[B! Twitter][javascript] decoy2004のブックマーク

decoy2004 id:decoy2004

Twitterとjavascriptに関するdecoy2004のブックマーク (2)

昨日騒ぎになったTwitterのXSS脆弱性によって実際に受けそうな被害とその対策 - monjudoh’s diary
何が出来るのかどんな脆弱性かの詳細はこちらを参照2010 年 9 月 21 日現在のツイッターのバグ(脆弱性)について外部JavaScriptを読み込むコードを仕込めたので、どんなJavaScriptでも実行できる状態でした。以下、JavaScriptの実行によってTwitter上で出来る事。セッションハイジャック JavaScriptからcookieを参照できるのでログイン状態のセッションIDも参照できます。また、任意のJavaScriptが実行できる以上、参照したセッションIDを攻撃者のサーバ等に送信することも出来ます。攻撃者は奪ったセッションIDをcookieに設定すれば、被害者のアカウントでtweet,direct messageの閲覧・送信が出来ます。確認してみたところ、ログイン状態のセッションIDはログアウトしても無効にはなりません。設定→パスワードからパスワ
decoy2004 2010/09/23
セッションハイジャックされてたらログアウトしても無駄なので、

twitter

xss

javascript
リンク
2010 年 9 月 21 日現在のツイッターのバグ(脆弱性)について
【お知らせ】 9 月 21 日午後 11 時頃、公式サイドから脆弱性が修正されたとの発表がありました。はじめに 2010 年 9 月 21 日、ツイッターで深刻な脆弱性(ぜいじゃくせい)が発見され、被害が広がっています。これが何なのか、簡単に説明します。 JavaScript とマウスオーバーイベントまず、下のピンク色の枠内にマウスカーソルをすべらせてみてください。この枠の中をマウスカーソルで触って! どうでしたか。「触ってくれてありがとう!」というメッセージが表示されましたね。このように、ウェブページには簡単なプログラムを仕込むことができます。どのウェブブラウザー(皆さんがウェブを見る時に使うソフトウェア。インターネットエクスプローラーなど)でも共通で使える「JavaScript (ジャバスクリプト)」という言語が一般的に使われています。今回は、ページ上のある部分にマウスカーソ
decoy2004 2010/09/22
ツイッターのバグ(不具合)を利用して JavaScript を仕込む方法が発見されたようです。公表されました

twitter

javascript

xss
リンク
1