IPA ISEC セキュア・プログラミング講座：Webアプリケーション編 第8章 マッシュアップ：クライアントサイドマッシュアップ: #3 リクエスト強要攻撃による善意のAPIへの侵害
第8章 マッシュアップ クライアントサイドマッシュアップ: #4 リクエスト強要攻撃による善意のAPIへの侵害 シナリオ4 は、悪意のサイトのコンテンツにブラウザが操られ、ユーザの意思に反して善意のAPI への攻撃が起こるというものである。このシナリオで考えられる攻撃には「リクエスト強要攻撃」がある。本節では、クライアントサイドマッシュアップの状況におけるリクエスト強要攻撃について論じる。 「リクエスト強要攻撃」 リクエスト強要攻撃は、罠のコンテンツを用いてブラウザを誘導し、ユーザの意思に反した HTTPリクエストを善意のWebサーバへ送信させる攻撃である。ユーザ本人の望まない「更新系」のトランザクションが投入され、被害が生じる。 これまで注意深いWebアプリケーション開発者の間では、サーバにおける「更新系」の処理について「リクエスト強要攻撃」が警戒され、対策がとられてきた。対策が「更新系
Selenium2.x で Ajax なWebアプリケーションをテストしよう 〜 Facebook の自動あいさつ返答機能を実装 〜 - Yamashiro0217の日記
この記事では、Facebook のあいさつ(Poke)機能への返信を題材に、沢山たまるとウザい嬉しいあいさつを自動で返すスクリプトを書くことで、Selenium2.x の使い方、特に Ajax アプリをテストする方法について学べるようにする。 Ajax がからんだWebアプリケーションのエンドツーエンドの最近のテスト手法についてのまとめにもなっていると思う。 最初の3節ぐらいは「Seleniumとは〜」とか「テストってのはさー」とかゴタクをごたごた書いているので、Seleniumの実際のコード見た方がはえぇよ。って言う人はコードが出てくるまで記事を飛ばすと良い。 こんな記事を気合入れて書いて公開した当日に…FacebookのUIが変わって…作ってたスクリプト動かなくなってしまった…orz。俺が何かやったり買うと事件が起きるんや・・「なにか買うとその直後に安くなったり、新機種がでたりするとい
PHPのイタい入門書を読んでAjaxのXSSについて検討した(1) - ockeghem's blog
このエントリでは、あるPHPの入門書を題材として、Ajaxアプリケーションの脆弱性について検討します。全3回となる予定です。 このエントリを書いたきっかけ twitterからタレコミをちょうだいして、作りながら基礎から学ぶPHPによるWebアプリケーション入門XAMPP/jQuery/HTML5で作るイマドキのWeという本を読みました。所感は以下の通りです。 タレコミ氏の主張のように、本書はセキュリティを一切考慮していない 主な脆弱性は、XSS、SQLインジェクション、任意のサーバーサイド・スクリプト実行（アップロード経由）、メールヘッダインジェクション等 脆弱性以前の問題としてサンプルスクリプトの品質が低い。デバッグしないと動かないスクリプトが多数あった 上記に関連して、流用元のソースやデバッグ用のalertなどがコメントとして残っていて痛々しい 今時この水準はないわーと思いました。以前
Ajax - Goodbye, JSONP. Hello, Access-Control-Allow-Origin : 404 Blog Not Found
2010年08月17日06:45 カテゴリLightweight Languages Ajax - Goodbye, JSONP. Hello, Access-Control-Allow-Origin もうそろそろJSONPとはお別れできるのではないかと思い立ったので。 XMLHttpRequestとその問題 AjaxといえばXHRの愛称で親しまれているXMLHttpRequestですが、これには一つ重大な欠点がありました。 これを発行するDHTMLページのドメインが、Request先のドメインと一致する必要があったのです。いわゆる Same Origin Policy というやつです。おかげでサイトをまたがって使えなかったのです。これではマッシュアップできない。どうしよう。 JSONPとその問題 そこで生まれたのが、JSONPという手法です。 これは、scriptノードを追加した時に、単
Ajax IME: Web-based Japanese Input Method
Webベースの日本語入力サービスです。海外からでもブラウザさえあれば日本語を入力す ることができます。 特別なソフトは必要ありません。 使い方 お使いのコンピュータの日本語入力を切りかえて直接入力にします。 Alt-o (Ctrl-9) で Ajax IMEモードに変更します。(ボタンで切り替えるかえることもできます) 適当な文をローマ字で入力します。 spaceを押して漢字に変換します。続けて押すことで候補選択を行います。 returnを押す、もしくは次の入力を開始することで入力を確定します。 F9で強制的にカタカナに、F8で強制的にアルファベットに変換します。 再度 Alt-o (Ctrl-9)で直接入力に戻ります 海外旅行先や留学先, 海外のネットカフェなど日本語入力環境が 無いパソコンからご使用ください。 Firefox と Internet Explorer で動作確認をしていま
ハイテンションAjax入門 - 三等兵
JSが少しできる人ならうじうじ考えるほどのこともでもない！ 何も難しいことはない！ぶっとんぢまいなよ！ヒャッパー！！！ というノリでAjaxを学んでみました。醜いです。 Ajax入門 Ajaxはいろいろできるんだぜ！ 以上入門終り！キミは完璧だ！次いけ！ Ajaxは非同期通信だかなんだかそんなもんはどうでもいいんだ！ どうでもいい！そんなことよりもXMLHttpRequestオブジェクト生成！ var request = false; if(window.XMLHttpRequest) { request = new XMLHttpRequest(); //frefox ie7,8 safai opera } else if(window.ActiveXObject) { try { request = new ActiveXObject("Msxml2.XMLHTTP"); // ie6
【ハウツー】強力JSフレームワーク「Ext JS」が3.0に - 主な新機能をまとめてチェック! (1) JSフレームワーク「Ext JS」が3.0に - 主な新機能をまとめてチェック! | エンタープライズ | マイコミジ�
Ext JSとは Extは7月6日(米国時間)、Ext JSの最新版となるExt JS 3.0をリリースした。 Ext JSはJavaScriptベースのWebアプリケーションフレームワーク。高い拡張性をそなえ、デスクトップアプリケーションと比較しても見劣りしないユーザインタフェースをWebブラウザ上で簡単に実現することができる。 同ライブラリは各種Commercial Licenses、OEM / Reseller License、GNU GENERAL PUBLIC LICENSE Version 3の複数ライセンスのもとで公開されているオープンソースソフトウェア。ライセンス体系や各種価格についてはLicensing Overviewを参照されたい。 Ext JS 3.0の概要については、「Exit JS 3.0登場、コーディングなしでUI開発するツール」や「Ext JS 3.0 -
Exit JS 3.0登場、コーディングなしでUI開発するツール | エンタープライズ | マイコミジャーナル
Ext - A foundation you can build on Extは10日(米国時間)、Ext JSの最新版となるExt JS 3.0を公開した。Ext JSはJavaScriptで開発されたWebアプリケーションフレームワーク。軽量で高い拡張性を保持しつつ、デスクトップエクスペリエンスと近い滑らかな動作を実現しているという特徴がある。 Ext JS 3.0は多くの機能が追加されているほか、従来からある機能の拡張や改善も実施されている。もっとも注目したいのは、プレビューバージョンとしてだが同梱されるようになったExt Designerだ。Adobe AIRで開発されたUI開発用の統合開発環境で、コーディングすることなくUIを生成できるようになる。 Ext Designer Preview - Ext JS - Blogより抜粋 ただしExt JS 3.0とともに公開されたバージ
Ajax + XMPPベースのチャットシステム·JWChat MOONGIFT
XMPPはGoogle Waveでも用いられるということもあって、俄然注目を集め始めている。XMPPは既にJabberやGoogle Talkなどで使われており、多数の実装が存在する枯れた技術だ。それだけに情報量も多く、とても使いやすいだろう。 Ajaxを使ってブラウザでJabberチャットが可能 サーバも各種あるが、クライアントアプリケーションには何を採用するのが良いだろうか。専用アプリケーションをインストールするのも良いが、Webブラウザだけでできれば手軽だ。そこで使えるのがJWChatだ。 今回紹介するオープンソース・ソフトウェアはJWChat、AjaxによるXMPP対応クライアントだ。 JWChatはHTMLとJavaScriptで提供されるソフトウェアで、HTTP PollingやHTTP Bindingに対応したWebサーバと連携してJabberによるチャットを可能にしている。
Ajaxによるリアルタイムプッシュエンジン·APE MOONGIFT
Google Waveの発表で、一気にリアルタイムストリームへの流れが強まっている。基盤的な技術になるのはCommetやXMPPといったプッシュ配信を可能にする技術だ。相互のやり取りがリアルタイムになれば、コラボレーションはもっと素晴らしいものになるだろう。 トップページには同じURLを見ている人たちと会話を楽しめるデモ そんなプッシュ配信技術はCommetのような新しいもの、XMPPのように古参のものと幾つか存在する。その一つにAPEがある。 今回紹介するオープンソース・ソフトウェアはAPE、Ajaxによるプッシュ配信を行うサーバソフトウェアだ。 APEはAjax Push Engineの略称だ。技術的にはAjaxのみを使い、特別なプラグインなどを必要とせずにプッシュ配信を行うのが特徴だ。そのため、IE/Firefox/Safari/OperaといったWebブラウザはもちろんのこと、iP
JSONPを使ってJavaScriptだけでマッシュアップ
ヤフー株式会社は、2023年10月1日にLINEヤフー株式会社になりました。LINEヤフー株式会社の新しいブログはこちらです。LINEヤフー Tech Blog こんにちは、Yahoo!地図の開発を担当しています前田博敏です。 今回は、JavaScriptから外部サイトのWeb APIを直接呼び出すことができる、JSONPという手法について紹介させていださきます。 JSONPとは JSONPとは、JavaScriptの外部ファイル読み込み（「script」タグとその「src」指定）を利用して、ドメインの異なる外部サイトのデータを読み込む手法のことを言います。 JSONPを利用するには、呼び出される側のWeb APIがJSONP形式に対応している必要があります。 Yahoo!デベロッパーネットワークでは、現在のところローカルサーチAPIとショッピングAPIが、JSONP形式に対応しています。
Ajax - perlを実行するAPI : 404 Blog Not Found
2009年03月10日22:00 カテゴリLightweight Languages Ajax - perlを実行するAPI つくっちゃいました。 「404 Blog Not Found:Ajax - Lightweight Languages を実行するAPI」に置き換えられました。 まずはこれをご覧ください。 use strict; use warnings; use YAML::Syck; use Data::Dumper; my $n=1; print "DATA[",$n++,"]:$_" for <DATA>; print Dumper(\%INC); print YAML::Syck::Dump(\%INC); use Test::More 'no_plan'; is(1,1); is(1,0); __DATA__ use this instead of STDIN like
【ハウツー】サーバサイドでDOMを活用! 自由度が高いAjaxフレームワーク「ItsNat」 (1) まずはショーケースを見てみよう | エンタープライズ | マイコミジャーナル
ItsNatとは? ItsNatはJavaServletベースのAjaxフレームワークだ。Ajaxフレームワークにはリモーティングに特化したもの、コンポーネント指向のものなど様々なものがあるが、ItsNatは一言で表現すると「HTMLのDOMスクリプティングをサーバサイドで行うためのフレームワーク」といえる。JavaScriptで行うようなイベントリスナの登録やDOM操作をサーバサイドで行うことができるのだ。また、入力フォームなどはコンポーネントとして扱うことも可能だ。 なお、ItsNatのライセンスはGNU Affero General Public License v3 となっている。これはインターネット上で公開するサービスの開発に使用した場合でも、サービスそのものをオープンソースにしなければならないという制約がある。ソースを公開しない場合は商用ライセンスを購入する必要がある点に注意し
Java用Ajaxを使ったWebアプリケーションフレームワーク·Echo Web Framework MOONGIFT
※ 画面は公式サイトデモより プログラミング言語がそうであるように、フレームワークにおいても開発の向き不向きが存在する。開発するシステムやその特性に応じて最適なフレームワークを選択することは、開発の工数を下げたりユーザビリティを向上させる効果があるだろう。 まるでWeb OSのようなインタフェース 最近は基幹システムにおいてもWebアプリケーション化が進められている。そこでJavaを使った基幹システムであれば、Echo Web Frameworkの導入を考えてみても良さそうだ。 今回紹介するオープンソース・ソフトウェアはEcho Web Framework、Javaを使ったWebアプリケーション開発に役立つフレームワークだ。 Echo Web Frameworkはプレゼン層のフレームワークであるが、JettyやTomcat向けのライブラリが提供されており、Javaをサーバサイドに、Java
InfoQ: HTML 5 Web Sockets vs. Comet and Ajax
World Wide Webは90年代半ばに急速に成長し、情報分散の一番の手段となった。そしてブラウザがユビキタスになりユーザがそれを使うことに慣れてくれば、歴史上のどんなプラットフォームのユーザ数よりも多いユーザが利用するアプリケーションプラットフォームになることは明らかだ。しかし今はHTMLやHTTPなどの標準が、高度なインタラクションや優れたユーザエクスペリエンスといった考え方を元々の設計思想に持ってないため、まだその段階には至っていない。多機能なオンラインアプリケーションを提供しようとする初期の取り組みのいくつかは、MicrosoftのExchangeエンジニアチームでされていた。このチームはメールサーバのフロントエンドをOutlookに似たものにするために96年からIFrame要素を使っていた。当時はそれが応答性や全般的なユーザエクスペリエンスを妨げるものになっていたが、しかし来
SmartGWT 1.0: Sanjiv Jivan氏とのQ&A
先月の初旬、SmartGWT 1.0がリリースされた(リンク)。SmartGWT(リンク)はSmartClient(リンク)のJavaScriptコンポーネントを使ってGWTアプリケーションを構築するためのAPIである。SmartGWTはSanjiv Jivan氏(リンク)によって作られた。Sanjiv氏はgwt-ext(リンク)の開発をけん引した開発者で、その後ライセンスに絡む問題により参加を取りやめていた。 InfoQではSanjiv Jivan氏とSmartGWT、そして新しいプロジェクトに対する考え方、gwt-extとの比較、新しいプロジェクトの計画などについて話をした。 SmartGWTが提供する主な機能は？ SmartGWT(リンク)はGWTに対してSmartClient (リンク) AJAX RIAプラットフォーム向けの完全なAPIを提供します。SmartClientは完全な
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Sign in - Google Accounts
http://www.ajax.org/
IDEA * IDEA
smartgwt - Google Code