「拡張子ではなく、内容によってファイルを開くこと」の拡張子は Content-Type ではないことに注意 - 葉っぱ日記
少し前に JSONP が XSS を引き起こすかもしれないという点に関する興味深い記事を奥さんが書かれていました。 Kazuho@Cybozu Labs: JSONP - データ提供者側のセキュリティについて JSONP における Padding 部分(だけでなくJSON部分も。4/5追記)に攻撃者が HTML と解釈可能なスクリプトを注入することにより、JSONP なデータを直接 IE で開いた場合に HTML と解釈され XSS が発生する、という点について書かれています。 ここで、IE が JSONP を HTML と解釈する理由は以下の2点。 IEのよく知られた機能「拡張子ではなく、内容によってファイルを開くこと」により、内容が HTML っぽい場合には、Content-Type: text/javascript が無視され HTML として解釈される。 上述の設定が「無効」に設定
小粋空間: Internet Explorer 6 と Internet Explorer 7 を共存させる
はてなブックマーク経由で「IE6 と IE7 の共存はできませんか？」という類の質問をいくつか頂きまして、ネットを検索してみたところ、簡単に共存できる方法が書かれたサイト（下記）をみつけましたので、本エントリーにて IE6 と IE7 を共存する方法をご紹介します。 Tredosoft：Internet Explorer 7 running side by side with IE6. (standalone) 「共存」というのはやや誇張した表現ですが、IE7 Standalone 版を本来の IE のインストールフォルダとは異なるフォルダにインストールするというものです。またインストーラを利用するので簡単にインストールできます。アンインストールも可能です。当然ながら対応 OS は Windows XPのみです。 上記のページには2つの方法が紹介されていて、このエントリーでは「インストーラ
JavaScript 用デバッグコンソール "IEerBug" [tech.nitoyon.com]
IEerBug は Internet Explorer 6.0 と FireFox 1.5 で動く JavaScript 用のデバッグ コンソールです。 FireBug と同じ console.log()、console.debug() などの関数が使えるようになるため、FireFox と IE の両方でデバッグする場合に便利です。コンソールに出力したオブジェクトを、DOM インスペクタを利用して解析することも可能です。 使い方 ieerbug.zip をダウンロードし、中身をアプリケーションのディレクトリに配置します。IEerBug 用のディレクトリを作成して、その中に配置しても問題ありません。 HTML の中で次のようにして ieerbug.js を読み込みます。
![JavaScript 用デバッグコンソール "IEerBug" [tech.nitoyon.com]](https://cdn-ak-scissors.b.st-hatena.com/image/square/95abde13f7ed41248843e654a2f2ddcde8983db4/height=288;version=1;width=512/http%3A%2F%2Ftech.nitoyon.com%2Fapple-touch-icon-114x114.png){kind=icon}
IE7 で画面が真っ白になるページの対処方法 :: Drk7jp
一部で IE 7 を使うとページが旨く表示されず、画面が真っ白になると言う現象で悩んでいる方がいると聞きます。何を隠そう、僕もつい最近まで IE ７真っ白現象で悩んでしました。ブラウザ側にコンテンツが送られずに真っ白な画面になっているわけではなく、コンテンツは正常に受信している（ソースの表示で正しく html が表示される）けど、レンダリングされず画面が真っ白なままという謎の現象。IE 6 や FireFox では同様の現象は見受けられない。 で、取りあえずの対処方法として、Ｆ５を押してページをリロードすると正常に表示される場合が多いが、右クリック→エンコード→自動選択でも多くの場合正常に表示される。後者の場合はサーバに再問い合わせをしていないようなので、こちらの方が都合がよい。 で、更に調査をしていったら、何のことはない。昔も議論されていた文字化け議論と同じ物だった。 さて、この IE
miniturbo::Blog DOCTYPEスイッチ
先日公開されたFirefox2(Fx2)や、待ちに待ったWindows Internet Explorer 7(IE7)が11月にローカライズ正式版をリリースなど、ブラウザの更新が目立っていますね。ましてや、現在の2強モダンブラウザなのだからなおさらですね。 ということで、「文書型宣言によって切り替わるモード一覧表」を書いてみました。これから作成するサイトや既存のサイトがどのモードで動いているのか、知っていると幸せになれるかもしれません。 代表的なものを中心にリストにしました。過去の物は一部まとめてあります。 文書型定義によって切り替わるモード一覧表 文書型定義 Fx2 IE7 IE6 Opera9 NN7 Safari MacIE5
IEに新しい「緊急」レベルの脆弱性
仏セキュリティ機関FrSIRTは9月19日、MicrosoftのInternet Explorer（IE）で新たな脆弱性が発見されたと警告した。危険度は4段階中で最も高い「緊急（Critical）」。 この脆弱性は、長すぎる「塗りつぶし」が行われた直角形を含むVML文書を処理する際に、ベクター画像のレンダリングライブラリ（Vgx.dll）でバッファオーバーフローのエラーが起こることが原因。ユーザーに不正なWebサイトを訪問させ、サービス拒否攻撃や任意のコマンド実行に悪用される恐れがある。 この脆弱性の影響を受けるのは、Windows 2000 SP4上で動作するIE 5.01 SP4、Windows 2000 SP4およびWindows XP SP1で動作するIE 6 SP1、Windows XP SP2およびWindows Server 2003で動作するIE 6、Windows 98お
sta la sta - たった1行のJavaScriptコードでInternet Explorerをクラッシュさせる方法
注意！ IEを使用中の方は、リンク先の記事内にクラッシュコードのあるサンプルページへのリンクがあるので、クリックしないようにくれぐれもお気をつけ下さい！ 「you can find the code here」の「here」にあります。クラッシュをテストしたい方は別ですが。 http://www.modernlifeisrubbish.co.uk/how-to-crash-internet-explorer.asp 普段、ネットサーフィンでIEを使用している方にとっては、あまり嬉しくない話だろう。 こちらの記事の方がIEとFireFoxの両方で動作するJavaScriptコードを書く仕事をしている最中に、偶然にも、IEをクラッシュさせるコードを見つけてしまったそうな。 そのコードは複雑怪奇なものではなく、以下のようなたった1行のコードのようだ。 記事内に、上記コードを仕組んだサンプルページ
パッチ適用が新たな脆弱性を生み出す、MS06-042に警告
月例パッチの1つ、MS06-042を適用することで、新たに悪用につながる脆弱性が生じることが明らかになった。 Microsoftは8月22日、MS06-042のパッチを適用するとInternet Explorer（IE）6.0 Service Pack（SP）1で不具合が起きる問題を修正したパッチの再リリースを延期した。これと相前後して、MS06-042の適用によってかえって、悪用につながる新たな脆弱性が生じることが明らかになった。 セキュリティ企業のeEye Digital Securityは8月22日、一部の環境でMS06-042を適用したPCにバッファオーバーフローの脆弱性が生まれてしまっているとし、警告を公開した。任意のコードの実行につながる恐れのある、リスクの高い脆弱性だという。 eEyeやMicrosoftが新たに公開したセキュリティアドバイザリによると、脆弱性の影響を受けるの
Microsoftが月例パッチを再リリースへ、IEクラッシュの問題を修正
Microsoftが米国時間の8月8日にリリースした月例パッチの1つ、MS06-042（Internet Explorer用の累積的なセキュリティ更新プログラム）に、特定の条件下でIEがクラッシュするバグが存在することが明らかになった。 Microsoftは8月16日、MS06-042の情報を更新し、この不具合を修正したMS06-042のパッチを8月22日に再度リリースすることを明らかにした。 この不具合は、Windows 2000 Service Pack 4（SP4）もしくはWindows XP Service Pack 1（SP1）以前でIE 6 Service Pack 1（SP1）を動かしている環境で発生していた。MS06-042のパッチを適用すると、HTTP 1.1プロトコルおよび圧縮を使用しているWebサイトを閲覧した場合にIEがクラッシュする不具合が存在するという問題だ。
MSがIE用パッチの修正版をリリース予定，不正終了する問題を解消
米Microsoftは米国時間8月15日，8月に公開したInternet Explorer（IE）用修正パッチ（セキュリティ更新プログラム）の修正版を8月22日（米国時間）までにリリースすることを明らかにした。同パッチには，IEが不正終了する問題が見つかったためである（関連記事：8月の修正パッチにIEが不正終了する問題）。 8月9日に公開した「Internet Explorer用の累積的なセキュリティ更新プログラム (918899) (MS06-042)」の修正パッチには，IEが不正終了する問題が確認された。同パッチを適用したIEでHTTP 1.1プロトコルと圧縮を使っているWebサイトにアクセスすると，IEが不正終了してしまう。影響を受けるのは，Windows 2000 SP4およびXP SP1のIE 6 SP1のみ。 同社ではこの問題を解消するパッチ（hotfix）を用意したものの，W
MS、月例パッチに不具合--IEが異常終了
Microsoftが米国時間8月8日にリリースしたInternet Explorer（IE）向けのセキュリティアップデートが原因で、一部のシステムにおいてIEのトラブルが発生している。 Microsoftのカスタマーサポートサイトに掲載されている通知によると、同社のセキュリティ評価基準で最も深刻な「緊急」レベルに設定されているセキュリティアップデート「MS06-042」を適用した後、IEで特定のウェブサイトを閲覧すると同ブラウザがクラッシュする可能性があるという。同社によると、この問題が発生するのは、Microsoft Windows XP Service Pack 1（SP1）またはMicrosoft Windows 2000 Service Pack 4（SP4）上でIE 6 Service Pack 1（SP1）を起動している場合だという。 Microsoftは15日、「セキュリティ
8月の修正パッチにIEが不正終了する問題，Windows 2000とXP SP1が影響
米Microsoftは現地時間8月11日，同社が8月に公開した修正パッチ（セキュリティ更新プログラム）の一つに，Internet Explorer（IE）が不正終了する問題が見つかったことを明らかにした。Windows 2000 SP4とXP SP1だけが影響を受ける。マイクロソフトのサポートに問い合わせれば，問題を解消するパッチ（hotfix）を入手できる。 【8月21日追記】Microsoftは8月15日，この問題を解消した修正パッチを8月22日（米国時間）までにリリースすることを明らかにした（関連記事：MSがIE用パッチの修正版をリリース予定）。【以上，8月21日追記】 今回の問題は，8月9日に公開した「Internet Explorer 用の累積的なセキュリティ更新プログラム (918899) (MS06-042)」の修正パッチで確認された（関連記事：WindowsやOfficeに
痛いニュース(ﾉ∀`):JWord「JWordは、スパイウェアではない。もし除去したら中途半端にJWordが残るように設計した。」
JWord「JWordは、スパイウェアではない。もし除去したら中途半端にJWordが残るように設計した。」 1 名前：番組の途中ですが名無しです 投稿日：2006/08/09(水) 02:27:29 ID:/b8Crgse0● 残念ながら、一部のスパイウェア検出ツールなどが、JWord プラグインを構成するファイルをブラウザハイジャッカーもしくはスパイウェアとして検出する現象が確認されています。 しかし、JWord プラグインは、ブラウザハイジャッカーでもスパイウェアでもなく、そのような機能を持つものではありません。 JWord プラグインには、利用者を特定するような情報を取得する機能はなく、 利用者の意図に反する設定を強制するものでもありません。 CnsMin.dll がスパイウェア検出ツールなどにより検出されてしまう問題については、 それらのプログラムの作成者などと交渉する
IEで新たな未パッチの脆弱性見つかる
この脆弱性はHTML Help Controlに関連したもので、危険度は最も高い「Critical」とされている。 仏セキュリティ機関FrSIRTは7月3日、MicrosoftのInternet Explorer（IE）で未パッチの脆弱性を発見したと報告した。危険度は最も高い「Critical」とされている。 この脆弱性を悪用すると、脆弱なブラウザをクラッシュさせたり、システムを乗っ取ることが可能になる恐れがある。この問題は、特殊な細工を施されたプロパティを処理する際に、HTML Help Controlの「HHCtrl」でメモリ破損エラーが起きることが原因。これを悪用すると、特殊な細工をしたWebページにユーザーを誘導することで、サービス拒否（DoS）攻撃を起こしたり、任意のコマンドを実行することが可能になるという。 この脆弱性の影響を受けるのは以下のバージョン。 Microsoft W
「Firefoxには，IEと同じセキュリティ・ホールは存在せず」，セキュリティ組織
セキュリティ組織の米SANS Instituteは現地時間6月30日，Webブラウザ「Firefox」にInternet Explorer（IE）と同様のセキュリティ・ホールが見つかったとしていたが，実際には影響を受けないことを明らかにした。 SANS Instituteや米US-CERTなどは6月28日，Internet Explorer（IE）に2種類の新しいセキュリティ・ホールが見つかり，検証コードが公表されていることを明らかにした（関連記事：IEに2種類のセキュリティ・ホール）。SANS Instituteでは，そのうちの1種類については，Firefoxにも同様に存在するとみていた。 しかしながら，その後の検証により，Firefoxにはこのセキュリティ・ホールは存在しないことが明らかになったという。公表されている検証コードをFirefoxで試すと，表面上は機能しているように見えるが
IEに2種類のセキュリティ・ホール，検証コードも公開されている
セキュリティ組織の米SANS Instituteや米US-CERTなどは現地時間6月28日，Internet Explorer（IE）に2種類の新しいセキュリティ・ホールが見つかったとして注意を呼びかけた。悪用されると，任意のプログラムを実行されたり，ユーザー情報などを盗まれたりする恐れがある。セキュリティ・ホールを突くことが可能であることを示す検証コードも公表されている。いずれについても，修正パッチ（セキュリティ更新プログラム）は未公表。 今回公表されたセキュリティ・ホールは2種類。1つはファイル共有に関するセキュリティ・ホール。細工が施されたWebページにおいて，ユーザーがあるアクションをおこなうと，リモート・サイトに置かれた任意のHTAファイルが，SMBあるいはWebDAVを通じてユーザーのパソコン上で実行される。 もう1つは，クロスドメインのセキュリティ・ホール。ユーザーがアクセス
Windows UpdateをしてもPCに存在する脆弱性：IT大捜査線 THE BLOG：オルタナティブ・ブログ
2006/04/05 情報セキュリティサイトSecunia(英)でIEのアドレスバーを偽装できる脆弱性があると 掲載されました。 この脆弱性はマクロメディアのフラッシュ形式のファイル(.swf)が同時にサイトを開く処理などと読み込まれたりするときにアドレスが偽装 されてしまうようです。 Secuniaのサイトで自分のブラウザに脆弱性があるか確認できるテストサイト(英)もあります。発表から２ヶ月経ち、久しぶりに訪れてみてみると私のIEはまだ偽装されているようです。 現在確認されているところではターゲットとしてはInternet Explorer 6.xで この脆弱性に対してまだ修正するパッチなどはリリースされていない様子。私のPCでもWindowsアップデートで最新の状態であることを確認しました。 現在のところ、この脆弱性を回避するにはインターネットブラウザーのインターネットオプションからセ
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
http://japan.internet.com/webtech/20060812/12.html
Japan.internet.com Webテクノロジー - 『IE』と『Firefox』に共通する新たな脆弱性が発覚
Windowsの隠し機能？ | Okumura's Blog