‘-‘ という名前の、中身が無いのに70万回ダウンロードされてる謎のnpmパッケージ
– という名前の JavaScript/TypeScript パッケージについて警告を発している記事が話題となっています。 このパッケージ、中身はほとんど空で、Readme と、dev で TypeScript を動かせるようにするライブラリ群を呼ぶ箇所だけのもの。 しかし、この “-” を使っている他の npm パッケージが 50個以上あり、約一年前の公開時からのトータルのダウンロード数は72万回にもなります。 しかし、”-” を読み込んでいるパッケージを見てみても、”-” が必要そうには見えません。 警告記事では、この無名のパッケージが密かに使われるようになった原因が、npm コマンドのコマンドラインを打つときのミスタイプにあるのではないかとの仮説を立てています。 つまり、someFlag というオプションを使い npm i -someFlag somepackage と打つべきところ
リンクを作る時の target="_blank" の危険性 - 隙あらば寝る
html で リンクを新しいタブ(やウィンドウ)で開かせたい場合、target="_blank" を指定するが、 この使い方には落とし穴があるらしい。 www.jitbit.com リンクを開いた先の javascript から、開いた元のページを操作できてしまうとのこと。 気になったので確認してみた。 悪用のパターン insecure.html が最初に開くページで、ここに target="_blank" なリンクがある。 このリンクを押すと new_window.html を新しいタブで開く。 この new_window.html に javascript が仕込まれており、元ページを操作されるという話。 具体的には window.opener.location="./evil.html" と実行すると、元タブは evil.html に遷移する。 実際試してみたのが ここ。 リンクを開
FirefoxでTwitterなどでのブックマークレットが動作しない場合の対処法 - 約束の地
正確な時期はいつ頃かは調べていないのですが、いつの日からかFirefoxで特定のブックマークレットが動作しなくなってしまいました。例えばツイートに添付された画像を全てorigオプションで展開するTwitterのブックマークレットなどです。 ブックマークレットを動作させるためには、CSP(Content Security Policy)を無効にする必要があります。以下、手順です。 1.アドレスバーにabout:configと入力し設定画面に移行する 2.security.csp.enableの項目を表示させる 3.値をfalseにする 以上の設定が終わったら念のためFirefoxを再起動します。すると今まで動かなかったブックマークレットが正しく動作するようになっているはずです。
JavaScriptのクロスドメイン制限を突破する - WEBる。
JavaScriptはJSファイルが置いてある以外のドメインのファイルをセキュリティの関係上、参照出来ない仕様になっています。 よく他ドメインのXMLなどを参照したいときなどこの壁にぶつかりますね。。 この問題を解決する方法はおもに3つあります。 PHPやCGIを経由する Flashを経由する JSONPを使う PHPやCGIを経由する これは"JavaScript"→"PHP or CGI"→"参照したいファイル"という順に読み込んでいきます。 設定がとても簡単で一番一般的な方法かもしれません。 CGI等が使用出来る環境でなければならないのが条件です。 XMLを読み込む前提で記述例です。 PHP(ajax.php) <?php if(isset($_GET["url"])) readfile($_GET["url"]); ?> JavaScript(jQuery) $(function(
JavaScriptでwindowを閉じるやつ - Qiita
window.open('about:blank','_self').close(); とやると閉じることが出来るみたい。 一回自分自身に対して空タブを開くことでjsの操作対象にして、その上でclose()を実行している感じ。 ちなみにFireFoxはこれでもダメで、空タブが残ってしまうので諦めてください。 なお、
Firefoxのブックマークレットが使えないサイトがある: 正己の異論・反論
昨日、ツイッターの公式ブログから引用してツイートしようとしたら、ブックマークレットが機能しなかった。１２時間くらい原因と対策を探して、少なくとも次の二つのサイトでFirefoxのブックマークレットを利用できないことが分かった。 Twitterについて GitHub ・ Build software better, together. 同じドメインのページでも同様である。 ようやく見つけた原因と対策は次の通りである。 GitHub では、URL 末尾に "?w=" を付与すると、diff からスペースのみの変更行を除去できます。 "?w=" は覚えられないため、次のような Bookmarklet を作成したのですが、GitHub のサイトでは動きません。 （中略） 回答（中略） Fifefox では、https なページに対するブックマークレートが CSP というセキュリティレイヤによって、
1Password Leaks Your Data
Software Engineer at Microsoft, currently working on Outlook for iOS Seriously. For those of you who don’t know, 1PasswordAnywhere is a feature of 1Password which allows you to access your data without needing their client software. 1Password originally only used the “Agile Keychain” format to store their data (not including when they were OS X keychain only). This format basically stores your dat
FirefoxでGitHub等のページでブックマークレットを有効にする
B! 8 0 0 0 JavaScriptを使ったブックマークレットを使って 貼付け用のURLを取得したり、 はてなブックマーク だったりツイッター だったりの情報を簡単に得たりすることが出来ますが、 Firefoxを使っているとGitHubのページ上ではこれらが動くて、 仕方ないものかと思ってましたが設定次第で動かせる様になったのでそれについて。 CSPセキュリティレイヤー 他のブラウザ CSPセキュリティレイヤー Firefoxでは CSP というセキュリティレイヤがFriefox23から追加されていて それがページによってはJavaScriptの使用等を制限している様です。 ただし、これは意図されない作用?と言っていたりするところもあったりします。 さしあたりこれを無効にすればブックマークレットが動くようになります。 about:config へ行って、security.csp.en
色んなXSS – nootropic.me
2015/4/16(木)：ページの一番下に追記を記述しました。 その昔、なんとかキャンプというセキュリティのイベントに参加した時「アウトプットが大事」と言われたのを思い出しました。 でも、普通自分の見つけた知識は後生大事に抱えておきたいもんだと思います。 そこで今回はそういった何かしょーもないものを捨てるべく、溜め込んだ色んなXSSのPoCを少し書き出してまとめました。 今まで自分で見つけたものや海外のSecurity Researcher達から収集したものもあります。 さて、今回リストアップしたPoCの見方ですがいくつかの項目があります。 一番上の「手法」はタイトルみたいなものだと思って下さい。 二番目の「PoC」はスクリプトを実行する為のコードです。殆どがアラートが出るだけのスクリプトの為危険なコードは無いつもりですがご自分のブラウザで実行する際は自己責任でお願いします。リンクをクリッ
JSONをvbscriptとして読み込ませるJSONハイジャック(CVE-2013-1297)に注意
はせがわようすけ氏のブログエントリ「機密情報を含むJSONには X-Content-Type-Options: nosniff をつけるべき」にて、巧妙な罠を仕掛けることにより、別ドメインのJSONデータをvbscriptとして読み込み、エラーハンドラ経由で機密情報を盗み出すという手法が紹介されました。これは、IEの脆弱性CVE-2013-1297を悪用したもので、MS13-037にて解消されていますが、MS13-037はIE6～IE8が対象であり、IE9以降では解消されていません。 また、MS13-037を適用いていないIE6～IE8の利用者もしばらく残ると考えられることから、この問題を詳しく説明致します。サイト側の対策の参考にして下さい。 問題の概要 JSON形式のデータは、通常はXMLHttpRequestオブジェクトにより読み出しますが、攻撃者が罠サイトを作成して、vbscript
スパムはあっちいけ！「月に代わってお仕置よ！」
さて、以降は現時点ではオマケである。将来 Spam-filter の機能として追加しようか？と考えているものだが、過激なのでまだやっていない。皆さんのご意見を伺ってから...という感じのものたちだ。 今回のスパムの場合は、「どうやら完全にロボットが書き込んでいるようで、人間はスパムに介在していない...」ようである。何でこれが判るのか、及びもし「荒しを排除したい！」という時のとっておきの技を紹介しよう。これを使うとどんなに匿名プロキシを通そうとも、その荒しの生IPが抜けちゃうという強烈な技である。 そりゃ環境変数では荒しの特定につながる情報を隠蔽するようないわゆる「匿名串」を使うのがプロの荒しだ。しかし、ことブラウザで「荒しの結果」を見る..場合には、ちょっとそのスキを突くことができないわけではない。要するに「ブラウザからそのIPアドレスを報告してもらう」わけである。そのために活用するのは
Firefox 7 でブックマークレットの一部が動かない: mashlog
ブックマークツールバーに「定位置」という名前で、window.resizeTo() と window.moveTo() を実行するブックマークレットを入れているのだけど、先日Firefoxを7にアップデートしたら、マルっと動かなくなった…。 エラーコンソールをみたら、uncaught exception: ReferenceError: window is not definedΣ(ﾟДﾟ；ｴｰｯ! なんでないねん… んなこたーない、といろいろと悪戦苦闘したものの、言われるのは↑のエラーばかり。 なんか特殊な設定でもあるんかいな、と思ってabout:configあさってみたところ、ありましたよアヤシイのが！browser.urlbar.filter.javascriptこのキーの設定値がtrueになってる！Σ(ﾟдﾟlll)ｶﾞｰﾝ これ、trueが初期設定値らしい。Firefox 6まで
はてなグループの終了日を2020年1月31日(金)に決定しました - はてなの告知
はてなグループの終了日を2020年1月31日(金)に決定しました 以下のエントリの通り、今年末を目処にはてなグループを終了予定である旨をお知らせしておりました。 2019年末を目処に、はてなグループの提供を終了する予定です - はてなグループ日記 このたび、正式に終了日を決定いたしましたので、以下の通りご確認ください。 終了日: 2020年1月31日(金) エクスポート希望申請期限:2020年1月31日(金) 終了日以降は、はてなグループの閲覧および投稿は行えません。日記のエクスポートが必要な方は以下の記事にしたがって手続きをしてください。 はてなグループに投稿された日記データのエクスポートについて - はてなグループ日記 ご利用のみなさまにはご迷惑をおかけいたしますが、どうぞよろしくお願いいたします。 2020-06-25 追記 はてなグループ日記のエクスポートデータは2020年2月28
Add-ons for Firefox > 拡張機能 > RequestPolicy
RequestPolicy's new version is under development as RequestPolicy Continued. Ultimately, I'd like RequestPolicy Continued to replace RequestPolicy. RequestPolicy development has been slow because I am working on ServerPilot, a cPanel alternative for DigitalOcean servers. Thankfully, some great community members are taking over development of RequestPolicy. ---- RequestPolicy is an extension that i
JavaScript変態文法最速マスター - 葉っぱ日記
Java変態文法最速マスター - プログラマーの脳みそをリスペクト。 JavaScriptの変態文法・技法一覧です。あんまり使わないけど、知ってるとXSSとか攻撃したいのにWAFに妨害されるなど、いろいろ制約があるという場合に便利。 文字列の生成 引用符を使わずにさくっと文字列を作る。fromCharCode とか使ってもいいけどめんどくさいので、正規表現やE4Xを利用。 alert( /string/.source ); alert( <>string</> ) 空白文字を使わず記述 文脈上、スペースを書きたいけれどいろいろ制約があって書けない場合にはコメントで代替。実行するコードを作り上げてevalしてもいいけど大袈裟なので。 var/**/x=1; */ を含むコードブロックをコメントアウト コードの塊りをコメントアウトしようと思って /* */ で囲むと、コード内に string.
高木浩光＠自宅の日記 - 「NoScript」をやめて「RequestPolicy」にした
■ 「NoScript」をやめて「RequestPolicy」にした セキュリティ屋が、Firefoxユーザに「NoScript」の使用を推奨することがしばしばあるが、私は賛同しない。 JPCERT/CC、技術メモ「安全なWebブラウザの使い方」を公開, INTERNET Watch, 2008年11月4日 *1 技術メモ − 安全なWebブラウザの使い方, JPCERT/CC, 2008年11月4日 IV. 各 Web ブラウザに共通する設定上の注意事項 1. スクリプト等の実行を制限する JavaScript 等のスクリプトや（略）は（略）Ajax に代表されるインタラクティブなインターフェースが実現できるなど、高い利便性が得られます。反面、PC 上の重要なファイルを削除・変更するなど、悪意を持った処理が行われる可能性もあります。従って無制限にスクリプト等を実行できるようにしておくのは
ここが危ない！Web2.0のセキュリティ 記事一覧 | gihyo.jp
運営元のロゴ Copyright © 2007-2024 All Rights Reserved by Gijutsu-Hyoron Co., Ltd. ページ内容の全部あるいは一部を無断で利用することを禁止します。個別にライセンスが設定されている記事等はそのライセンスに従います。
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Knappertsbusch on Twitter: "新しいFirefoxではてなのブックマークレットみたいなのが動かなくなった。 仕方ないのでabout:config でsecurity.csp.enable をfalseにした。"