知っていれば恐くない、XMLHttpRequestによるXSSへの対応方法
知っていれば恐くない、XMLHttpRequestによるXSSへの対応方法：HTML5時代の「新しいセキュリティ・エチケット」（3）（1/2 ページ） 連載目次 皆さんこんにちは。ネットエージェントのはせがわようすけです。前回は、同一オリジンポリシーを突破する攻撃の代表的事例であるXSSについて、特にDOM based XSSと呼ばれるものについて解説しました。今回はその続きとして、XMLHttpRequestによるXSSを解説します。 XHR Level 2によるリモートからのコード挿入によるXSS 従来、XMLHttpRequest（以下、XHR）は、表示しているドキュメントと同じオリジン（オリジンについては第1回を参照）としか通信できませんでしたが、現在の主要なブラウザーではXHR Level 2と呼ばれる実装により、オリジンを超えて通信することが可能になっています。 これは、Jav
HTML5時代のWeb開発者が知らないとガチヤバな3つの未来予測と6つの脆弱性対策
8月21～23日にパシフィコ横浜で開催された「CEDEC 2013」では、Webの世界に関するセッションも数多く行われた。本記事ではその中から、サイボウズ・ラボの竹迫良範氏による「HTML5のこれまでとこれから、最新技術の未来予測」と、セキュリティコミュニティでは大変著名なネットエージェント、長谷川陽介氏による「HTML5時代におけるセキュリティを意識した開発」の2つのセッションの様子をお送りしよう。 竹迫氏が「HTML」の周りの最新技術と、3つの未来予測を語る 未来予測その1：通信は暗号化が標準に――「スタバでドヤリング」から考える最新技術 竹迫氏はまず、スターバックスでスタイリッシュなMacBook Airをこれ見よがしに使う、「ドヤリング」という技術（？）について写真を出すところから講演を始めた。 実は、この「ドヤリング」、公衆無線LANを利用すると盗聴のリスクがあることが指摘されて
はてなグループの終了日を2020年1月31日(金)に決定しました - はてなの告知
はてなグループの終了日を2020年1月31日(金)に決定しました 以下のエントリの通り、今年末を目処にはてなグループを終了予定である旨をお知らせしておりました。 2019年末を目処に、はてなグループの提供を終了する予定です - はてなグループ日記 このたび、正式に終了日を決定いたしましたので、以下の通りご確認ください。 終了日: 2020年1月31日(金) エクスポート希望申請期限:2020年1月31日(金) 終了日以降は、はてなグループの閲覧および投稿は行えません。日記のエクスポートが必要な方は以下の記事にしたがって手続きをしてください。 はてなグループに投稿された日記データのエクスポートについて - はてなグループ日記 ご利用のみなさまにはご迷惑をおかけいたしますが、どうぞよろしくお願いいたします。 2020-06-25 追記 はてなグループ日記のエクスポートデータは2020年2月28
高木浩光＠自宅の日記 - ドコモはXMLHttpRequestにiモードIDを載せるのを止めるべきだ
■ ドコモはXMLHttpRequestにiモードIDを載せるのを止めるべきだ （建設予定地） （27日追記）建設計画廃止。XMLHttpRequestだけ止めても効果がないことを理解したため。 （29日追記）何が言いたかったか、後日書く。
［さらに気になる］JSONの守り方
XSSにCSRFにSQLインジェクションにディレクトリトラバーサル……Webアプリケーションのプログラマが知っておくべき脆弱性はいっぱいあります。そこで本連載では、そのようなメジャーなもの“以外”も掘り下げていきます （編集部） 次は、JSONにおけるセキュリティ対策 皆さんこんにちは、はせがわようすけです。第4回「［気になる］JSONPの守り方」はJSONPについて説明しましたので、今回は「JSON」についてもセキュリティ上注意すべき点について説明します。 JSONは、XMLHttpRequestで受け取り、JavaScript上でevalするという使い方が一般的です。 まずはサーバ側から送られる情報と、クライアント側での処理、それぞれの内容を見ておきましょう。 ［サーバ側］ HTTP/1.1 200 OK Content-Type: application/json; charset=
XMLHttpRequestでRefererをセットする - FAX
JavaScript 追記Firefox 3.0で確認したところエラーになった。 Firefox 2.0.0.13で確認しました。 var url = 'http://localhost:8080/index.html'; var referrer = 'http://www.hatena.ne.jp/'; var req = new XMLHttpRequest(); req.open('GET', url, true); req.onreadystatechange = function(){ // 1: 読み込み中 if(req.readyState == 1) req.setRequestHeader('Referer', referrer); // 4: 準備完了 if(req.readyState != 4) return; console.log(req.responseTe
HTA Tips - とっくりばー
調べながらTwitter Clientを作って身につけたHTAに関する知識。 ■HTAはどこのドメインにでも自由にXmlHttpRequestを使える 前から知ってたけど。JSONP使わなくても自由に書ける。 ■アンカーをクリックするとIEが開くけど、こうすればWindows関連づけで開ける。 他でやったことあるので応用したらできた。僕の場合はFirefox。 var url = "http:......."; var sh = new ActiveXObject("Shell.ActivationApplication"); sh.shellExecute(url); ↑なんかバグがありましたので修正 ■HTA:Applicationタグの前でwindow.resizeTo()する これは知らなかった。HTA:Applicationタグの後でwindow.resizeTo()すると一瞬通
Flashでクロスドメイン.js
crossdomain.js とは？ crossdomain.js は、Ajax でいうところの XMLHTTPRequest を Flash 経由で行う為のライブラリです。 通常の Ajax のリクエストでは、ドメインの異なるページへのリクエストが行えませんが、Flash 経由にすることで crossdomain.xml が置かれている一般的なAPI サーバーなら直接アクセスが可能です またJSON で E4X ライクに返値を返している為、XML の内側の要素に簡単にアクセスできて非常に便利です。 crossdomain.xml を利用してクロスドメインの壁を越えられる E4X ライクに簡単に XML 要素にアクセス ダウンロード 以下から入手できます。
Ajaxのセキュリティ――悪用防止の5つの対策
グーグルのGmailは最近、Ajax（Asynchronous JavaScript and XML）の可能性をめぐってWeb開発者コミュニティーの間で関心を集めた。Ajaxは、ブラウザの機能を拡張するために組み合わせて用いられる技術セットであり、ユーザーとアプリケーションがコンテンツにアクセスし、それを共有、編集することを可能にする。このWeb開発手法は特に新しいものではないが、Web 2.0（次世代のWebサービス）の一部と見なされている。Ajaxはすべてのインターネットベースのサービスと同様、独自のセキュリティ問題を抱えている。Ajaxの仕組み、それを悪用する手口、そして攻撃を防ぐための対策をみることにしよう。 Ajaxの仕組み Ajaxアプリケーションは基本的に、ユーザーのマシン上で実行される。これらのアプリケーションは、Webページ全体をリロードしなくても済むように、ユーザーに意
Manning Forums: Thank you ...
このように競馬、その魅力に取り憑かれる者は多い。 しかし、情熱の裏には暗雲が立ち込めることも。。。 膨大な数の「競馬予想サイト」がウェブの海に存在するが、果たして全てが信頼できるものなのか？ 一部には、夢を与える名の下に、正当な方法から程遠い手法を用いてユーザーの資産を奪おうとする悪徳・悪質なサイトが蔓延しているのが現状。 それでも、多くの競馬ファンが信じたいのは「真実の情報」。 彼らが探しているのは、正確な予想を提供する信頼のおけるサイトです。 私たちは競馬ファンの悩みに応えるべく、「ウマトピ」を立ち上げ、」競馬に役立つ情報サイトを作りました。 当サイトのような競馬予想サイトを検証するサイトは数多くあるものの「ウマトピ」は１味も２味も違います。 当サイト限定の項目！本物のデータでランキング付け！ 他のユーザーの評価がわかる「いいね」ボタンを設置！ 競馬予想サイトに登録せず、当サイトで無料
DED|Chain™ JavaScript Library
Cruft [kruft] The results of shoddy construction Superfluous junk Cruft is to hackers as gaggle is to geese Anything unpleasant that accumulates over time What's this? DED|Chain is free open source software (BSD License) that will allow you to build first class, high-quality websites without the cruft. You get the reliability of Yahoo! UI, and the developer friendliess of jQuery. You also receiv
AdobeのApolloを早速インストール＆プログラム書いてみた
注目していたApolloをようやく試せるようになりました。 Ajaxian » Adobe Apollo Alpha Release Flashと同じでブラウザ組み込みかと思っていましたが、ウィジェット的な感じ。FirefoxのExtensionのような雰囲気もあります。動作にはRuntimeが必要になります。 Adobe Labs – Downloads: Apollo Runtime これをインストールすると拡張子がairのファイルが動くようになります。airは1つずつインストールしてから使う模様。WindowsXPだとこんな画面が。 アプリごとに出るのはちょっと面倒かなぁ。 Apollo:Applications:Samples – Adobe Labs サンプルがいくつかあるのでダウンロードして実行。一番下のScreenPlayが面白い。 続いてSDKをダウンロードしてプログラムを
Live DOM Viewer
Markup to test (permalink, save, upload, download, hide): <!DOCTYPE html> ... DOM view (hide, refresh): Rendered view: (hide): innerHTML view: (show, refresh): <!DOCTYPE HTML><html></html> Log: (hide): Script not loaded. This script puts a function w(s) into the global scope of the test page, where s is a string or object to output to the log. Some files are available for testing purposes, notably
WebDAVサービス上で動く、HTML+JavaScriptだけで作られたブログエンジン - snippets from shinichitomita’s journal
WebDAV on XMLHttpRequest で、試しに作ってみようと思ってたのだけど、やっと動くものができた。 http://webdablog.freedav.com/app/admin.html ユーザ名：webdablog パスワード：（ユーザ名と同じ） 無料のWebDAVサービス FreeDAV を利用してます。こちらでは今のところログインしたユーザでしかファイルを参照できないので、やむなく管理者ユーザ名／パスワードを公開。フォルダをパブリックに公開できたり、複数人でフォルダをシェアできればいいのだけどな。 コメント記入不可。トラックバック不可。ブログエンジンとしては弱すぎ。でも、WebDAVファイル共有サービスさえあればブラウザ上でHTMLコンテンツが手軽に作れちゃうので、イントラネットなどで利用できるかも。とはいえIISで動くかどうかは試していないのですが。 ちなみにブロ
[鏡] 入門 JSON 3 -- JSONP とコールバック関数 -- 戯れ言
最近 JSONP というのが話題になっているようですので， ここで簡単に紹介します。 JSONP （JSON with Padding）というのは JSON のデータフォーマットにちょっとした記述を加えて JavaScript の関数として呼び出せるようにしたものです。 JSONP については以下の記事に簡単な説明があります。（多分この記事が初出だろうという話です） Remote JSON - JSONP 例えば以下のような JSON データがあるとします。 { "name" : "Yasuhiro ARAKAWA" } JSONP ではこのデータに記述を加えて JavaScript 関数のようにしたものです。 分かりにくいですね。 具体的にはこのように記述します。 callback( { "name" : "Yasuhiro ARAKAWA" } ); "callback" の部分は関数
![[鏡] 入門 JSON 3 -- JSONP とコールバック関数 -- 戯れ言](https://cdn-ak-scissors.b.st-hatena.com/image/square/b9403aeb9e428539e1bdb60550747807cd52d387/height=288;version=1;width=512/https%3A%2F%2Fbaldanders.info%2Fimages%2Fattention%2Fremark.jpg)
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Ajax Tutorial : Ajax Help for newbies » Ajax with PHP using responseXML
Thinker:不錯的文章: User-Proofing Ajax
人力検索はてな - 「EXCEL VBA」を使って、自分で指定したURLを自動的に開いて、そのソースを読んで、別のテキストファイルに保存する、というプログラムを作りたいと思っています。どのよ
JavaScript XmlHttpRequest tests
Jack Slocum's Blog » 3 Easy Steps to Avoid JavaScript Memory Leaks