yachimonのブックマーク - はてなブックマーク

はてなにログインしてると人のブログを見ただけでユーザー名がバレる - 素人がプログラミングを勉強していたブログ
11 August 2014: はてなのサポートから連絡がきた。いつもはてなをご利用いただきありがとうございます。ご指摘いただきました件につきまして、ただいま対応を検討しております。第三者に悪用される可能性もございますので、もし、脆弱性を確認された場合には、先に弊社にご連絡いただき、脆弱性が修正されるまで、ブログなどで詳細を公開されないようご協力いただけますと幸いです。もしなにかご不明な点などございましたらご連絡ください。どうぞよろしくお願いいたします。しかしサポートにはこの記事のURLしか送っていないし、既に（一部ユーザによるDDoSも含めて）89656のスターがつくほど閲覧されているので、この記事を消してもしょうがない。よって、このまま放置する。読者は修正されるまで、決して悪用しないでほしい。テスト RSSで見てる人は直接開いてくださいはてブで指摘があったが、このペ
yachimon 2014/08/11
security

CSRF

はてなスター

javascript
リンク
Capy CAPTCHAは一瞬で突破できる - 素人がプログラミングを勉強していたブログ
Capy CAPTCHA 早速、実証コードが(CAPY IS A VERY READABLE CAPTCHA)出たようだ。このように一瞬で突破されてしまい意味がない。さきほどインターネットを見ていたらスパム防止用の「読みづらい画像認証」に、日本人が終止符を打った技術が斬新過ぎる！経由で、Capy - 低コストで導入も簡単な不正ログイン対策という、パズルを使った新しい新しくないCAPTCHAを知った。コンテストに優勝するなど肯定的な反応が多いので、この記事では、このCAPTCHAのセキュリティ上の問題点について簡単に書いておこうと思う。まず、Capy - デモにデモが乗っているので、タイプ別に問題点を示す。パズルタイプの破り方ジグソーパズルの空白を埋めるタイプのCAPTCHAである。話にならない。まず、縦横が5pxごとに吸い付くようになっているので、縦横400px*300pxだと
yachimon 2013/12/06
security
リンク
ルーターの脆弱性を探して侵入する手順 - 素人がプログラミングを勉強していたブログ
更新し忘れたが、既に下記の脆弱性は修正されている 4/11/2013 6:42 PM 追記:　明日エンジニアと調査するとカスタマーサポートから連絡があり、また近日アップデートパッチを用意するとのことだ。先日紹介した、Satechi Smart Travel Routerだが、ふと直感的にセキュリティに問題があるような予感がしたので、自分のルーターをアタックしてみた。結果から言うとCSRFが存在し、外部からインターネット越しに細工をしてあるURLを踏ませることで、ルーターのパスワード、SSIDを書き換えたり、WiFi to WiFiのリピータ機能のソースとなるWiFiを勝手に別の場所に書き換えて、Man in the middle攻撃を成立させたりできることが発覚した。自分がどのようにSatechi Smart Travel Routerの脆弱性を発見したのかを動画にとったので、無編集
yachimon 2013/11/04
network

security
リンク
クリックジャック - 素人がプログラミングを勉強していたブログ
最近流行のクリックジャックについて、メモ程度にまとめておく。一言で言うと、外部サイトのボタンをユーザが間違えてクリックしてしまうように仕向けるテクニックが、クリックジャックである。クリックジャッキングってこうですか？わかりませんではiframeをCSSのopacityプロパティを利用して透明にして、その下にダミーのボタンを置いている。目に見えているボタンを押そうとすると、その上に被せてある透明なiframeのボタンが押されてしまう。 [Sleipnir]No Click Jacking — Gistはこの攻撃に対する防御手段として考えられたユーザースクリプトで、透明なiframeを検出する。しかし、opacity以外にもクリックジャックをする方法はあるので不十分である。例えば 2009-03-04_2146 - javascripter's library にスクリーンキャストを
yachimon 2009/03/05
security

javascript
リンク
1