ブラウザ内で安全に文字列からDOMを組み立てるためのRickDOMというライブラリを書いた - 葉っぱ日記
RickDOM - ricking DOM elements safety from string https://github.com/hasegawayosuke/rickdom ブラウザ内のDOMParserあるいはcreatHTMLDocument APIを使って不活性なDOMを組み立てたのちに、必要な要素と属性、スタイルだけを切り出して複製しているので、原理的にDOM based XSSの発生を抑えることができます。 使いかたも簡単。 var rickdom = new RickDOM(); var container = document.getElementById( "container" ); var elements; var i; // read allowings property to show default rule // div.textContent =
様々なブラウザで、ID・パスワードを含むURLでBASIC認証できるか確認してみた - 思い立ったら書く日記
BASIC認証が必要となるWebサイトにアクセスする場合、URLにIDとパスワードを埋め込んでBASIC認証の入力ダイアログを表示させずに認証する方法があります（RFC 3986 3.2.1）。この認証方法を調べていたところ、Internet Explorer では MS04-004 以降無効になっていることを知りました（KB834489）。「では、他のブラウザではどうなのだろう」と思い、確認してみました。 確認結果 動作OS ブラウザ/バージョン 結果 Windows 7 SP1 Internet Explorer 9.0.8112.16421 失敗 Mozilla Firefox 16.0.2 成功（確認ダイアログ表示） Opera 12.10 成功 Google Chrome 23.0.1271.64 m 成功 Android 4.0.4(Galaxy Nexus) ブラウザ 4.0
本当は怖いChrome拡張機能（作ってみたら確かにヤバかった） - DRYな備忘録
otiai10です。最近はフロントエンドのTypeScriptを書くお仕事をしています。個人的に艦これウィジェットやtwickというChrome拡張を作ってたりもします。先に言っておきますが、これらはどちらもGithubでソースコードを公開しており、悪いことしようが無いです。 端的に言うと、Chrome拡張はヤバいです。何でもできちゃう。 どんくらいヤバいか知ってもらうためにどうしようか考えた結果、ヤバいChrome拡張を作りました。30分かかんなかったです。 https://github.com/otiai10/chrome-twitter-hijack-sample （「レポジトリをforkして悪用する人間が出てくるかもしれない」とのご指摘を頂いたので、これを削除します） git cloneしてchrome://extensionsからパッケージ化されていない拡張機能を読み込むでこのr
クッキーセッションハイジャック実験の方法 - パスワードセキュリティ研究所
実験を行うに当たって、他人の識別符号を使ったり、サーバのセキュリティホールを利用したりすると、不正アクセス禁止法に抵触し、逮捕されてしまいますので、あくまでも自分のアカウントの範囲で実験を行います。 当研究会の実験では、ブラウザとしてGoogle ChromeとWebTaster、パケット盗聴用としてWireSharkを使ってみます。 実験で調べるポイントは大きくは２つです。 クッキー盗聴で他人がログインできてしまうか その他人が、買い物だできたり、パスワードの変更ができたりと重要な操作が可能かどうか ※クッキーによるセッションハイジャックは、想定外の不正アクセスではありません。ですから、システム設計側は、ユーザを保護する意味でも、セッションハイジャックされた場合でも、ユーザの重要な情報にアクセスさせない仕組みが作られているかが肝になります。 ＜方法＞ まず、Chromeを使って、会員制の
Androidの脆弱性を見つけちゃった話
JVN#53768697 Android OS において任意の Java のメソッドが実行される脆弱性 が公表されました。 不肖私が昨年9月にIPAに届け出たものです。 これまでは情報非開示依頼があったので多くを語ることができませんでした。 ヤバい内容なのでみんなに注意喚起したかったけれどそれができない苦しさ。 周りでICS端末を使ってる人を見かけたら「事情は言えないけどブラウザにはChromeを使って。標準ブラウザ使わないで」と言うくらいしかできなくて申し訳ありませんでしたm(_ _)m 当時のいきさつを日記から掘り起こして記録に残しておきたいと思います。 2012年9月15日(土) WebViewを使ったビジネスアプリのフレームワークを作りたいという構想があって（PhoneGapにはないビジネス用の固有の機能を入れようと思って。バーコードリーダーとか印刷機能とか）、そういえば addJ
「Chrome」の「Windows XP」向けサポート、2015年4月まで
Microsoftは2014年4月に「Windows XP」のサポートを終了する予定だが、GoogleはXP向け「Chrome」をそれよりもさらに1年間長くサポートする予定だ。 Google Chromeのエンジニアリング担当ディレクターで公共安全を統括するMark Larson氏は米国時間10月16日のブログ投稿で、ChromeのXPユーザー向けサポートを2015月4月まで継続する予定だと述べた。つまり、XP上でChromeを使用するユーザーは引き続きアップデートやパッチの提供を受け、ブラウザの安全性を維持することができる。Larson氏が述べているように、マルウェアはパッチを当てていないブラウザの脆弱性を利用してコンピュータへと侵入することが多い。 Microsoftによる2014年4月のWindows XPサポート終了に伴い、リリースから現在で12年目の同OSとその組み込みアプリケー
Mobage(モバゲー) for PC
Mobage(モバゲー) for PCとは Mobage(モバゲー) for PCはパソコンからモバゲーを楽しむ為のchrome拡張機能です。 多くのサイトでブラウザのUserAgentの偽装方法を紹介していますが、最近はUserAgentの偽装対策が施されておりそれだけではプレイ出来なくなってしまいました。 Mobage(モバゲー) for PCは、5STEPで簡単にモバゲーのアプリをご利用いただけます。 2013/01/08 03:30追記:ガールフレンド(仮)に仮対応しました。 インストール手順 Google Chromeをインストールして、Google Chromeで作業を行ってください mobage-2.13.crxをダウンロード アドレスバーに「」と入力して拡張機能ページを開く ダウンロードしたmobage-2.13.crxを拡張機能ページへドラッグ＆ドロップ 確認画面が出てく
バッチで，リファラを改ざんし，ユーザエージェントを改ざんし，POSTリクエストを自動発行しよう （HTTPリクエストヘッダを自由に生成） - 主に言語とシステム開発に関して
バッチのまとめTOPへ Webアプリケーションのセキュリティチェックや自動テストを行なうために， WebサーバやAPサーバに対して，「任意のHTTPリクエスト」を手軽に発行したい。 「任意のHTTPリクエスト」とは，例えば・・・ リファラ（リンク元）改ざん ⇒画面遷移のロジックが不整合を起こさないか試験する ユーザエージェント（ブラウザ種別）改ざん ⇒携帯用のページとかがちゃんと表示されるか，実機を全く使わずに試験する POSTリクエスト自動発行，大量発行 簡易的な負荷試験 など，異常ルート寄りのもの。 こういった攻撃（というより，現実のネットワークで起こりうる事柄）に， サーバが耐えられるかどうかを知っておきたい。 以下では，こういった「好き勝手なHTTPリクエスト」を手軽に発生させるために， （１）XmlHttpRequestを使う場合 （２）IEオートメーションを使う場合 の２パター
Linux向け無料ウイルス対策ソフト・セキュリティソフト 【フリー】
□ Linux対応オンラインスキャン Linux上のブラウザから無料でウイルスチェックできるオンラインスキャンのサービスは存在しません。一般的なオンラインスキャンはすべてWindowsパソコン用です。ブラウザからファイル単体をアップロードして、各種セキュリティソフトのスキャン結果を一括提示してくれるオンラインスキャンのサービスはＯＳ関係なく利用できます。 □ ガンブラーウイルス 2009～2010年に報道されてる正規サイトの改ざん「ガンブラー」（Gumblar）。普通の一般サイトが改ざんされて不正なデータが埋め込まれるもので、そのような状態に陥ってるページを単にブラウザで開いただけで自動的にウイルスに感染してしまうという脅威です。ただ、この影響を受けるのは対策を行ってないWindowsパソコンに限られます。（→ Daonol/Katesウイルス） この手のサイト改ざんでは、ウイルスを発動さ
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
input type = password autocomplete = off は使ってはいけない
Node.js ランタイムに対する自動スケーリングの拡張機能
Flashと特定ブラウザの組み合わせでcross originでカスタムヘッダ付与が出来てしまう問題が未だに直っていない話
http://49hack.net/?p=278
純真無垢なプログラマーがアフィリエイトIDを書き換える素晴らしいブラウザ拡張機能を公開していた件(山本一郎) - 個人 - Yahoo!ニュース