平成24年度春期情報セキュリティスペシャリスト試験のXSS問題 | 水無月ばけらのえび日記
公開: 2012年4月30日13時35分頃 今年の春の情報処理技術者試験の問題が公開されていますね。 平成24年度春期(1)試験 問題冊子・解答例・採点講評・配点割合 (www.jitec.ipa.go.jp)面白いと思ったのは「情報セキュリティスペシャリスト試験」の午後Ⅰの問1。こういうコードがあります。 out.println("<a name=\"#\" onclick=\"alert('" + escape(word) + "')\">"); out.println("previous search word"); out.println("</a>"); 以上、平成24年度 春期 情報セキュリティスペシャリスト試験 午後Ⅰ 問題 図4(続き) より
!importantの誘惑 | 水無月ばけらのえび日記
公開: 2012年2月25日23時5分頃 こういう状況がありました。 コンテンツ内に、クリックすると動いたり出たり消えたりする物体がある。その物体の動作はjQueryの animate() fade() などで制御されている特定の画面幅になったときに、その物体を非表示にしたい。特定の画面幅のときに要素を消すというのは、Media Queries (www.w3.org)を使ってdisplay: noneにすれば良いだけで、とても簡単です。 ……と、思いきや、うまく行かずに難航。調べてみると、消したい要素にstyle属性でdisplay:blockが指定されており、CSSファイル内に書いたdisplay:noneがの指定が負けていたのでした。 jQueryで要素を表示したり非表示にしたりするメソッドは、要素に対してにdisplay:blockやdisplay:noneをセットすることがありま
次期Firefoxでは:visited疑似クラスのスタイルが制限される | 水無月ばけらのえび日記
公開: 2010年4月3日16時50分頃 「visited疑似クラスのビーコンを拾うサービスが登場」という話がありましたが、Firefoxでの対応方針が決まったようで……「CSS によるブラウザ履歴の漏えいを防ぐ取り組み - Mozilla Developer Street (modest) (dev.mozilla.jp)」。 具体的には、訪問済みリンクは、文字、背景、アウトライン、ボーダー、SVG の線と塗りといった、配色のみ変えられるようにします。 (～中略～) 次に、Gecko レンダリングエンジンの実装にいくつかの変更を加え、訪問済みと未訪問リンクの表示にかかる時間の違いを最小限にするため、処理プロセスを均一化します。 (～中略～) Web ページがリンク (とその子孫要素) の算出スタイルを取得しようとすると、Firefox は未訪問リンクのスタイル定義を返すようになります。
CSRFの評価とCVSS現状値 | 水無月ばけらのえび日記
公開: 2009年12月19日14時10分頃 Amebaスタッフブログに「Amebaのセキュリティ対策について (ameblo.jp)」という文章が出ていますね。 弊社では新規サービスの開発時はリリース前に、既存サービスは定期的に、外部セキュリティ監査会社による調査を必ず実施しております。 調査報告は深刻度別に分類され、これまでユーザーの皆様のデータ漏洩や破壊につながる可能性がある部分については即時の対応を、それ以外の部分については一定期間内での対応実施を徹底して参りました。 現在、昨今の事情を鑑み、影響の大きな部分については優先度を最上級にし、緊急対応を行っております。 はっきりとは書かれていませんが、AmebaなうのCSRFの問題の話であるように思えます。たぶんこういうことですね。 セキュリティ監査会社による調査を実施している。報告された脆弱性は深刻度によって分類し、即時対応するもの、
W3CのDTDを取りに行きすぎるとBANされる | 水無月ばけらのえび日記
Yet we receive a surprisingly large number of requests for such resources: up to 130 million requests per day, with periods of sustained bandwidth usage of 350Mbps, for resources that haven't changed in years. W3CのサイトにおかれているDTDなどに対して、1日に1億3千万回ほどのアクセスがあるそうで。 たとえば、.NET FrameworkのXmlDocumentでXHTMLを読むなんてシチュエーションはありがちだと思いますが、XmlResolver = nullを指定せずにそのまま使うと、いちいちDTDにアクセスしに行ってしまいます。世界中でそういうことをされると、まあ、大変です
XMLを受け取る際は外部実体に注意 | 水無月ばけらのえび日記
公開: 2009年6月24日15時20分頃 「XMLをparseするアプリのセキュリティ (d.hatena.ne.jp)」。 以前に書いたXML entity explosion attackの話の最後の方でもちらりと触れましたが、外部からXMLを受け取るとき、パーサが外部実体を解釈するとまずいことになる場合があります。 サーバから外部の任意のURLにGETアクセスしてしまうため、踏み台として使われる危険性がある受け取ったXMLの内容を何らかの形で表示している場合、本来外部から見えないはずのリソースの内容が見えてしまう場合があるということですね。特に後者の場合、ディレクトリ・トラバーサルよろしく、サーバ内の任意のファイルの内容が見えてしまう可能性があるので注意が必要です。 SOAPなどで外部からXMLを受け取るAPIは良くあると思いますが、外部からやってきたXMLをパースする際は、DTD
JavaScriptのコンストラクタは値を返せる | 水無月ばけらのえび日記
公開: 2009年6月14日12時50分頃 会社で「JavaScriptのオブジェクトについて考察してみた (d.hatena.ne.jp)」という記事の話題が。内容の妥当性はさておき、興味深いと思ったのがこれ。 var o = function() { return { prop : "私はプロパティです。" } }; var obj = new o(); console.log(obj.prop); 普通はコンストラクタは値を返したりしないわけです。しかし、この例ではコンストラクタがハッシュを返すようになっていて、そのハッシュが new の結果として生成されたことになっています。これはひどいと言うべきか、凄いと言うべきか……。 オブジェクト生成時の手順はECMA-262 (www.ecma-international.org)の 13.2.2 で規定されているのですが、以下のようになっ
text/perlscript | 水無月ばけらのえび日記
更新: 2024年3月6日20時45分頃 「人気が出れば出るほど、Webブラウザは遅くなる (slashdot.jp)」という話が出ていますが、中に興味深いコメントが。 ActivePerlを使っている人は知ってると思うけど、ActivePerlをインストールするとPerlScript [activestate.com]も書けますよ。 以上、Re:JavaScriptの部分だけ別にできないの？ より
P3Pコンパクトポリシーをコピペするのが流行らないことを祈る | 水無月ばけらのえび日記
なにげにしらなかったんだけど、IEで別ドメインのiframeを読み込むと、そのiframe内のcookieが有効にならない。 そーゆーときは、HTTPのリクエスト時のヘッダーに下記のkey＆valueを出力しておけばOKらしい。 ("P3P", 'CP="CAO PSA OUR"') こーするだけで、あらふしぎ。IEがCookieを保存してくれるじゃん。 ……。 iframeで別ドメインのコンテンツを読み込むと、そのCookieはサードパーティーのCookieとなります。IEのデフォルトでは、ポリシーが定義されていないサードパーティーのCookieは受け入れないようになっていて、P3P (www.w3.org)でポリシーを宣言すれば受け入れられるようになります。 P3Pのポリシーを定義するには、がっつりとXMLを用意する方法もありますが、HTTP応答ヘッダの中に直接書くという方法もあり、コ
IE+色指定無視でW3Cのサイトが読めなくなる話 | 水無月ばけらのえび日記
公開: 2024年3月7日16時40分頃 奇妙な現象に遭遇したのでメモしておきます。 IEを用意する (6でも8でもOK。たぶん7でもOK)インターネットオプションの「ユーザー補助」で「Webページで指定された色を使用しない」をチェックインターネットオプションの「色」で「Windowsの色を使用する」を外し、背景色に黒、文字色に白を指定こうすると、サイト側の色指定を無視して黒背景、白文字になる事が期待されます。この状態でもちゃんと読めるようになっている必要があるわけですが、http://www.w3.org/TR/WCAG20/ にアクセスすると……なんと、背景がほとんど真っ白で読めません。これはひどい。WCAG に限らず、W3C のサイト内のほとんどのページで真っ白です。 どうも、http://www.w3.org/StyleSheets/TR/W3C-REC の末尾にある という指定が
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
カレログというスパイウェア | 水無月ばけらのえび日記
QRコード上書きでフィッシング | 水無月ばけらのえび日記
太陽光発電のコスト | 水無月ばけらのえび日記
第8回WebSig会議 ディレクター・製作者が知っておくべきセキュリティ | 作者プロフィール