[B! hack] pomo123のブックマーク

アスタリスクで隠されたパスワードを確認する方法 [K'conf]

ログインが必要なサイトの多くは、IDとパスワードを入力するフォームが設置されています。通常、このようなフォーム内のパスワード部分に入力した文字は盗み見防止のため、「********」のようなアスタリスクになって文字が隠されるようになっていますが、しばしば、この入力したパスワードを確認したい状況になる場合も少なくありません。このようなケースに役立つハックの紹介。以下のJavaScriptをアドレスバーに入力すると、次のようなダイアログ内にパスワードが表示されます。 javascript:(function(){var s,F,j,f,i; s = ""; F = document.forms; for(j=0; j<F.length; ++j) { f = F[j]; for (i=0; i<f.length; ++i) { if (f[i].type.toLowerCase() ==

pomo123 2007/11/24

リンク

それ Unicode で

UTF-7 を使ってスクリプトを記述 +ADw-SCRIPT+AD4-alert(\'XSS\');+ADw-+AC8-SCRIPT+AD4- IE は、文字エンコーディングが不明で UTF-7 っぽい文字列があれば、自動判別で UTF-7 となる。

pomo123 2006/12/14

リンク

[を] Yahoo!API の検索結果を JavaScript で表示

Yahoo!API の検索結果を JavaScript で表示 2006-09-15-1 [YahooHacks] 今回の YahooHacks は Ajax ネタです。 Yahoo! API による Web 検索結果を JavaScript でパーズして非同期で表示します。XMLと非同期の処理に、川崎ゆうすけさんによる jkl-parsexml.js を使ってみたら、非常に良いっす、スバラシス。「まるごと Perl Vol.1」のJSON記事でも紹介されてましたね。 (検索サイトのサンプルを一時的に下記URLに置いておきます。そのうち消えますのでご了承下さい。 http://nais.to/~yto/tmp/yahoohacks-samp/hack_yjws_js.html) ■■■Yahoo!APIの検索結果をJavaScriptで表示する Yahoo! AP

pomo123 2006/09/17

リンク

[を] Yahoo!商品検索のRSSで商品検索サイトを作る

Yahoo!商品検索のRSSで商品検索サイトを作る 2006-09-13-1 [YahooHacks] どんな検索サービスにも言えることですが、検索結果のRSSが提供されているということは、そのまま検索APIとして使えるということを意味しています。てなわけで、今回の YahooHacks は、 Yahoo!商品検索(http://psearch.yahoo.co.jp/)のRSSを用いた検索サイトの作り方です。なお、「use CGI qw/-no_xhtml/;」としているのはバッドノウハウです。バージョンの違いもあるかもだけど、start_html() で散々嫌な目にあったので。今回は、CGI.pm で昔ながらの方法を使って書いてみたのですが、前述のバッドノウハウも含め、なんか疲れますね。普段はテンプレートを使っています。そういうサンプルも今後

pomo123 2006/09/14

yahoo
hack

リンク

[を] 指定した URL へのリンクのアンカーテキストを収集する

指定した URL へのリンクのアンカーテキストを収集する 2006-09-12-1 [YahooHacks] 今回の YahooHacks は「アンカーテキストの収集」です。とはいえ、文字コードにはまったー！「./hack_anchor.pl http://www.yahoo.co.jp/」を実行すると、「UTF-16LE:Malformed LO surrogate dab3 at /usr/lib/perl/...」などと怒られて落ちるのですが（環境によって異なるみたい…）、これを skip するにはどうしたら良いのでしょうか？とりあえず、decode のところを eval してみました…。 ■■■あるページへのリンクのアンカーテキストを収集する同じページを指すハイパーリンクのアンカーテキストにはいろいろとバリエーションがあります。例えば、 ht

pomo123 2006/09/13

リンク

うっかりだまされてしまう8つの質問

ソーシャルエンジニアリングが使われた事例を分析すると、幾つかのパターンが存在していることが分かる。プロの詐欺師は、状況に応じて複数のパターンを組み合わせている。情報を盗まれないためには、個別の攻撃パターンを理解することが役に立つ。これは、フィッシング詐欺で使われる最も簡単なメールの一文だ。この文を読んで「こんな言葉にだまされない」と思ったのではないだろうか。だが、この一文にはソーシャルエンジニアリングで使われるパターンを見つけることができる。ここには、金融機関からの電子メールを思わせる「ネームドロップ」、期間を限定する「ハリーアップ」といった手法が使われている。プロの詐欺師はこのようなパターンを複数組み合わることで、相手の信頼を獲得し、必要な情報を引き出すのである。それではソーシャルエンジニアリングで用いられる攻撃パターンを分類し、特徴を説明しよう。きっかけを探し出す「トラッシング（