JSONデータをクロスドメインアタックから守るためにwhile(1)を使うことをやめましょう - hoshikuzu | star_dust の書斎
これはなに 既にご存知の方がいらっしゃるかどうかも知りませんが今さっき関連文献に行き当たって驚愕したので念のためにメモを書いておきます。私はメーリングリストなどに加入していませんので論議が済んでいるかどうかも知らないのです。もしもウェブ上に解説記事があるようでしたら逆に私に是非とも教えてください。 JSONデータの先頭に JSONデータの先頭にwhile(1)を置いておくことで無限ループを発生させておいて、受動的攻撃のページの悪意あるscriptの実行を失敗させるというアイデアには欠点があるということを、先程とある文献から知りました。これはwhile(true)についても同様です。JavaScriptは柔軟で強力な言語ですから、ブラウザがJavaScriptエンジンをまじめに実装しているのであれば、アタックのチャンスを与えていることになります。しかしこれはブラウザの脆弱性とは捉えられません
はてなブログ | 無料ブログを作成しよう
新米と秋刀魚のわた焼き お刺身用の秋刀魚を買いました。1尾250円です 3枚におろして、秋刀魚のわたに酒、味醂、醤油で調味して1時間ほど漬け込み、グリルで焼きました 秋刀魚のわた焼き わたの、苦味が程よくマイルドに調味され、クセになる味わいです 艶やかな新米と一緒に 自家製お漬物 土…
Greasemonkeyの共通な落とし穴を避ける - minghaiの日記
Greasemonkeyの過去においてのセキュリティ上の問題の解説。 Greasemonkeyだけに限らず、JavaScriptによるユーザ拡張を作成している全ての方に対して一読の価値があるドキュメントだと思われます。 原文：O'Reilly Media - Technology and Business Training Greasemonkeyの共通な落とし穴を避ける Greasemonkeyのセキュリティの歴史があなたの今にどう影響するのか (著) Mark pilgrim "Greasemonkey Hacks"の著者 2005/11/11 昔々、あるところにセキュリティホールがありました。（これは普通のおとぎ話ではないからそのまま読んでください。） Greasemonkeyのアーキテクチャは最初に書かれて以来大幅に変更されてきた。Version0.3は初めて広範囲に人気を得たバー
Firefoxのprincipalとjsセキュリティ - ロックスターになりたい
Security check basics - MDC やっと理解できたかも。 Determining the subject principal セキュリティチェックを要求されると、セキュリティマネージャは current subject principal (セキュリティチェックを受けるactionをしようとしているactorのprincipal)を決定します。 Gecko 1.9のセキュリティマネージャはXPConnectが保持しているスタックから"current JSContext"を得ます。 このJSContextはそのコンテキストで今実行されているスクリプトのコールスタックを持っています。 スタックにjavascriptがなければ、subject principalは"system"です(全能のprincipalです)。 スタックにjavascriptがあるときは、スタックを上
JavaScript のリテラルに任意の文字列を出力してみる | 水無月ばけらのえび日記
更新: 2008年1月27日 Web アプリケーションのセキュリティガイドラインには、たいていの場合「スクリプト内に動的生成の文字列などを出力してはならない」という掟があったりするのですが、それにあえて背く場合のお話。 こんな感じの HTML 断片があったとします。 <script type="text/javascript"> <!-- foo.bar = <%= value %>; //--> </script> そして、この「<%= value %>」の部分に、ユーザが検索文字列として入力した任意の値を入れるというのが課題です。もちろん、そのまま出力すると XSS であっさり死亡するので、何らかの処理をしてから出力する必要があります。ちなみに、ユーザが何を入力したのか正確に知りたいので、任意の文字を削除したりすることはできない (削除してしまうと仕様を満たせない) と考えてください。
GM_xmlhttpRequestを使えなくする - FAX
JavaScript 追記 3ダメやん、arguments.callee.caller.caller.callerで辿れる。あと、変数とかを渡すのも大変か。やっぱりGreasemonkeyスクリプトとも連携取れないからだめだよな。 追記 2あきらめかけたけど、こんなんどや。 safeCall(function(){ evil(); }) function safeCall(f){ delete unsafeWindow.GM_safeCall; window.location.href = "javascript:function GM_safeCall(f){eval('('+f.toString()+')()')}"; unsafeWindow.GM_safeCall(f) } テストコードは以下。 返り値は、値を置いて、すりかえられないようにすぐに取るかんじになるかなー。 こんなこ
文字列を作る::JavaScriptでのおはなし - hoshikuzu | star_dust の書斎
出題編 alert(<>ABC</>); //firefox alert(/ABC/.source); alert(String.fromCharCode(65,66,67)); alert(String.fromCharCode(0x41,0x42,0x43)); CSRFのMLで登場した、（シングルやダブル）クォートを使わずに文字列を作る試み。このほか、documentオブジェクト,locationオブジェクトあたりから既にに存在している文字列をひっぱってきて加工するあたりもネライめ。 上記の解とは別の解があることに気がついたので、日記に書いてみます。 IE6とFirefoxとOperaとで共通の書き方でできました。 var x = "またきてね"; $userdata //ここでxの中身を書き換えます。 alert(x); 上記のように、$userdataがあって自由に書けるとき、「
100% Pure JavaScript Camellia - mixi engineer blog
NTTと三菱電機が共同開発した共通鍵ブロック暗号 "Camellia" の実装について以前調査していた時、ついカッとなってJavaScriptで実装してしまいました。類似の実装も既にあるようですし今は反省しているのですが、死蔵しておくのもナンなので晒しておきます。 ソースコードと使い方 小ネタなので、このソースコードはpublic domainということにしますね。 CryptoCipherCamellia-js-1.0.2 CryptoCipherCamellia.jsは128-bitブロック暗号Camelliaのプリミティブの実装と、暗号利用モードとしてCBCモードの実装を含んでいます。例を簡単に示すと次のような感じです: var SECRET_KEY = CryptoUtil.arrayFromHex( "00112233445566778899AABBCCDDEEFF"); var
XSS対策:JavaScriptなどのエスケープ - ockeghem's blog
昨日の日記に対して、id:ikepyonさんからトラックバックを頂戴した。内容はそちら(Tipsと考え方とXSS対策)を読んでいただくとして、興味深いテーマなので少し突っ込んでみたい。 # 日によって「です・ます」で書いたり、「だ・である」で書いているのは気分の問題なので、あまり気にしないでいただきたい Tipsだけでなく、物事の本質を見極め、何が危険で、何が安全なのかということを考える必要があると思う。 昨日の記事は、(一般的な)XSS対策として、どの文字をエスケープするのが「本質的」だったかを考えたかったのであって、あれをTipsととらえると確かに失敗する。 JavaScriptのスクリプトなどが入っている場合も昨日と同じ方法論で考えることは可能である。まずはこれを検討してみよう。 スクリプトがonXXXのイベントハンドラとして記述されている場合 この場合は、HTMLタグの属性値として
Ciencia Inútil o el Alquimista ドメイン名でMD5なパスワードを作るBookmarklet
2024-03 « 12345678910111213141516171819202122232425262728293031 » ついったー部に書いたエントリに、結城浩さんとid:sendさんからトラックバックをもらった。 www.textfile.org - Twitterとソーシャルハッキング nothing but trouble - パスワードとかの話 小飼弾さんにも触れてもらった。 404 Blog Not Found:javascript - Random Password Bookmarklet 僕はid:sendさんと同じく別環境でも使いたいので、パスワードマネージャによる管理は選べない。紙のメモも持ち歩くと不便。 自分ルールに則ってドメイン名を組み合わせたパスワードを使う、という手もあるけど、twitterのパスワード「twitter1234」をヌイッターに抜かれたら、
高反発マットレスの選び方 | アフィブログに騙されない為の高反発マットレス手記
ウレタン系高反発マットレスでよく言及されるのが密度です。それを頑張って分かりやすく説明してみます。
sawatのブックマーク / 2007年4月16日 - はてなブックマーク
_ ライフ ライフゲーム 永遠に動き続けるJavaScriptを作りたいわけだが、とりあえず100世代で死ぬように作ってある（forはまだっぽいというのはなんとなくわかったような）。（追記×3のタイミングでの追記：100世代ではなくボタンクリックでトグルに現在は変えている） で、これは途中でインタラクションを受け取れるように function shownext() { if (--willStop < 0) { clearInterval(timerId); return; } ... } function showLife() { willStop = 100; timerId = setInterval(shownext, 100); } というように、setIntervalを利用して隙間を空けている。 で、本当はsetIntervalじゃないのを使いたいのだが、わからなくてへこむ。と
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
またjavascriptのセキュリティ - ロックスターになりたい