機密情報を含むJSONには X-Content-Type-Options: nosniff をつけるべき - 葉っぱ日記
WebアプリケーションにおいてJSONを用いてブラウザ - サーバ間でデータのやり取りを行うことはもはや普通のことですが、このときJSON内に第三者に漏れては困る機密情報が含まれる場合は、必ず X-Content-Type-Options: nosniff レスポンスヘッダをつけるようにしましょう(むしろ機密情報かどうかに関わらず、全てのコンテンツにつけるほうがよい。関連:X-Content-Type-Options: nosniff つかわないやつは死ねばいいのに! - 葉っぱ日記)。 例えば、機密情報を含む以下のようなJSON配列を返すリソース(http://example.jp/target.json)があったとします。 [ "secret", "data", "is", "here" ] 攻撃者は罠ページを作成し、以下のようにJSON配列をvbscriptとして読み込みます。もちろ
これは便利！Mac OSX/Linuxで動くIE7〜9のVirtualBox用仮想イメージを作成·ievms MOONGIFT
ievmsはMicrosoftが提供するIE動作検証用Virutal PC向け仮想イメージをVirutalBox向けに変換するソフトウェアです。 IEで見たWebサイトの確認をしたいと思ったらWindows機が必要です。さらにIE7/8/9と各バージョンを用意しなければなりません。そんなのは面倒だ！というMac OSX/Linuxユーザの方は今すぐievmsを実行しましょう。ievmsはIE7〜9のVirtualBox用の仮想イメージを作成してくれるソフトウェアです。 インストール中です。数GB以上あるものばかりでかなりの時間を要します。 とりあえずIE7とIE8の仮想イメージができあがりました。VirtualBoxで確認できます。早速起動してみます。 Windows7が使われています。なお最初の起動時にライセンスが切れていましたがオンライン認証で通りました。 アクティベート後、再起動すれ
はてなグループの終了日を2020年1月31日(金)に決定しました - はてなの告知
はてなグループの終了日を2020年1月31日(金)に決定しました 以下のエントリの通り、今年末を目処にはてなグループを終了予定である旨をお知らせしておりました。 2019年末を目処に、はてなグループの提供を終了する予定です - はてなグループ日記 このたび、正式に終了日を決定いたしましたので、以下の通りご確認ください。 終了日: 2020年1月31日(金) エクスポート希望申請期限:2020年1月31日(金) 終了日以降は、はてなグループの閲覧および投稿は行えません。日記のエクスポートが必要な方は以下の記事にしたがって手続きをしてください。 はてなグループに投稿された日記データのエクスポートについて - はてなグループ日記 ご利用のみなさまにはご迷惑をおかけいたしますが、どうぞよろしくお願いいたします。 2020-06-25 追記 はてなグループ日記のエクスポートデータは2020年2月28
X-Content-Type-Options: nosniff つかわないやつは死ねばいいのに! - 葉っぱ日記
2011-01-06: IE8ということを追記 & ちょっと間違いを修正。あけましておめでとうございます。 年明け早々ですが、Internet Explorerの話題です。IEはご存じの通り、Content-Type だけでなくコンテンツの内容なども sniff することでファイルタイプを決定しているため、画像ファイルやテキストファイルをHTMLと判定してしまい、クロスサイトスクリプティングが発生することが昔からたびたび報告されていました*1。現在は幾分マシになったとはいえ、IEのファイルタイプの判定アルゴリズムは非常に難解であり、現在でも状況によってはWebサイト運営者のまったく意図していないかたちでのXSSが発生する可能性があったりします。そういうわけで、IEがコンテンツを sniff してHTML以外のものをHTML扱いしてしまうことを防ぐために、動的にコンテンツを生成している場合に
IE9 Beta のマイナーな変更点リスト - 葉っぱ日記
Eric Lawrence さんから、IE9 Beta Minor Changes List - EricLaw's IEInternals - Site Home - MSDN Blogs の翻訳の許可をもらったので訳してみました。間違い等あれば教えてください。 ブラウザの各リリースにおいて我々が行う様々な機能の追加変更のほとんどは、IEBlog の投稿において読むことができます。しかしながら、我々は同時に、見落とされがちな、あるいはあまり広くは知られていないような多数の小さな改善も行っています。この記事では、それらの小さな改善のうち私が興味深いと考えるものについてピックアップしてみます。影響を与える改善点やこれまでにこのブログ上で議論された機能などは、BetterInIE9 を検索することにより見つかります。 もちろん、私が把握していない何千もの変更があるので、これを包括的なリストと誤
SSL 接続における証明書関連のお問い合わせについて - Japan IE Support Team Blog - Site Home - TechNet Blogs
If you were looking for MSDN or TechNet blogs, please know that MSDN and TechNet blog sites have been retired, and blog content has been migrated and archived here. How to use this site Archived blogs are grouped alphabetically by the initial letter of the blog name. Select the initial letter from the TOC to see the full list of the blogs. You can also type the name of the blog or the title of the
「IE6は9年前の腐った牛乳」――Microsoftがアップグレード呼び掛け
9年前にリリースされたInternet Explorer（IE）6を使うのは、9年前の腐った牛乳を飲むようなものだ――Microsoftの豪法人が、Webブラウザのアップグレードを促すキャンペーンを実施している。 「IE6は2001年にリリースされたときは、最新のセキュリティ機能を備えていた。その後インターネットは進化し、IE6のセキュリティ機能は時代遅れになった」。Microsoftはキャンペーン特設サイトでこのように述べ、新しいセキュリティ機能を備えたIE8への乗り換えをIE6ユーザーに勧めている。 特設サイトでは、オンライン詐欺やWebブラウザのセキュリティに関する調査結果や、IE8のセキュリティ機能を紹介し、オンライン詐欺から身を守るためにIE8に乗り替えようと呼び掛けている。また「知り合いにIE6を使っている人がいたら教えてほしい」と、友人の名前とメールアドレスを提供するよう呼び
第2回 UTF-7によるクロスサイトスクリプティング攻撃［後編］ | gihyo.jp
前回に引き続き、UTF-7によるクロスサイトスクリプティング（XSS）について説明していきます。 UTF-7によるXSSは、攻撃対象のコンテンツの文字エンコーディングが不明瞭な場合に、そのコンテンツを被害者のブラウザ（Internet Explorer）で開いたときに、そのコンテンツの文字エンコーディングがUTF-7であるとIEに誤認させ、「+ADw-script+AD4-」のようなUTF-7の文字列が有効なHTML要素として認識されるために発生します。 そして、「文字エンコーディングが不明瞭」な具体的な状況として、以下のような条件のいずれかに該当するということを前回説明しました。 レスポンスヘッダ、meta要素のどちらでもcharsetが指定されていない charsetにIEが解釈できないエンコーディング名が指定されている meta要素でcharsetを指定しているときに、meta要
教科書に載らないWebアプリケーションセキュリティ 第1回 ［これはひどい］IEの引用符の解釈 − ＠IT
XSSにCSRFにSQLインジェクションにディレクトリトラバーサル……Webアプリケーションのプログラマが知っておくべき脆弱性はいっぱいあります。そこで本連載では、そのようなメジャーなもの“以外”も掘り下げていきます（編集部） 小さな話題が面白い 皆さん、はじめまして。はせがわようすけと申します。 「教科書に載らないWebアプリケーションセキュリティ」ということで、Webアプリケーションのセキュリティに関連する、普段あまり見掛けないような小さな話題を取り上げていきたいと思います。 セキュアなWebアプリケーションを実現するために、開発者の方だけでなく、Webアプリケーションの脆弱性検査を行う方々にも読んでいただきたいと思っています。重箱の隅を楊枝でほじくるような小さな話題ばかりですが、皆さんよろしくお願いします。 さて第1回は、Internet ExplorerがHTMLを解釈する際の引用
［これはひどい］IEの引用符の解釈
セキュリティ上の問題 さて、このバッククオーテーションの扱いがセキュリティに及ぼす影響ですが、典型的には次のようなコードの場合に問題が発生します。 <div id="div1"> <input type="text" value="ここに攻撃者の指定した文字列が挿入可能"> …… （1） </div> <div id="div2"> </div> <script> document.getElementById( "div2" ).innerHTML = document.getElementById( "div1" ).innerHTML; …… （2） </script> Webアプリケーション側で生成したHTMLの一部を、JavaScriptのinnerHTMLを利用して複製しています。このとき、例えば攻撃者がvalue属性に「``onmouseover=alert(1)」のような文
IE向けサイトをFirefoxで表示可能にする「IE Tab」 | OSDN Magazine
Firefoxは、Webページの閲覧に関してInternet Explorer（以下、IE）の数倍速いと言われる軽快なタブブラウザだが、残念なことにきちんと表示できないページも存在する。中でも多く見られるのが、IEでなければ閲覧すらできないものだ。例えば、Yahoo!動画やGyaoなどの動画サイトで「お使いの環境では、動画をご視聴いただけません」といったメッセージが出てしまい、肝心な動画の視聴ができない。その際、いちいちIEを立ち上げるのも面倒だし、IEからFirefoxへ乗り換えた人などは、そのためだけにIEを起動させたくないという場合もあるかもしれない。しかし、IEでないと、うまく表示されないのだから仕方がない。あきらめて、そういう時だけIEを立ち上げているFirefoxユーザーも多いのではないだろうか。 実はFirefoxには、そういう時のためのアドオンがある。これさえ使えば、いちい
IEBlog : IE8 Security Part IV: The XSS Filter - 葉っぱ日記
IEBlog : IE8 Security Part IV: The XSS Filter について、記事を書いた David Ross さんに翻訳許可をもらいましたので、訳してみました。誤訳や指摘がありましたらガンガン突っ込みをお願いいたします(他の記事も時間をとって訳していこうと思います)。当然ながら、これは私が私的に訳したものであり、Microsoftによる公式な翻訳/見解ではありません。 (訳注追加) 「reflected / Type-1 XSS」というのは、攻撃コードが被害者からのリクエスト自身に含まれるタイプのXSSで、サーバ側のアプリケーションでユーザからのリクエストに含まれる攻撃コードを「反射的」に返すような種類のXSSです。典型的には「"><script>...」のような語を検索したときに <input type="text" value=""><script>..."
Microsoft ダウンロード センター: Windows、Office、Xbox、その他
すべての Microsoft 製品GlobalMicrosoft 365TeamsWindowsSurfaceXboxセール法人向けサポート ソフトウェアWindows アプリAIOneDriveOutlookSkypeOneNoteMicrosoft TeamsPC とデバイスXbox を購入するアクセサリVR & 複合現実エンタメXbox Game Pass UltimateXbox Live GoldXbox とゲームPC ゲームWindows ゲーム映画とテレビ番組法人向けMicrosoft CloudMicrosoft SecurityAzureDynamics 365一般法人向け Microsoft 365Microsoft IndustryMicrosoft Power PlatformWindows 365開発者 & IT デベロッパー センタードキュメントMicrosof
GoogleスプレッドシートのA1セルにHTMLを書いてCSVで保存すると… | エンタープライズ | マイコミジャーナル
Google Docsスプレッドシートの最初のセルにHTMLを書いてCSVで保存すると… Google Docsには今のところワードプロセッサ、スプレッドシート、プレゼンテーションの3つのアプリケーションが用意されているわけだが、うちスプレッドシートアプリケーションにIEに関連した興味深い脆弱性があることが発覚した。これはセキュリティエンジニアのBilly Rios氏によって発見されたもの。すでに同脆弱性は修正されているが、Gmailのクロスサイトリクエスト偽装のときのように注意しておくべき内容だ。 この脆弱性(クロスサイトスクリプティング)を利用された場合、攻撃者はGoogleが提供しているGmailやGoogle Code、Google Docsのほかのサービスなど許可されていないサービスへのアクセスが原理的に可能になる。これはIEがContent-Typesの指定されたコンテンツの解
IE7とIE6を共存させる方法：まとめ
IE 7の自動アップデートに伴ってだと思うのですが、当サイトで紹介した「IE7とIE6の共存」シリーズのアクセスが増えているので、既存のエントリーをまとめました。 リンク先や手順などは以前紹介した方法ではなく、最新のものになっています。 IE7をベースに、IE6をスタンドアローンで起動する方法：その１ IE7をベースに、IE6をスタンドアローンで起動する方法：その２ IE6をベースに、IE7をスタンドアローンで起動する方法 Virtual PCを使用して、IE6 or 7を起動する方法 追記： スタンドアローンは、Windows XPが対象になります。 Vistaの場合は、Virtual PCを使用します。 IE7をベースに、IE6をスタンドアローンで起動する方法：その１ IE7をダウンロードして、インストールします。 日本語版「Internet Explorer 7」のダウンロード IE
ひがやすを blog - [Seasar]なぜSuper Agileなのか
デブサミ-VisualBasic, Delphiから10分でJava+Flex2にポーティング http://d.hatena.ne.jp/higayasuo/20070118#1169099987 この前のJavaナイトセミナーでSeasar2がなぜSuper Agileなのかをしゃべりました。その資料が公開されています。 http://www.iajapan.org/bukai/java/event/2007/0124/JNS_02.pdf 資料だけだと十分に伝わらないと思いますが､興味のある方はご覧ください。強い型付けの言語が好きなんだけど､最近のJavaってLLにめちゃめちゃ遅れをとっているよねー、Javaってだめなのかなーって思っている人向けです(笑)。 何人かの方に感想を書いていただきました。ありがとうございます。m(_ _)m http://d.hatena.ne.jp/to
![ひがやすを blog - [Seasar]なぜSuper Agileなのか](https://cdn-ak-scissors.b.st-hatena.com/image/square/06a15c64ba0ceec233d86d71001ebb29a9dcbf5d/height=288;version=1;width=512/https%3A%2F%2Fcdn.blog.st-hatena.com%2Fimages%2Ftheme%2Fog-image-1500.png)
【特集】正式版完全対応! Internet Explorer 7 CSS攻略法 (1) 01 はじめに IE7日本語正式版のCSS実装を検証する (MYCOMジャーナル)
Internet Explorer 7日本語正式版 Internet Explorer 7(IE7)の日本語正式版がリリースされた。現在はまだダウンロードしてインストールする必要があるが、2007年4月をめどに、Windowsの自動アップデートで「優先度の高いアップデート」として配布される予定だ。「IE7ではWebページの表示が崩れる」といった問題が出る場合、それまでには対応を済ませておきたい。 そこで本稿では、IE7 beta2のCSS実装検証を元に、IE7日本語正式版における変更点やバグをまとめる。また、IE6以下との下位互換やモダンブラウザとの互換性を保ちながらバグを回避する方法、CSSハックについても検証する。 新規対応機能一覧 未対応機能一覧 修正済みバグ一覧 未修正バグ一覧 CSSハック一覧 参考 CSS実装徹底検証! そこが知りたいInternet Explorer 7 なお
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
［無視できない］IEのContent-Type無視
まっちゃ４４５勉強会に行ってきました - 葉っぱ日記
IE7日本語版を自動更新で誤配布、マイクロソフトが操作ミスで