もふったーをハックしたら予想以上に酷かった件 - kusano-k’s blog
TweetDeck をハックしたら予想以上に酷かった件 - Windows 2000 Blog もふったーの作者が、TweetDeckがConsumer keyとConsumer secretを平文で持っていることを批判していたので、もふったーはどうなっているのか調べてみた。 もふったーをインストールする Immunity Debuggerをインストールする Immunity Debuggerでもふったーを開き、下の画面のようになるまで、F9を押して実行する CPUウィンドウの左上の欄で右クリック → Search for → All referenced text strings 出てきた画面で右クリック → Search for text → 「consumer_key」で検索 oauth_consumer_keyをダブルクリック → F2を押してブレークポイントを設定 → F9を押し
OAuth 2.0 App-Only (Bearer Token)
<g> <g> <defs> <rect id="SVGID_1_" x="-468" y="-1360" width="1440" height="3027" /> </defs> <clippath id="SVGID_2_"> <use xlink:href="#SVGID_1_" style="overflow:visible;" /> </clippath> </g> </g> <rect x="-468" y="-1360" class="st0" width="1440" height="3027" style="fill:rgb(0,0,0,0);stroke-width:3;stroke:rgb(0,0,0)" /> <path d="M13.4,12l5.8-5.8c0.4-0.4,0.4-1,0-1.4c-0.4-0.4-1-0.4-1.4,0L12,10.6L6.2
neue cc - AsyncOAuth - C#用の全プラットフォーム対応の非同期OAuthライブラリ
待ち望まれていたHttpClientがPortable Class Library化しました、まだBetaだけどね！というわけで、早速PCL版のHttpClientをベースにしたOAuthライブラリを仕上げてみました。ポータブルクラスライブラリなので、.NET 4.5は勿論、Windows Phone 7.5, 8, Windows Store Apps, Silverlight, それと.NET 4.0にも対応です。 AsyncOAuth - GitHub 前身のReactiveOAuthがTwitterでしかロクにテストしてなくてHatenaでズタボロだったことを反省し、今回はSampleにTwitterとHatenaを入れておきました＆どっちでもちゃんと正常に動きます。なお、完全に上位互換なので、ReactiveOAuthはObsoleteです。それと、ライブラリのインストールはNu
TwitterのOAuth脆弱性
TwitterのOAuth脆弱性 Presentation Transcript TwitterのOAuth脆弱性 2013-03-01 Xtone Ltd. ピザ会 Aki / @nekoruri なにがおきたの？( ^o^) なんか友達からURL送られてきたお なにがおきたの？( ˘⊖˘) 。o(ID/Pass入力しなきゃ安全だよな……) なにがおきたの？|URL| ┗(☋｀ )┓三 なにがおきたの？( ◠‿◠ )☛ アクセストークンは頂いた、抵抗は無意味だ なにがおきたの？▂▅▇█▓▒░(’ω’)░▒▓█▇▅▂うわあああああああ なにがおきたの？( ^o^)なんか友達からURL送られてきたお( ˘⊖˘) 。O(ID/Pass入力しなきゃ安全だよな……)|URL| ┗(☋｀ )┓三( ◠‿◠ )☛アクセストークンは頂いた、抵抗は無意味だ▂▅▇█▓▒░(’ω’)░▒▓█▇▅▂うわああああ
Changes to the 'Sign in with Twitter' flow | Twitter Developers
We just made some changes to our OAuth 1.0A flow, enabling applications to better control automatic redirection behavior in the "Sign in with Twitter" flow. With these changes, we recommend you log in to dev.twitter.com and review the applications you’ve created and the specific OAuth options available to them. We’ve brought back the Allow this application to use 'Sign in with Twitter' option. You
【拡散希望】twitterの新型ウイルスがヤバい URL踏んだだけでアウト
2020/10/18 エンジニア D4DJ Groovy Mix オープンベータ開始 2020/10/18 ＤＪ 秋葉原(を夢見る)パラダイスレイディオ Vol.1 @ twitch配信 2020/10/25 エンジニア D4DJ Groovy Mix リリース 2020/11/14 ＤＪ UNDER Freaks 2nd anniv. @ 渋谷Cafe W (渋谷WOMB 1F) (2013/03/01 14:40追記) twitter側で、このタイプのウイルスへの対策が取られ、「URLを踏んだだけでアカウントを乗っ取られる」という脅威は無くなりました twitterに出現した新型ウイルスが非常にヤバいので、対処法などをまとめてみました。 #正しくはウイルスではなく「攻撃サイト」ですが、脅威が伝わりづらいので釣り気味に「ウイルス」と書いてます。 (2013/02/28 23:08追記)：
「ちょっとこれみてくれない」とurlを送るスパムDMの解析と解説
あの、ちょっと厄介なことがありまして。 いつもどおりのフィッシングサイトだと思ってたんですよ。 ...と思ってたら違ったのでまとめました。 スクリーンショットなどありますが、その中のURLには絶対にアクセスしないでください。 まず被害に遭わないために必要なことと被害に遭ったら必要なこと。 いろいろなページを見てみたところ、すこし違う点があったのでまとめさせていただきました。 k5342 @k5342 スパムDMの対策 ・興味本位にURLを開かないこと ・パスワード変えるとか結果無意味、アプリ連携を解除すること ・それスパムじゃない？って聞いてあげるのも効果アリ(そのときに解説サイトのURLを貼らないように) 2013-03-01 18:56:04
Web API 設計のベストプラクティス集 "Web API Design - Crafting Interfaces that Developers Love" - フリーフォーム フリークアウト
移転しました http://please-sleep.cou929.nu/20130121.html
OAuthの認証にWebViewを使うのはやめよう
AndroidからTwitterへアクセスするためのライブラリとして，Twitter4Jが有名です． これを使ってみようと，「Android Twitter4J」と検索すると 認証にWebViewを使った例がたくさん出てきます． ・・・いや，ちょっとまて． それはちょっとまずいだろう． そういうわけでもうちょっと賢い方法を探してみました． 何がまずいのさ 「Android Twitter4J」と検索すると，上位にこんなページが出てきます． Twitter4jを使ってOAuth認証をアプリ内で行う方法 Twitter4j-2.2.xを使ったOAuth認証のコーディング例 twitter4jでツイートする Android+Twitter4JでOAuthするためのソースコード 上のサイトでは次の様は方法をとっています． アプリ内にWebViewを貼り付け WebViewでTwitterの認証画面
OAuth 2.0をはじめよう
本書は、Webアプリケーションのためのユーザー認証プロトコルであるOAuth 2.0の概要を紹介する書籍です。基礎となるOAuth誕生の背景や用語の解説から、 サーバサイドWebアプリケーションフロー、クライアントサイドWebアプリケーションフロー、リソース所有者パスワードクレデンシャルフロー、クライアントクレデンシャルフローなどの各認証フロー、またモバイルアプリケーションからユーザデータへのアクセスや、次世代の認可・認証技術OpenID Connect認証に関する内容を概説しています（OpenID ConnectについてはOpenID Connect Basic Client Profile 1.0 - draft 15に基づいています）。なお本書はEbookのみの販売となります。 はじめに 本書の表記規約について サンプルコードの利用について お問合せ先 謝辞 1章 はじめに OAut
ssig33.com - OAuth とか OpenID とかのフローを利用してフィッシングする話
はじめに。これは霊界に住む死者からの通信に基き書かれた記事です。しかし文責は私にあります。 OpenID はパスワードの授受なしに認証の伝達が出来る仕組みです。 OAuth はパスワードの授受なしでリソースへのアクセス権限を委譲出来る仕組みです。 こうした仕組みを用いて外部サイトと連携している限り、外部サイトへパスワードなどが流出する可能性は低いです。また外部サイトが所有する OAuth の token などが外部に流出たとしても、サイトの利用者や OAuth を提供するプロバイダーがその token を早期に無効にすることが出来ます。 しかしセキュリティへしっかり配慮されて作られた OpenID や OAuth をパスワードを抜く為のフィッシングに使用することが出来ます。以下のような具合です。 OpenID 経由で外部サイトにログインしようとする/OAuth を使用して外部サイトに権限を
自社サービスの機能を簡単にAPIで提供出来てしまう！gem doorkeeperが凄い。 - @camelmasaの開発日記
自社サービスにAPIを実装する事ってあまりないですよね。 kamadoのプロダクトも現在はAPIは公開してません。 もし提供するのであれば、簡易的な方法ですが、ユーザーテーブルにtokenカラムを追加して、API用のルーティングを作成する…という方法が考えられると思います。 しかし、その実装時間でより良いAPIが実装出来るとしたら素晴らしいですよね。 そこで紹介したいのがgem doorkeeperです。 日本語の記事が見当たらなかったので記事にしました。 github https://github.com/applicake/doorkeeper gem doorkeeperってどんな機能があるのか？ 簡単に説明すると、 ・アプリケーションの管理機能 ・アプリケーションの承認管理 ・スコープの設定 いってしまえば、Facebook API(に近い実装)そのまま実装出来ます。 しかもOAu
Gmailの成りすまし事件、傾向と対策
池田信夫氏のGmailアカウントがハックされて、寸借詐欺メールが送信されたようです。 Gmailの振り込め詐欺にご注意池田信夫、自らのメールアカウントを乗っ取られ今日も見事な醜態を晒す私の周囲でも、知人が同種の被害にあっていますので、他人事ではない気がします。池田氏が被害にあった原因は不明のようですが、このエントリではその原因を予想（妄想）し、対策について検討します。 池田氏の主張：twitter連携アプリからの漏洩池田氏は自らのブログエントリで以下のように主張しています。 Gmailのパスワードを知らせたことはないのですが、ツイッターと共通にしていたため、「連携アプリ」を認証するときパスワードを入力します。これはシステム側に通知されないことになっていますが、悪意をもって偽装することは容易です。かなりあやしげなアプリも含めて20ぐらい使っていたので、そこから推測してGmailにログインされ
今月の呼びかけ：IPA 独立行政法人 情報処理推進機構
（ご案内） 2012年9月まで毎月公表しておりました「コンピュータウイルス・不正アクセスの届出状況」につきましては、2012年10月より、四半期毎の公表とさせていただくことになりました。2012年の第3四半期分の届出状況公表は、10月中旬を予定しております。 なお、「今月の呼びかけ」につきましては、従来通り、毎月の公表を予定しております。 最近、インターネット上のサービスである“Twitter（ツイッター）”などのミニブログサービスや、“mixi（ミクシィ）”、“Facebook（フェイスブック）”、“Google+（グーグルプラス）”などの SNS（ソーシャルネットワーキングサービス）が人気です。これらのサービスは、今の自分の行動や考えを簡単にインターネット上に発信できることや、同じ趣味や考えを持つ利用者同士の交流の場として利用できることが特徴となっており、多くの利用者を集めています。そ
RFCとなった「OAuth 2.0」――その要点は？
RFCとなった「OAuth 2.0」――その要点は？：デジタル・アイデンティティ技術最新動向（2）（1/2 ページ） いまWebの世界では、さまざまなWebサービスが提供するプラットフォームと、サー ドパーティが提供するアプリケーションがAPIを中心に結び付き、一種の「APIエコノミー」を形成しています。この連載では、そこで重要な役割を果たす「デジタル・アイデンティティ」について理解を深めていきます。 再び、デジタル・アイデンティティの世界へようこそ 前回「『OAuth』の基本動作を知る」ではOAuthの仕様がどういうものかについて説明しました。今回は引き続き、 OAuth 1.0とOAuth 2.0の違い OAuth 2.0をセキュアに使うために知っておくべきこと について述べていきます。 OAuth 1.0とOAuth 2.0の違い クライアントタイプの定義 OAuth 2.0では、O
Ruby on Rails ＋ devise & omniauth で サクっとTwitter連携 - VTuberになったプログラマーの魂の残滓
友達とのやりとりにちょっとしたツールが必要だったのでTwitterでサクっとログインしていろいろできるような実装をしていたのですが導入部分でちょいちょいコケたりしたので比較的新しいバージョンで動かせるサンプルを載せておきます。 なお、今回はほぼ Twiwt:Blog / jugyo : Rails で Devise と OmniAuth を連携させる を参考にすべてのコードを書きました。ありがとうございます。 こちらのエントリは上記記事の焼き直し記事になります。 今回使ったバージョン ruby 1.9.2 Rails 3.2.8 devise 2.1.2 omniauth-twitter 0.0.12 Gemfileを編集 gem 'devise' gem "omniauth-twitter" 今回はTwitter連携するため omniauth-twitter を追記しています faceb
「OAuth」の基本動作を知る
デジタル・アイデンティティの世界へようこそ はじめまして、OpenID Foundation JapanでエバンジェリストをしているNovです。 この連載では、僕を含めOpenID Foundation Japanにかかわるメンバーで、OpenID ConnectやOAuthなどの「デジタル・アイデンティティ（Digital Identity）」にかかわる技術について紹介していきます。 APIエコノミー時代のデジタル・アイデンティティ 世界中で9億人のユーザーを抱える「Facebook」や5億人のユーザーを持つ「Twitter」など、巨大なソーシャルグラフを持つサービスが、日々その存在感を増しています。日本でも、グリーやモバゲーなどがそれぞれソーシャルゲームプラットフォームを公開し、国内に一気に巨大なソーシャルゲーム市場を作り上げました。最近では、ユーザー数が5000万人を突破し、プラット
OpauthとtmhOAuthで極めてお手軽にTwitterと連携してみる - Mach3.laBlog
この記事は賞味期限切れです。（更新から1年が経過しています） PHPでTwitterのAPIを利用する方法は何度かPEARのServices_Twitterと絡めて記事にした事がありましたが、 今回はもっと手軽に導入できるOpauthとtmhOAuthを紹介してみます。 認証はOpauthで Opauth – Multi-provider authentication framework for PHP Opauthは、様々なOAuth認証を一手に引き受けてくれる認証フレームワークです。 執筆時に公式に紹介されていた利用可能なサービスは、Twitter・Facebookなどを含め11件。 これらのサービスへの認証機能は「ストラテジー」という形で外部モジュールとして提供されます。 所謂ストラテジーパターンと呼ばれる物ですね。 その使い方は、認証のみにフォーカスしているライブラリなだけあって恐
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
TwitterのOAuthの問題の補足とか
TwitterのOAuthの問題まとめ