javascript - クリックジャック殺しなbookmarklet : 404 Blog Not Found

2009年03月05日02:30 カテゴリLightweight Languages javascript - クリックジャック殺しなbookmarklet 意外な盲点。 主要ブラウザすべてに影響する「クリックジャッキング」攻撃とは しかし、 クリックジャック - 素人がプログラミングを勉強するブログ FirefoxユーザはNoScriptを使うか、about:configからpermissions.default.subdocumentを3にしましょう。 というのはあまりに厳しく悲しい。対策しようは果たしてないのでしょうか？ その結果が、こちら。 clickUnJack javascript:(function(d,u){var s=d.createElement('script');s.charset='UTF-8';s.src=u;d.body.appendChild(s)})(do

[xlc]

bookmarkletでjavascriptのソースを読み込みたかったので... メモ

[simd036]

クリックジャッキング対策例

[angmar]

タイトルだけ読んで「iframe透過指定が元凶だって言うんなら、まずはそのクリックジャックをぶち壊す！」とかいう話かと思った。

[rochefort]

clickjack

[murky-satyr]

に罪は無い

[nasunori]

クリックジャックを検出して殺してくれる。

[sankaseki]

404 Blog Not Found:javascript - クリックジャック殺しなbookmarklet

[BRITAN]

はまちちゃんとダンコーガイとの対話。おもしろい。

[raf00]

はまちやさんが再現し、ダンコーガイが対策を作る。この流れをテンプレ化すればネット社会は安心だ！

[Rewish]

クリックジャッキング対策

[harumomo2006]

疑いだすときりがない

[hikobae]

「クリックジャッキング」攻撃

[fk_2000]

ブラウザ使わなければいいんじゃね

[field_combat]

ごめんなさい。今、absoluteだらけのサイト作ってます

[stella_nf]

「このページやばい？」って思わないとbookmarklet使わないよなあ。Greasemonkeyに入れて常に読み込むようにしないと。そうすると「FirefoxユーザはNoScriptを使うか、about:configからpermissions.default.subdocumentを3」と変わらない

[amachang]

float, margin, positoin に気を使っても、height を小さくして、 overflow: visible でアウト。/ すべての iframe の getBoundingClientRect を調べて、 onclick をキャプチャリングフェーズでキャンセルすればダメかなダメかな？後で

[mattn]

けつろん iframe NGでOK?

[os0x]

position以外にも、(ネガティブ) margin とかで被せられますよ…

[hurvinek]

クリックジャックを防ぐ

[Kanasansoft]

これだと連続したiframeがあると残ってしまう。for内でremoveChildする時はdecrementでするべき。/指摘ミス。ごめんなさい。いったん配列に格納してるので問題ない。

[koki-h]

クリックジャック殺し

[monjudoh]

他のDOM要素の上にかぶってるiframeを削除するってのも、IE6が対象外ならありなのかもなー。IE6の場合はselectボックスがz-indexを無視するバグの対策で上にiframe被せるのやるし。

[mangakoji]

最後の1文で被害拡大エントリー

[junkieta]

marginでも重ね合わせは可能。/「見た目」が相手なら制作者スタイルOFFが手っ取り早いし確実な気が。

[ghostbass]

誤爆して特定機能が失われるよりいいか。IE6だとドラッグできるdivの下にIFRAMEを敷いてたりするし

[Hamachiya2]

absoluteじゃなくてもできるよ。 relative, fixed … たぶんうまくすれば float でも。 いや、それすらなくても攻撃成立しそう。 iframeがだめなら、iframe以外をabsoluteすればいいじゃない…と。/ relative例 http://hamachiya.com/junk/relative.html

[kmachu]

「クリックジャック攻撃にとってより本質的なのは、iframeが透明であることよりも、他のDOM Elementの上にかぶさっていることです」

[YTPX]

"実は、クリックジャック攻撃にとってより本質的なのは、iframeが透明であることよりも、他のDOM Elementの上にかぶさっていることです。そのためには、position:absoluteが必要で、逆にこういう目的以外でiframeをposition:absoluteと

[ktakeda47]

クリックジャッキング

[dankogai]

relativeはとにかく、 fixedはアリかも＞id:Hamachiya2; position:static でない iframe とした