高木浩光＠自宅の日記 - Nyzilla Pro版、ストリーミングプレーヤ搭載へ
■ Nyzilla Pro版、ストリーミングプレーヤ搭載へ 昨年12月にリリースした「Nyzilla」には、非公開版の「Pro」（プロフェッショナル）バージョンがあり、通常版では先頭1ブロックの48バイトを確認できるだけだったところ、Pro版では、ファイル全体をダウンロードして保存する機能を持ったプロ仕様になっています。 もちろんこれは、公衆送信を伴わない真の意味でのダウンロードであり、ファイル共有ではありません。しかも、Nyzillaの本来の機能により、既にファイルを保持して公衆送信している相手に接続して、そこから直接コピーして入手するものなので、通常のWinnyを使って入手する場合の「複製を増やしてしまいかねない」といった懸念を払拭できるという、まさにプロ仕様になっています。 昨年12月の時点では、いかなるファイルもこの方法で適法にファイル内容の確認ができました。ところが、今年1月1日
「ヘタクソ」pixivに意図せず中傷コメント CSRF脆弱性を悪用
イラストSNS「pixiv」の一部の作品に対し、「ツマンネ」「ヘタクソ」「気持ちわる」といった中傷コメントが意図せずに投稿されてしまう問題が起きた。運営会社が調べたところ、何者かがユーザーに脆弱性を悪用した外部URLをクリックさせ、意図しないコメントを投稿させていたことが分かり、既に脆弱性は修正した。 ピクシブの開発者ブログによると、問題は2月5日～14日に発生。イラストのキャプション欄などに貼られていたあるURLをクリックすると、外部サイトを経由し、中傷コメントが投稿されるようになっていた。 URLをクリックしたユーザーが意図しない機能を実行させられるWebアプリの脆弱性の一種・クロスサイトリクエストフォージェリ（CSRF）を悪用していた。脆弱性は14日に修正した。アカウントが乗っ取られたわけではなく、個人情報の漏えいや改ざんはないとしている。ウイルス感染の被害もないという。 pixiv
セブン−イレブン、住民票と印鑑登録証明書を発行 - MSN産経ニュース
コンビニエンスストア最大手のセブン−イレブン・ジャパンは２１日、店内の専用コピー機に住民基本台帳カード（住基カード）をかざすだけで住民票と印鑑登録証明書が発行できるサービスを来年２月２日から順次、開始すると発表した。 来年３月以降は、それら以外の各種証明書発行についても導入を検討する。店内端末を使い、本格的な行政サービスを行うのはコンビニでは初めて。 まず東京都渋谷区と三鷹市、千葉県市川市の合計６店舗で２月２日から開始。３月には全国５０００店、５月には全１万２５００店舗に広げる計画だ。 使い方は、各店舗に導入される予定の新型マルチコピー機のＩＣカード読み取り部分に住基カードをかざし、本人を確認。交付手数料を支払うことで住民票などがプリントアウトされる仕組みだ。利用料は、各自治体の２００〜４００円と同額。 セブンは委託料として収入を得るほか、普段コンビニを使わない高齢者の女性層などを同サービ
知らなかったらNGなWEBアプリケーション脆弱性一覧 : mwSoft blog
先日、AmebaなうがCSRFという非常にポピュラーな脆弱性を披露したかと思ったら、ここ数日はセブンネットショッピングでXSSの脆弱性と、ID推測による他ユーザの個人情報閲覧の問題が発生しているという噂が流れています。 ユーザの情報を預かっておきながら、基本的なセキュリティの対策もできていないというのは、銀行に例えるなら、お金を預けようとした時に「お金は預かります。ちゃんと保管します。でも警備はあまりしないので盗まれたらスイマセン」と言われるようなものだと思う。 警備に穴があったというのではなく、まともに警備してませんでした、というのはさすがにありえないことです。 そこで、野良WEBプログラマである私が知っている脆弱性を列挙してみた。 私はプログラマであってセキュリティの専門家ではないです。しかも今年の春辺りからずっと外向けのWEBプログラムは組んでません。 その人間が知っているものを並べ
はてなブログ | 無料ブログを作成しよう
新米と秋刀魚のわた焼き お刺身用の秋刀魚を買いました。1尾250円です 3枚におろして、秋刀魚のわたに酒、味醂、醤油で調味して1時間ほど漬け込み、グリルで焼きました 秋刀魚のわた焼き わたの、苦味が程よくマイルドに調味され、クセになる味わいです 艶やかな新米と一緒に 自家製お漬物 土…
はてなグループの終了日を2020年1月31日(金)に決定しました - はてなの告知
はてなグループの終了日を2020年1月31日(金)に決定しました 以下のエントリの通り、今年末を目処にはてなグループを終了予定である旨をお知らせしておりました。 2019年末を目処に、はてなグループの提供を終了する予定です - はてなグループ日記 このたび、正式に終了日を決定いたしましたので、以下の通りご確認ください。 終了日: 2020年1月31日(金) エクスポート希望申請期限:2020年1月31日(金) 終了日以降は、はてなグループの閲覧および投稿は行えません。日記のエクスポートが必要な方は以下の記事にしたがって手続きをしてください。 はてなグループに投稿された日記データのエクスポートについて - はてなグループ日記 ご利用のみなさまにはご迷惑をおかけいたしますが、どうぞよろしくお願いいたします。 2020-06-25 追記 はてなグループ日記のエクスポートデータは2020年2月28
アメーバスタッフ『Amebaのセキュリティ対策について』
いつもAmebaをご利用いただきまして、ありがとうございます。 一部の皆様より質問いただきました、弊社サービスのセキュリティ対応について、 ご報告いたします。 弊社では新規サービスの開発時はリリース前に、 既存サービスは定期的に、外部セキュリティ監査会社による調査を必ず実施しております。 調査報告は深刻度別に分類され、これまでユーザーの皆様のデータ漏洩や 破壊につながる可能性がある部分については即時の対応を、 それ以外の部分については一定期間内での対応実施を徹底して参りました。 現在、昨今の事情を鑑み、影響の大きな部分については優先度を最上級にし、 緊急対応を行っております。 ご迷惑をおかけいたしますが、ご理解いただきますよう、お願いいたします。
『ぼくの名前をかたったウイルス？』
前の日記にも書いたけれど、 ぼくの名前をかたったウイルスがアメブロに広まっていたみたいなので、 ちょっとだけ調べてみたよ。 (参考) [ほまち] gooブログ検索 ぼくのIDって「hamachiya2」なんだけど、それとすごくよく似たIDを誰かが取得して、そのIDのプロフィールページに変なコードが仕掛けられてあったみたい。 ざざっと調べた感じだと、下の４つのIDを確認したよ。 homatiya2 (ほまちや２) [プロフィールの魚拓] [画面キャプチャ] homachiya2 (ほまちや２) [プロフィールの魚拓] [画面キャプチャ] hamatiya2 (はまtiや２) [プロフィールの魚拓] [画面キャプチャ] hamachya2 (ぼくはまちちゃん！こんにちは…) ※綴りに「i」がない [プロフィールの魚拓] [画面キャプチャ] いずれもプロフィールページに「 http://bit.
『アメーバあしあとちょう』
(追記 2009/12/17) アメーバの仕様変更により以下のものは使えなくなりました。 アメブロには「ペタ」っていう、ちょっとイイ機能がありますよね。 これはなにかっていうとmixiの足あとのようなもので、 mixiと違う点はといえば、 訪問者が「ペタボタン」を押さないかぎり、ペタが残らないという点。 ペタを残すか残さないかを、訪問者が決められるわけですね。 でも、このペタボタン、 もし自動でクリックする仕掛けがページ側にあれば mixiのあしあとのように、来訪者のIDを知ることができてしまいます。 そこで、ちょっと調べてみました。 どうやらペタをつけるは、以下のurlにリクエストすればokのようでした。 http://peta.ameba.jp/p/addPetaComplete.do?targetAmebaId=(ユーザーID)だけど少しだけ条件があって、 ・refererが空である
oqunoのブログ
サイドバーにフリープラグインを追加して中身を <script type="text/javascript"> $(document).ready(function(){ timer = setInterval('$.get("./")', 1000); }); </script> に設定するとよさそうです。
URL踏むと「こんにちは こんにちは!!」 AmebaなうのCSRF脆弱性で“意図しない投稿”広がる
12月10日にPC版がスタートしたサイバーエージェントのミニブログサービス「Amebaなう」で、あるURLをクリックすると、「こんにちは こんにちは!!」というフレーズとクリックしたURL文字列が自動で投稿され、「はまちや2」さんのアカウントを自動でフォローしてしまうという現象が広がった。 URLをクリックしたユーザーが意図しない機能を実行させられるWebアプリの脆弱性の一種・クロスサイトリクエストフォージェリ（CSRF）を突いたもの。同社は10日夜、URLをクリックしないようユーザーに告知。誤ってクリックした場合は投稿を削除し、はまちや2さんのフォローを外すよう呼び掛けた。11日朝までに脆弱性も修正したという。 mixiでも2005年、あるURLをクリックすると「ぼくはまちちゃん！」という日記が勝手に投稿されるという、CSRFを利用したスパムが流通したことがあった。コミュニティーサイト構
Gmailにゼロデイの脆弱性情報、メール盗み見の恐れ - ITmedia Biz.ID
米GoogleのWebメールサービス「Gmail」に、他人のメールを盗み見できてしまう脆弱性が報告された。Googleをめぐっては、このほかにも複数のサービスでゼロデイの脆弱性情報が公開されている。 Gmailの脆弱性情報は、ハッカーサイトの「GNUCITIZEN」などで公開された。同サイトによれば、この問題を悪用するとクロスサイトリクエストフォージェリ（CSRF）攻撃を仕掛け、Gmailアカウントにバックドアをインストールして会話をすべて盗み見することができてしまうという。 ユーザーがGmailにログインした状態で悪質サイトを閲覧すると、バックドアがインストールされ、被害者のフィルタリストに新しいフィルタが作成される。例えば、添付ファイルが付いたメールを自動的に別のメールに転送するフィルタを作成することが可能だという。 この攻撃は非常に悪質であり、ユーザーが被害に気付くことはまずあり得な
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
小学生の野良AP利用が口コミで増加中、携帯ゲーム機で容易に接続 
東京芸術劇場チケットサイト改ざん、運営のホリプロ事実公表せず 
『まあぶっちゃけ』
安室奈美恵やアルフィーの通販サイトでも不正アクセス被害