iモードブラウザ2.0のJavaScript « mpw.jp管理人のBlog

先日のソフトウェアアップデートで、iモードブラウザ2.0のJavaScriptが再び有効化されました。そして、mpw.jpでもiモードブラウザ2.0のJavaScriptに関して調査・検討を始めました。 まだその途上ではありますが、これまでに気づいたことを記述したいと思います。 XMLHttpRequestオブジェクトのsetRequestHeaderメソッドの無効化 X-DCMGUID、Host、User-Agent、Referrerなど、偽装されるとiモードのチープなセキュリティモデルを根幹から崩してしまうものだけを無効化するのではなく、setRequestHeaderメソッド自体が無効化され、JavaScriptからは全くヘッダを付加＆変更することが出来ないように変更されているようです。 alertメソッドの無効化 alertメソッドが無効化されていました。 alertメソッドがXS

[balibali]

XMLHttpRequestオブジェクトのsetRequestHeaderメソッドの無効化

[orangevtr]

こんなのもあったのか。setRequestHeaderメソッド無効化するとかHTTP触ったことないやつの所業か？！

[kujoo]

　/　AKIRA かー

[no_ri]

alertメソッド止めてもあまり意味はないが・・・

[itochan]

＞携帯サイトの約1/4にXSS脆弱性があると推計

[koyhoge]

慌てて塞いだ動揺と、正常な技術的判断ができていない様子がうかがえる。

[mainyaa]

「XMLHttpRequestオブジェクトのsetRequestHeaderメソッドの無効化、alertメソッドの無効化」

[asitaki]

＞alertメソッドの無効化

[ockeghem]

『X-DCMGUID、Host、User-Agent、Referrerなど【中略】だけを無効化するのではなく、setRequestHeaderメソッド自体が無効化され』<貴重な情報ありがとうございます。setRequestHeaderはセキュリティ対策にも使うので無効化は困りますね