crossdomain.xml と CSRF 脆弱性について - 2nd life (移転しました)
crossdomain.xml を安易に設置すると CSRF 脆弱性を引き起こす可能性があります。というのも、ここ数が月、それなりの数の crossdomain.xml による CSRF 脆弱性を発見し(現在、それらのサイトでは対策がなされています)、まだまだ Web プログラマに脆弱性を引き起こす可能性がある、という考え方が浸透してないんじゃないか、と思ったので。 先月、Life is beautiful: ウェブサービスAPIにおける『成りすまし問題』に関する一考察にも crossdomain.xml について書かれてたのですが、その後もいくつかのサービスで crossdomain.xml を許可ドメインすべてにしているサービスがあったので、注意喚起としてエントリーに書き起こします。 自分も一年半ぐらい前は、crossdomain.xml を許可ドメインすべて ('*') にして設置し
ニコニコニュース‐ニコニコの穴、バレる
ニコニコの穴、バレる ニコニコムービーメーカーをリリースして早二日経過しました。 7日現在でダウンロード数も25000を超え反響の大きさに驚き、大変嬉しく思っております。 ニコニコムービーメーカーの詳細とDLはこちら ※アクセスが集中しているためつながりにくい時間帯があります。 ちなみにニコニコムービーメーカーを使った動画の投稿数は500件を超え、再生数もじわじわと伸びてきているようです。 そして本日、ニコニコムービーメーカーを使って、FLASHゲームを投稿された方が居ました。 これはニコニコのシステムの穴を見事に突いており、セキュリティ上、問題がある為、以降FLASHゲームの投稿は出来ないよう対策を取らせて頂きました。 ただし、せっかくですので、今回投稿頂いたFLASHゲームは、記念碑としてそのまま残しておこうと思います。 なお、FLASHゲームの投稿は以前から技術的に可能になってい
Twitter の crossdomain.xml 問題について。 - てっく煮ブログ
ついったー足あと帳 関連でこんなブログ記事を発見した。今回は twitterのprotectな発言とかsettingからメールアドレスの取得や変更なんかできちゃってたわけで…2008-03-09 - skubotaの日記変更？？間違った情報が広がるとよくないので勝手に補足。この記事には誤解がある。確かに取得はできるけど、変更はできない。実際に試した私が言うんだから間違いない。（補足）ためしたのは、ついったー足あとちょうを作ったらへん。今は仕様変わってるかも(?)たぶん、サーバー側でリファラを見て弾いてるんだと思う。SWF からリクエストする場合は、SWF の URL がリファラとしてつくようになっている。リファラをなしにして送ったらうまく行くことも確認した。だから、swf からのクロスドメインアクセスに対しては通用しないであろう。よって、(1)メールアドレスの変更、(2)パスワードリセット
AS で別ドメインの画像を読み込むときの注意点 - てっく煮ブログ
asActionScript を使って 外部ドメインの画像を読み込むときの注意点を調べてみた。AS3 で調べたけど、AS2 でもセキュリティの機構自体は同じ（だと思う）。読み込み方Loader クラスを使えば外部ドメインの画像をロードできる。 var loader:Loader = new Loader(); var req:URLRequest = new URLRequest("http://www.example.com/sample.gif"); loader.load(req); addChild(loader); 画像形式は PNG、GIF、JPEG のみ。BMP はダメ。アニメーション GIF の場合は１フレーム目しか描画されない。読み込み完了したことを知るためには、contentLoaderInfo プロパティの complete イベントを監視すればよい。ファイルが存在し
Adobe Flash Player - Downloads
HTML5、WebGL、WebAssemblyなどのオープンスタンダードが年月を経て安定的に成熟し、Flashコンテンツの実行可能な代替手段として機能しています。また、主要なブラウザーの提供元は、これらのオープンスタンダードをブラウザーに組み込み、他のほとんどのプラグイン（Flash Playerなど）を廃止しています。Flash Playerのサポート終了について、Apple、Facebook、Google、Microsoft、Mozillaからの発表をご覧ください。 アドビは3年前にこの発表をしたことで、デベロッパー、デザイナー、事業者、その他の関係者が、既存のFlashコンテンツを新しいスタンダードに移行するための十分な時間を確保できたと考えています。サポート終了のタイミングは、一部の主要なブラウザーの提供元と調整したうえで決定しました。 サポート終了日後は、Flash Player
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
日本＼(＾o＾)／ｵﾜﾀ このーきなんのききになるきになるきー
