Disclosure of a vulnerability that allows the theft of visitors' email addresses using Medium's custom domain feature / Mediumの独自ドメインプランを使って訪問者のメールアドレスが窃取できる脆弱性の開示
0_medium_vuln_en.md Disclosure of a vulnerability that allows the theft of visitors' email addresses using Medium's custom domain feature Author: mala Introduction This article describes a vulnerability in a web service called Medium that allows you to steal visitors' e-mail addresses by using custom domain plan of Medium. This is done as my personal activity and is not related to my organization.
暮らしに役立つITコラム ChromeやSafariの自動入力機能が、なぜ「悪いデザイン」なのか
autofill_ui.md 見た目の上で、隠されているフィールドに対しても自動入力してしまうという問題が話題になっている(2017年1月) https://github.com/anttiviljami/browser-autofill-phishing のだけれど、この問題の歴史はとても古い。自分も調査したり問題を報告したりしているので、振り返ってみる。 2012年の話 2012年4月のShibuya.XSS #1 https://atnd.org/events/25689 で、Hamachiya2が発表した http://hamachiya.com/junk/x-autocompletetype.php この問題に関連して「手の込んだクリックジャッキング」を使って情報を盗み出すデモを作った。 https://plus.google.com/112675818324417081103/
サンドボックスドメイン上に書き込まれたcookieを使ったWeb訪問履歴漏洩やfingerprintingについて
00.md 要約 サンドボックスドメイン上に記録されたcookieを使って、ユーザーの限定的な訪問履歴を取得したり、検索キーワードを取得することが可能です。 検索エンジンや翻訳サービスなどで、他のサイトのコンテンツをproxyして表示する機能があると、単独では問題がないJavaScriptによるcookieを読み書きするコードが、同一のdomain上で実行されることになり影響が大きくなる場合があります。 4年前に報告したものですが、今でも影響があり、多くのサービスは未対策または対策が不完全です。 対策 proxyする事業者むけ: JavaScriptからcookieが無効化されているブラウザのように振る舞うように document.cookie をHackする http://subtech.g.hatena.ne.jp/mala/20120709/13418196 4年前だと古いブラウザで
responseURLに対応していないライブラリを使っているときにクロスドメイン通信を無理やり止める
cors_killer.js 0�Yw�U `�Nw�U // responseURLに対応していないライブラリを使っているときにクロスドメイン通信を無理やり止める // https://github.com/jquery/jquery/pull/1615 // responseURL // https://bugzilla.mozilla.org/show_bug.cgi?id=998076 // https://bugs.chromium.org/p/chromium/issues/detail?id=377583 // https://bugs.webkit.org/show_bug.cgi?id=136938 new function(){ var base = location.origin; var orig = XMLHttpRequest.prototype; ["resp
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
CSRF対策用トークンの値にセッションIDそのものを使ってもいい時代なんて、そもそも無かった
Flashと特定ブラウザの組み合わせでcross originでカスタムヘッダ付与が出来てしまう問題が未だに直っていない話
私が考える安全なプログラムを書くために必要なこと