強烈なXSS攻撃手法が公開されていました。 DNSへの問い合わせ結果にJavaScriptを埋め込んでしまおうというものです。 SkullSecurity: Stuffing Javascript into DNS names DarkReading: Researcher Details New Class Of Cross-Site Scripting Attack nCircle: Meta-Information Cross Site Scripting (PDF) 自動生成されるWebページ中に、DNSによる名前解決結果がエスケープされない状態で含まれていると、JavaScriptが実行されてしまうという仕掛けです。 「hogehoge.example.com」が本来ならば「198.1.100.3」というようなIPアドレスが結果として返るところを、DNSに細工を行っ
【お知らせ】 9 月 21 日午後 11 時頃、公式サイドから脆弱性が修正されたとの発表がありました。 はじめに 2010 年 9 月 21 日、ツイッターで深刻な脆弱性(ぜいじゃくせい)が発見され、被害が広がっています。これが何なのか、簡単に説明します。 JavaScript とマウスオーバーイベント まず、下のピンク色の枠内にマウスカーソルをすべらせてみてください。 この枠の中をマウスカーソルで触って! どうでしたか。「触ってくれてありがとう!」というメッセージが表示されましたね。 このように、ウェブページには簡単なプログラムを仕込むことができます。どのウェブブラウザー(皆さんがウェブを見る時に使うソフトウェア。インターネットエクスプローラーなど)でも共通で使える「JavaScript (ジャバスクリプト)」という言語が一般的に使われています。 今回は、ページ上のある部分にマウスカーソ
NTTドコモとソフトバンクモバイルは、フィーチャーフォン(いわゆるガラケー)にてJavaScriptの対応を始めています。JavaScriptに対応すると、クロスサイト・スクリプティング(XSS)脆弱性の懸念が高まりますが、両社は独自の手法によりXSS対策をしている(しようとしている)挙動が観測されましたので報告します。この内容は、オレ標準JavaScript勉強会でネタとして使ったものです。 NTTドコモに学ぶ「XSS対策」まず、サンプルとして以下のようなXSS脆弱なスクリプトを用意します。 <?php session_start(); ?> <body> こんにちは<?php echo $_GET['p']; ?>さん </body>これを以下のURLで起動すると、IE7では下図のような表示になります。 []http://example.com/xss01.php?p=山田<scrip
週末にあったsmpCTFのまとめ記事です。そこからexploitmeを作る話が盛り上がっていきます。盛り上がったので長いです。海外だといろいろなジャンルのやられアプリケーションやサーバーが出ていますが、日本語の解説がないのでいろいろ大変なので、本当にできたらいいなあ。 doiphin: smpCTFのまとめ記事書いた。時間かけすぎた。 http://d.hatena.ne.jp/Dltn/20100712/1278911653 ucq: おい、chg1解けなかったのはバグのせいだったのかよw 問題の取得まで自動化したのに・・・ ucq: Exploitの解説って需要あるのか。 doiphin: @ucq exploitme みたいなものがあると面白そう。 @eagle0wl さんのcrackmeのように。 eagle0wl: @doiphin 実は企画中です。何年も前からw RT @ucq
YouTubeの脆弱性が悪用され、ショッキングなデマが流れたり、コメントが表示されなくなるなどの影響が広がった。 動画共有サイトの米YouTubeを狙った攻撃が発生し、ショッキングなデマが流れたり、コメントが表示されなくなるなどの影響が広がった。7月4日から5日にかけて、米セキュリティ機関のSANS Internet Storm Centerや英Sophosなどが伝えた。 それによると、この攻撃ではYouTubeのコメントシステムに存在するクロスサイトスクリプティング(XSS)の脆弱性が悪用された。この影響でコメントが表示されなくなったり、画面に「ニュース速報:(歌手の)ジャスティン・ビーバーが交通事故で死亡」というデマがポップアップ表示されるなどの被害が広がった。ほかにも不正なポップアップが出たり、悪趣味なWebサイトにリダイレクトされたりするケースが相次いだという。 Googleは攻撃
IBM Application Security Insider The IBM Application Security Insider is a blog devoted to dissecting today’s latest industry trends, observations and evolving threats in the growing web application security industry. The IBM AppScan portfolio provides web application security and compliance solutions that pinpoint vulnerabilities and helps manage the process of fixing them. Background I recently
Licence, Programming, PHP, Security 最近やっと春休みに突入することができたので、4月17日に実地される情報セキュリティスペシャリスト試験の勉強を始めたのですが、情報処理教科書 情報セキュリティスペシャリスト 2010年度版 を読み進めるだけでは、何一つとして面白くは無く、書いてあることも国家試験の性質上、抽象的な事ばかりだったりするので、それも面白みの無さに拍車をかけ、勉強に対する意欲や集中力が残念なことに持続しません。 そこで、より興味を持ちやすい具体的な事柄を勉強するべく、実際に実行に移すのは難しいISMS(情報セキュリティマネジメントシステム)関連やハードウェアの導入等を必要としない、実行に移すための敷居が低いWebアプリケーションに関するセキュリティ対策を、最近、授業で覚えたPHPを用いて、情報セキュリティスペシャリスト試験の勉強も兼ねて行ってい
公開: 2010年2月28日1時10分頃 とあるサイトでXSS脆弱性らしきものを発見。いつもはこんな感じの3段階で脆弱性を確認しています。 「"><s>test」を入れて打ち消し線が出ることを確認する「"><script>alert(document.cookie)</script>」を入れてみる。IE8ではXSSフィルタで蹴られるが、ソース上に<script>が出ていることを確認する (「<script>」という文字列だけ消す、というような処理があるかどうか確認するため)実際にスクリプトが動作することを確認最後に実際にスクリプトの動作を確認するわけですが、IE8ではXSSフィルタを無効にしなければならず、それが非常に面倒くさいです。Firefoxの場合、NoScriptを入れているとやっぱりXSSフィルタが効いてしまいます。というわけで、XSSフィルタのないGoogle Chromeを使
■ tDiary 2.2.3リリースと脆弱性のお知らせ すでに今朝、オフィシャルサイトの方に出したのでお知らせだけ。tDiary 2.2.2(またはそれ以前)に付属のtb-send.rbプラグインにXSS脆弱性が見つかったので、2.2.3を出しました。 tDiary 2.2.3リリース tDiaryの脆弱性に関する報告 (2010-02-25) tDiary 2.2 + tb-send.rb + IE7による更新という、けっこう絞られた環境でしか発現しないので、必要に応じてアップデートして下さい。というか、もうTrackBackなんて使わなくていいんじゃね、という気もするけど、最近はどうなんですかね。おれはもう、2年くらい送ってない気がする。 謝辞にはないが、hsbtには、現在自宅警備員なのをいいことに、確認用のIE7を用意してもらうなど、いろいろ助けてもらった。ありがとう。 (EUC-J
Web日記支援システムtDiaryにおいて、クロスサイトスクリプティング(XSS)脆弱性が発見されました。脆弱性が発現する環境が限定的なので、以下の説明を読み、対象の環境をお使いの方は早急な対応をお願いします。 対象 この問題が存在するtDiaryは以下のバージョンです。 tDiary 2.2.2 およびそれ以前 (フルセットおよびプラグイン集) 上記バージョンのtDiaryを使い、さらに以下の条件をすべて満たした場合に発生します。 tb-send.rbプラグインが有効になっている Microsoft Internet Explorer 7 (IE7)を使っている (トラップとなるURLを経由して)日記を更新する 問題が発現するブラウザに制約があり、現在のところ確認されているのはIE7を使って日記を更新する場合のみになります(これより古いブラウザでも発生する可能性がありますが、開発元では確
错误摘要 HTTP 错误 404.0 - Not Found 您要找的资源已被删除、已更名或暂时不可用。
追記: 下記のXSSは修正された。修正前は下記のURLにアクセスすると <link rel="alternate" type="application/rss+xml" title="RSS2.0" href="http://live.nicovideo.jp/recent/rss?tab=&sort="><script>alert("XSS");</script><meta id="&p=1" /> のようになっていた。追記ここまで。 ttp://live.nicovideo.jp/search?sort="><script>alert("XSS");</script><meta id="Firefox等、Opera等ではアラートが表示されるが、WebKitのnightlyでは表示されない。原因を調べたら、どうやらこれはWebKitに搭載されたXSS対策の機能のようだ。 Refused
XSS (Cross Site Scripting) Cheat Sheetなど、いろいろあるXSS対策まとめページで、しばしば、alert('XSS')の方法の変種について書いてあります。このページでも同様で、String.fromCharCodeを使えば、悪意ある文字列を仕込むときに引用符を使わなくてもいいじゃん?みたいなことが書いてあります。このほか、/xss/.sourceを使えるとかの解説も世に多いわけです。 でもちょっと待って!alert(/XSS/.source)や、alert(String.fromCharCode(88,83,83))などのバリエーションなぞ、本物の攻撃者はあんまり使わないんじゃないかな?どうです?…というのは、alert(0)が出来たらそれで終わりじゃないの?という気がするからです。文字列をalertじゃなくて、数字がalertできたらほとんど攻撃成立じ
IE8のXSSフィルタは、WebアプリにXSS脆弱性があったとしても、それが発動する可能性を減らしてくれるものです。 しかし、そのXSSフィルタが裏目に出るようなこともあります。 例えば、以下のような静的なHTMLファイル(test.html)を作ってWebサーバにおきます。 <h3>ie8 test</h3> <!-- 1 --> <script> var u=document.URL; </script> <!-- 2 --> <script> u=u.replace(/&/g,'&').replace(/</g,'<'); </script> <!-- 3 --> <script> document.write('URL:'+u); </script> 上のページは静的なページで、DOM Based XSSの脆弱性もありません。ですが、被害者のユーザがIE8を使っている
公開: 2024年3月6日15時15分頃 「はてなブックマーク - 404 Blog Not Found:javascript - から数字と記号以外の文字を取り除く (b.hatena.ne.jp)」のブックマークコメントで、dankogaiさんがこのようなコメントを書かれています。 今はできませんが、実は少し前まではできていたのですよね。 私がはてなブックマークを使い始めたころの話。about:blank という URI がブックマークできることを知った私は、沢渡真雪さん (www.misuzilla.org)とこんな会話をした記憶があります。 「about:blankがブックマークできるんだ……ってことは他のabout:系もブクマできるんですかね?」「about:blankだけですね。そういうネタみたいですよ」「じゃあ、もちろんjavascript:なURLもブクマできないですよね」
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く