バグハンターの哀しみ

MicrosoftのWebブラウザ、Internet Explorer/EdgeにはXSS攻撃からユーザーを保護するためのXSSフィルターという機能が搭載されている。XSSフィルターは、リクエストにXSS攻撃らしき文字列があり、ページ内にそれに対応する文字列が出力されている場合に、ページ内の対応する文字列の一部を書き換えることによりユーザーを保護する。この書き換え動作は安全に行われているのだろうか？答えはNoだ。今回私は、XSS脆弱性のないありふれたページで、XSSフィルターの動作を利用することで、保護するどころかXSS脆弱性を作り出すことができる手法を発見した。本講演では、XSSフィルターを利用したXSS攻撃の可能性について技術的な詳細を述べるとともに、サイト管理者はこのXSSフィルターの悪夢とどう向き合うべきかについて提案する。

[ockeghem]

ふむふむと読んでいたら僕が登場していたw

[civiliza]

8進数 41,050,707円は10進数 8,671,687円

[mjy]

「善意で皆さんのご自宅の鍵がちゃんと閉めてあるか、確認して廻っております」まあ、こんなのは通じなくても仕方ない。ISPの対応は恐いな。ネット接続はインフラであり人権。切断しておいてお役所的対応は困る。

[luccafort]

ホワイトハッカーに対する対応が日本では確率されてなくてその侵入検知する側の会社も対応出来なかったんじゃないかな、というかその会社まで情報降りてなかった気がする。

[kamei_rio]

いや、善意だし報告はしてるけど、システムから見たら攻撃者でしょう……からの神降臨に救われた

[yogasa]

ベネッセひどいな。ニフティも役に立ってない…… / 徳丸先生いなかったら泣き寝入りになりそうな事態、十分お役所的だわ

[kaputte]

徳丸先生に後光がさしてる

[raimon49]

個人の力でネット回線復活させるのは難しそう。

[nakakzs]

微妙に思い出すLibrahack問題。

[dev0000_1]

WAFで不正アクセス「らしいもの」を検知し、それに対して何らかの防御策をとったなら、企業として至極まともな対応かもしれない。個別の会話で取り合わないのは、お役所的だが。

[prototechno]

#LINE_DM

[Seiji-Amasawa]

“ ”

[RenHuuka]

これはツラいよ バグハンターの哀しみ SlideShareより

[spiral]

「そりゃ、情報の持ち出しも起きるよな」というさりげないカウンターブローw

[honeybe]

徳丸先生の徳が高い案件。あなたが神か。

[y-kawaz]

ハゲハンターの悲しみに見えた。

[amino_acid9]

徳丸先生がセキュリティ界の地蔵菩薩のようだ

[otakumesi]

Benesseと@niftyな……

[tamakoron]

バグハンターの哀しみ

[igrep]

笑い話として読んでしまったが、Web屋としては笑えねぇ...

[jou2]

頼まれてないのにしてるのってなんか、押し売りみたい。おたくの玄関汚れてますよー、リフォームしませんかー？的な。いや、脆弱性がいかんのはわかるしソース読んだら確かにこりゃダメだと思うのはわかるけど

[nisezen]

AWSなんかは個人による侵入テストを明確に禁じている（XSSとはちょっと違うけど）。企業もその条文を掲げるべきなのか…。

[cad-san]

徳丸先生の徳が高すぎる…

[sainokami]

ホワイトハッカーが悪意のハッカーに豹変することはないの？素朴な疑問

[karupanerura]

社会の厳しさ

[KoshianX]

回線止められちゃうのか……。まあ原理的にはバグ直したほうがいいに決まってるけど怪しいアクセスが来た段階で止めるのも予防にはなるか。しっかしうっかり作りこんじゃいそうなもんがいっぱいだ……。

[htnmiki]

涙なしには読めない

[michiomochi]

バグハンターすごい。

[ebo-c]

2進数じゃなくてよかった

[b0101]

ベネッセ怖い

[usurausura]

ベネッセがその後きちんと対応するようになっていたとは知らなかった。ただのブラック企業じゃなかったのね|なおこの発表から一年後http://www.itmedia.co.jp/enterprise/articles/1610/28/news053.html

[digitalglm]

バグハンターの哀しみ: バグハンターの哀しみ 1. バグハンター の哀しみ Masato Kinugawa か な 2. 自己紹介 Masato Kinugawa 孤独のバグハンター XSSだけが友達 3. 普段のお仕事 職場…

[kastro-iyan]

ハゲハンターに空目