i-mode2.0セキュリティの検討: 携帯JavaScriptとXSSの組み合わせによる「かんたんログイン」なりすましの可能性 - 徳丸浩の日記(2009-08-05)
_携帯JavaScriptとXSSの組み合わせによる「かんたんログイン」なりすましの可能性 このエントリでは、携帯電話のブラウザに搭載されたJavaScriptと、WebサイトのXSSの組み合わせにより、いわゆる「かんたんログイン」に対する不正ログインの可能性について検討する。 5月28にはてなダイアリーに書いた日記「i-mode2.0は前途多難」にて、今年のNTTドコモの夏モデルP-07AにてJavaScript機能が利用停止されたことを指摘した。同日付のNTTドコモ社のリリースによると、「ソフトウェア更新に伴い、高度化した機能の一部をご利用いただけなくなっていますが、再びご利用いただけるよう速やかに対処いたします」とあったが、それ以来2ヶ月以上が経つものの、未だにJavaScript機能は利用できない状態のままだ。 実は、NTTドコモ社が慌てふためいてJavaScript機能を急遽停止
JavaScriptを使ったAutoCompleteの仕組み色々:phpspot開発日誌
20 Ready to Use Auto Completion Scripts ?|?Dzine Blog JavaScriptを使ったAutoCompleteの仕組み色々がまとまっていたので一部ご紹介。 当サイトでも過去に紹介したものが含まれていますが、こうしたライブラリは実際に使ってみると自分の理想に違ったものになっていたりするのですが、これだけ種類があれば、自分の理想に近いものが見つかりそうです。 Autocomplete AJAX Select Drowdown with ID jQuery Tag Suggest Google Suggest Style Filter with the AutoComplete Control 全部見る JavaScriptist ではベタに、prototype.js+script.aculo.us を使っています。 2006年にサイトを作っても
ページ読み込み状況をグラフ化するPEAR::HTML_Progress2:phpspot開発日誌
PEAR :: Package :: HTML_Progress2 How to include a loading bar in your XHTML documents quickly and easily. ページ読み込み状況をグラフ化するPEAR::HTML_Progress2。 ページ読み込み状況をCSS+JavaScriptのXHTMLで出力できます。 サンプルプログラムは次のような感じ <?php require_once 'HTML/Progress2.php'; $pb = new HTML_Progress2(); $pb->setAnimSpeed(100); ?> <!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Strict//EN" "http://www.w3c.org/TR/xhtml1/DTD/xhtml1-stri
Yahoo! UI Library を使ったページ送りが可能なグリッドコンポーネント:phpspot開発日誌
Yahoo! UI Library を使ったページ送りが可能なグリッドコンポーネント 2006年09月22日- YUI Grid Sample This is a sample of using the YUI Grid created by Jack Slocum with a twist. Yahoo! UI Library を使ったページ送りが可能なグリッドコンポーネント。 次のようなウィジェットをJavaScript+CSSで実現しています。画像下部のページング部分を押すことで、ページ送りが可能になっています。 ライブラリ自体は、JSファイル、CSSファイルをダウンロードでき、レスポンスのXML形式もどのようにしたらよいか、というのが公開されているようです。 こういったインタフェースが使いたかった、という方は使ってみてはいかがでしょう :-) 関連エントリ
Ajax/CSS/PHP等のチュートリアルまとめ:phpspot開発日誌
Tutorials Round-Up: Ajax, CSS, PHP and More | Smashing Magazine Ajax/CSS/PHP等のチュートリアルまとめが公開されてます。 英文のサイトは本当にチュートリアルが充実していますね。 Ajax AJAX Desktop Tutorial AJAX Matters Blog Ajax RSS reader AJAX Tutorial Ajax: What is it Good For? → 続きを読む CSS Advanced CSS Layouts: Step by Step Beginner’s guide from a seasoned CSS designer CSS Advanced Guide CSS and HTML examples and tutorials by Ove Klykken CSS Basic
FireFoxでのPHP開発を手助けする「FirePHP」:phpspot開発日誌
FirePHP - Firefox Extension for PHP Development FirePHP allows you to take a deeper look at all the work your PHP code does to generate that page you are currently looking at in your Firefox browser. FireFoxでのPHP開発を手助けする「FirePHP」。 FireFoxのエクステンションとして動作し、FireBugの機能拡張をしてくれます。 インストールするとFireBug内に次のタブが表示されます。 サーバヘッダーで特定の文字列を返すとFireBug内、FirePHPウィンドウにその文字列が表示できます。 特定ヘッダーを出力するために、「FirePHP PEAR Package」が使え
Webアプリケーションを作る前に知るべき10の脆弱性 ― ＠IT
Webアプリケーションが攻撃者に付け込まれる脆弱性の多くは、設計者や開発者のレベルで排除することができます。実装に忙しい方も、最近よく狙われる脆弱性のトップ10を知ることで手っ取り早く概要を知り、開発の際にその存在を意識してセキュアなWebアプリケーションにしていただければ幸いです。 Webの世界を脅かす脆弱性を順位付け OWASP（Open Web Application Security Project）は、主にWebアプリケーションのセキュリティ向上を目的としたコミュニティで、そこでの調査や開発の成果物を誰でも利用できるように公開しています。 その中の「OWASP Top Ten Project」というプロジェクトでは、年に1回Webアプリケーションの脆弱性トップ10を掲載しています。2004年版は日本語を含む各国語版が提供されていますが、2007年版は現在のところ英語版のみが提供さ
画像ファイルに PHP コードを埋め込む攻撃は既知の問題
(Last Updated On: 2015年9月10日)国内外のメディアで「画像ファイルに攻撃用のPHPコードが含まれていた」と比較的大きく取り上げられています。しかし、この攻撃手法は古くから知られていた方法です。条件は多少厳しくなりますがPerl, Ruby, Pythonでも同様の攻撃は考えられます。PHPの場合は言語仕様的に他の言語に比べ攻撃が容易です。 典型的な攻撃のシナリオは次の通りです。 追記：Tokenizerを使った例に修正しました。 アバダなどの画像ファイルをアップロードできるサイトを探す ローカルファイルインクルードバグを探す 画像ファイルにサイトが利用している言語のコードを埋め込む 攻撃コードを含んだファイルを画像ファイルとしてアップロードする ローカルファイルインクルードバグを利用して攻撃コードを実行する PHPの場合、リモートインクルードバグを攻撃するための攻撃
第8回 クロスサイトスクリプティング対策の落とし穴 | gihyo.jp
今回は熟練したWebアプリ開発者なら常識のクロスサイトスクリプティング対策の落とし穴を紹介します。 JavaScriptを排除しているつもりで排除に失敗？！ 最近はSanitize（サニタイズ）という言葉の代わりにValidation（検証）という言葉をよく聞くようになったと思います。Sanitizeの意味を辞書で調べると「汚れている物をきれいにすること」とされています。この意味の通り汚れた変数をきれいにして使えば安全に利用できるとする考え方に基づくのがサニタイズ手法です。典型的な例は、「テキストを出力する前に"<"と">"を取り除く」方法があります。 例1 "<"と">"をereg_replaceで取り除く $safe_text = ereg_replace($_GET['text'], '[<>]', ''); この$safe_textを <a href="/script.php?t
PHPでフォームの値をリアルタイムチェック「LiveValidationPHP」:phpspot開発日誌
LiveValidationPHP | Home What is LiveValidationPHP? Well in short it's a form validation script. PHPでフォームの値をリアルタイムチェック「LiveValidationPHP」。 PHPとJavaScript でリアルタイムにバリデーションする仕組みが公開されました。 次のようにフォーム内容をリアルタイムにバリデーションできます。 バリデートのルールなんかはPHPで記述でき、JavaScript に慣れていなくても使えます。 関連エントリ JavaScriptでリアルタイム値チェックを簡単に行える「LiveValidation」
cl.pocari.org - PEAR Log を使って Firebug にログを出力する
PEAR Log を使って Firebug にログを出力する 2007-10-05-1: [PHP][Firefox][JavaScript] PEAR Log 1.9.11 から Firebug にログを出力することができるようになったみたいなので試してみました。 - PEAR :: Package :: Log http://pear.php.net/package/Log - Firebug - Web Development Evolved http://www.getfirebug.com/jp.html require_once 'Log.php'; $log = &Log::singleton('firebug', '', 'PHP', array('buffering' => true), PEAR_LOG_DEBUG); $log->log('デバッグレベルのログ', P
vimスクリプトsnippetsEmuを試してみた:ONE×ONE
2007年5月 6日 [日記] vimスクリプトsnippetsEmuを試してみた ZeroMemory - RoRの15分ムービーで使われているTextMateのsnippetsもどきなvimプラグインsnippetsEmuを見て snippetsEmuを 試してみたらコレがかなり良い感じ。 例えばfoo.phpを編集する場合INSERTモードで for<tab> と打つと for ( $<{ i }>=<{ }>; $<{i}> < <{}>; $<{i}>++ ) { <{}> } <{}> と変換される。 カーソルは最初の<{ i }>にある状態になる。 その後に cnt<tab> と打つと、$<{ i }> の値が全て$cntに変換され 次の<{ }>へカーソルが移動する。 まとめると、INSERTモードから for <tab>cnt<tab>0<tab>10<t
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
IDEA * IDEA