上記のキャプチャーは私のGmailへのアクセスログです。222.151.238.41は会社のIPで、182.164.32.156は自宅のIP(非固定)です。日本時間の6:02にPoland (79.184.109.50)からの不正アクセスが確認できます。 すぐに、すべてのセッションを破棄(Gmailは他の場所からのログインをBANできる機能がある)した上で、Google Accountsのパスワードを変更しました。後日さらに強度の高いパスワードに変更する予定です。 その時間に何かリンクを踏んだとか言うことはなく、ぐーすか寝ていて、携帯に届いたメールで目が覚めました。他にも私からのメールで起きた人もいるかもしれません。 送信されたメールにはリンクが1行だけあり、そのリンクは転送URLになっており、最終的にバイアグラの販売ページに転送されました。特にウィルスなどは無いようです。 現時点で侵入経
Gmail+Google Chrome XSS Vulnerability The weekend before last, I found a flaw in Gmail that on the one hand was rather exciting for me (as I hadn't expected to find anything at all, and it was pretty clearly reward-worthy), but on the other was a little unnerving, given how quickly and easily I was able to find it and how serious the vulnerability was. Vulnerability Discovery While doing some work
Firefox 3.6.3で動作確認しました。 GoogleChromeでもきっと動きます。 使い方 Greasemonkeyスクリプトのインストール ここからどうぞ http://userscripts.org/scripts/show/81537 Gmail Labsの「Inserting images」を有効化 有効化するとメール作成画面にキャプチャにあるようなボタンが追加されるのでポチっとします。 お絵かき画面を表示させる ポチっとすると「Add an Image」という画面が出てくるので、さらに「Web address (URL)」を押すと下の画像の様に画面が切り替わるはずです。 「draw image」というリンクがあるので、それを押します。 すると、下のようになるはずです。 黒枠で囲まれている部分が描画可能な領域です。 下のポッチで色を変更できます。 画像をメールに埋め込む
IBM Application Security Insider The IBM Application Security Insider is a blog devoted to dissecting today’s latest industry trends, observations and evolving threats in the growing web application security industry. The IBM AppScan portfolio provides web application security and compliance solutions that pinpoint vulnerabilities and helps manage the process of fixing them. Background I recently
今回の経験から、Gmailは大量送信でのロックがかかる仕様なので、最初の数通が勝負どころだとわかった。 連絡先リストからのデータ抽出で、最初のアクションでうまく送れなければ、ロボットでの対応は困難と思われるので、昼飯のときにBakさめと雑談しながら出てきたアイディアで、連絡先リストに不正なアドレスを入れるという対策をやってみた。 そもそも、そんなアドレスが登録できるのかと思ったら、あっさりできてガッカリするやら、ほっとするやら。 100件に一件くらいの割合で、このダミーが入るように対策してみた。 これで、Webから送信しようとしても、ダミーを含んでいればエラーになって送信できない。 プログラムのほうで、アドレスの正規化してればダメだけどね。
米ラスベガスで開催されたハッカーカンファレンスDefconで、GmailのセッションIDを自動的に盗むツールが発表された(hungry-hackers.com・本家記事)。 Gmailにアクセスする際にブラウザはクッキーを送信している。Gmail上の単なる画像にアクセスするだけでもクッキーは送られているのだが、Gmailはセッション情報をクッキーで管理しているため、悪意ある者がhttp://mail.google.comの画像をメールやウェブページに紛れ込ませることでセッションIDを得ることが可能である。一旦セッションIDを手に入れてしまえば、パスワード無しにログインすることが可能になる。 このツールは2週間後にリリースされる予定だが、Gmailには常にhttpsを利用する設定オプションが追加されているので、特に保護されていないワイヤレスネットワークからアクセスする際などは利用したほうがよ
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く