[B! 脆弱性] norinicoのブックマーク

クロスサイトスクリプティング(XSS)とCSRFの違い早分かり - ockeghem(徳丸浩)の日記

昨日の日記で、DK祭りで使われている脆弱性がXSSかCSRFかという問題になった。どうも、XSSとCSRFがごっちゃになっている人もいるように見受けるので、簡単な整理を試みたい。 XSSとCSRFには似た点がある。どちらも「クロスサイト」という言葉が先頭につくなりすましのようなことが結果としてできるどちらも受動型攻撃であるそれに対して、もちろん違う点もある。専門家から見れば「似てるも何も、そもそも全然違うものですよ」となるのだろうが、現に混同している人がいるのだから紛らわしい点もあるのだろう。私思うに、XSSとCSRFの決定的な違いは、以下の点ではないだろうか。 XSSは攻撃スクリプトがブラウザ上で動くが、CSRFはサーバー上で動くこのため、XSSでできる悪いことは、すなわちJavaScriptでできることであって、攻撃対象のCookieを盗み出すことが典型例となる。一方、CS

norinico 2012/10/22

リンク

https://www.jpcert.or.jp/at/2011/at110009.txt

norinico 2011/04/18

リンク

Windowsに新たな脆弱性――不正なサムネイルで悪用の恐れ

Windowsのグラフィックスレンダリングエンジンに未修正の脆弱性が見つかった。Windows VistaやXPが影響を受ける。米Microsoftは1月4日、Windowsに新たな脆弱性が見つかったとしてアドバイザリーを公開した。問題を修正するための更新プログラムはまだリリースされていない。同社によると、脆弱性はWindowsのグラフィックスレンダリングエンジンに存在する。OSはWindows Vista／Server 2003／Windows XPが影響を受ける。一方、Windows 7とWindows Server 2008 R2は影響を受けないという。攻撃方法としては、細工を施したサムネイル画像をWordファイルやPowerPointファイルに仕込んで電子メールで送りつけたり、ファイル共有などを通じてユーザーに閲覧させたりする手口が考えられる。ユーザーがこれを見てしまうと、攻

norinico 2011/01/05

リンク

IEに未修正の脆弱性、Microsoftがアドバイザリー公開

悪質なコードを仕込んだWebサイトを閲覧すると、リモートでコードを実行される恐れがある。Microsoftのパッチは準備中だ。 Internet Explorer（IE）に新たな脆弱性があることが分かり、米Microsoftが12月22日付でアドバイザリーを公開した。同社によると、この脆弱性はIEでCSSを処理する際に、初期化されないメモリが生成されることに起因する。影響を受けるのはIE 6～8の全バージョン。攻撃者は特定の状況下でこの問題を悪用して、悪質なコードを仕込んだWebサイトをユーザーに閲覧させ、リモートでコードを実行できてしまう恐れがある。この問題を突くコンセプト実証（PoC）コードは公開されているが、実質的な攻撃の発生は現時点では確認されていないという。脆弱性を解決するための更新プログラムは現在準備中だが、現時点で臨時アップデートをリリースする基準には達していないという

norinico 2010/12/24

しばらくIEは使わない方がいいと思うんだ。

IE
脆弱性

リンク

Archived MSDN and TechNet Blogs

If you were looking for MSDN or Tech Net blogs, please know that MSDN and Tech Net blog sites have been retired, and blog content has been migrated and archived here. How to use this site Archived blogs are grouped alphabetically by the initial letter of the blog name. Select the initial letter from the TOC to see the full list of the blogs. You can also type the name of the blog or the title of the