SMS OTPの自動入力によるリスクとその対策 - Akaki I/O
フィッシングサイトへの自動入力のリスク SMS OTPとWebサイトが紐付かない状態では、正規のSMS OTPがフィッシングサイトへ自動入力されるリスクが生じる。現実的なリスクとして、GutmannらはMITMと組み合わせた「ログインにおける2要素認証の回避」と「ソーシャルログインの偽装による電話番号確認の回避」、「オンライン決済における取引認証の回避」の3つのシナリオを示している⁷。2要素認証の回避につながるリスクは、iOSの自動入力がPayPayの偽サイトで発動した前回の検証で確認している。今回の検証ではAndroidの自動入力がPayPalの偽サイトで発動するか確認する。 2要素認証の回避 PayPalの偽サイトは前回と同様にMITMフィッシングフレームワーク「Evilginx2」で複製し、一般利用者が誤ってアクセスしないようインバウンド接続を制御した。Android 11のChro
安全な文字列であると型で検証する Trusted Types について | blog.jxck.io
Intro 脆弱性の原因となる DOM 操作の代表例として elem.innerHTML や location.href などが既に知られている。 こうした操作対象(sink) に対して、文字列ベースの代入処理を行う際に、一律して検証をかけることができれば、脆弱性の発見や防止に役立つだろう。 そこで処理前の文字列に対し、処理後の文字列を安全であるとして明示的に型付ける TrustedTypes という提案がされている。 まだ未解決の部分が多い提案だが、現時点での仕様と実装を元に、このアイデアについて解説する。 WICG/trusted-types Intent to Experiment: Trusted Types Sink XSS などの原因となる DOM 操作として、DOM に直接文字列を展開する処理がある。 element.innerHTML location.href scrip
Upgrade-Insecure-Requestsを使ってmixed-contentをだいたい直す - hitode909の日記
ブログをHTTPS化するとHTTPのリソースは読み込めなくなってしまう． http://example.com あらため https://example.com/ みたいにドメインはそのままでhttpからhttpsに置換するだけでアクセスできるなら，Upgrade-Insecure-Requestsを使うと簡単． 詳細設定→headに要素を追加 に以下を貼れば完成する． <meta http-equiv="Content-Security-Policy" content="upgrade-insecure-requests"> 対応しているブラウザで，かつサイト側がHTTPSでの通信を受け付けていたら，HTTPへのリクエストをHTTPSに書き換えてくれる． IEやedgeは対応していないので，IEやedgeでも見てる人が多いブログなら，手で記事内のURLを書き換えたほうが，手間なかわりに喜
Target="_blank" - the most underestimated vulnerability ever
Target="_blank" - the most underestimated vulnerability ever by Alex Yumashev · Updated Aug 25 2021 People using target='_blank' links usually have no idea about this curious fact: The linked page gains partial access to the linking page via the window.opener object. The newly opened tab can then change the window.opener.location to some phishing page. Users trust the page that is already opened,
GitHub - cure53/HTTPLeaks: HTTPLeaks - All possible ways, a website can leak HTTP requests
You can use this to test your browser for CSP leaks, your web-mailer for HTTP leaks and everything else that is not supposed to send HTTP requests to where the sun won't shine. With "HTTP Leak", we are essentially referring to a situation, where a certain combination of HTML elements and attributes cause a request to an external resource to be fired - when it should not. Think, for example, of the
formタグを利用したtoken奪取 - ma<s>atokinugawa's blog
スクリプトの実行はできない（XSS対策されている）し、tokenは導入されている（CSRF対策されている）のに、tokenを奪取され、不本意な操作をされてしまう例というのを1つ、やってみたいと思います！ 実証だニャン！ http://d.hatena.ne.jp/kinugawamasanyan/20101012/nyan 原理 こういうフォームがあったら、submitボタンを押下した時にtokenの値がA、Bどっちにポストされるでしょうか。 <form action="A" method="post"> <form action="B" method="post"> <input type="hidden" name="token" value="123123123"> <input type="submit"> </form> 答えはAです。 つまり本来設置されたフォームより前に別のf
別オリジンの画像を持つ <img> と <canvas> の使用 - HTML | MDN
HTML では画像に crossorigin 属性を提供し、適切な CORS ヘッダーと組み合わせることで、 <img> 要素で定義されている他のオリジンから読み込まれた画像を、 <canvas> の中で現在のオリジンから読み込まれた画像であるかのように扱うことができます。 crossorigin 属性の使い方については CORS 設定属性をご覧ください。 セキュリティと汚染されたキャンバス キャンバスのビットマップ内のピクセルは様々なソース、例えば他のホストから受け取った画像や動画などから来ることもありますが、セキュリティの問題が発生することが避けられません。 CORS による許可なしに他のオリジンから読み込んだ何らかのデータをキャンバスに描画すると、キャンバスは汚染 (taint) されてしまいます。汚染されたキャンバスは安全とみなされなくなり、そのキャンバスから画像データを取得しよう
Xframeoptions
AVTokyo2011 Web-talk資料 X-Frame-Options 覚書 hoshikuzu|star_dust ※スッカスカ資料ですみません
はてなグループの終了日を2020年1月31日(金)に決定しました - はてなの告知
はてなグループの終了日を2020年1月31日(金)に決定しました 以下のエントリの通り、今年末を目処にはてなグループを終了予定である旨をお知らせしておりました。 2019年末を目処に、はてなグループの提供を終了する予定です - はてなグループ日記 このたび、正式に終了日を決定いたしましたので、以下の通りご確認ください。 終了日: 2020年1月31日(金) エクスポート希望申請期限:2020年1月31日(金) 終了日以降は、はてなグループの閲覧および投稿は行えません。日記のエクスポートが必要な方は以下の記事にしたがって手続きをしてください。 はてなグループに投稿された日記データのエクスポートについて - はてなグループ日記 ご利用のみなさまにはご迷惑をおかけいたしますが、どうぞよろしくお願いいたします。 2020-06-25 追記 はてなグループ日記のエクスポートデータは2020年2月28
List of ways HTML can download a resource
Recently two different projects required compiling a list of ways to trigger a download through HTML: Resource Timing and Preload Scanner optimization. There's no centralized list in the WebKit source nor did a web search turn one up. So in hopes it may be useful to others, here's what I was able to come up with. Please let me know what I forgot (note that ways to download through CSS, JS, SVG and
window.name - Enjoy*Study
このままだとwindow.nameが可愛そうな気がしたので、出来る限りのフォローを。(コメントだと書ききれないので、エントリにさせていただきました) これは脆弱性かな？ - でっていうぶろぐ@hatena window.name(グローバルなスコープだとthis.nameも同じ)は、名前のとおりそのままウインドウの名前を表すものであり、ページ遷移したとしてもウインドウ自体が変わるものではないので、クリアされないことに(今は)違和感はありません。(初めて知ったときはびっくりしました) 逆にクリアされてしまったら、何かと弊害がありそうな気がしてます。 まず、、window.nameは、どういったときに設定されるかっていうと、アンカーやフォームでtargetを指定してURLを開くと、開いたウインドウのwindow.nameはtargetで指定した名前が設定されます。(ただし、_blank を指定
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
CVE-2023-29008 - GitHub Advisory Database
Add allow-top-navigation-to-custom-protocols CSP sandbox value by gapple · Pull Request #17041 · mdn/content
Hide `nonce` content attribute values. (#2369) by mikewest · Pull Request #2373 · whatwg/html
GitHub - w3c/trusted-types: A browser API to prevent DOM-Based Cross Site Scripting in modern web applications.
Reactでaタグの中にtarget='_blank'を書いたらESLintに怒られた話 - Qiita
156625 – Remove support for X-Frame-Options in `<meta>`
Child browsing context names leak across origins by annevk · Pull Request #544 · whatwg/html
Amazon.com: Security for Web Developers: Using JavaScript, HTML, and CSS: Mueller, John Paul: Books
https://cure53.de/xfo-clickjacking.pdf