[B! hatena][セキュリティ] adramineのブックマーク

CSSXSS脆弱性よりもっとヤバイ脆弱性がIEに発見されたようですねの対策 - 2nd life (移転しました)

hoshikuzu | star_dust の書斎#P20060428MHTMLREDIRECT で指摘されているように、現在の WinIE では mhtml スキームを悪用して、クロスドメインの html を取得することが可能になってしまっています。これを利用したはまちちゃんの実証コードを踏んだ人も居るでしょう(実際に WinIE だと情報が抜かれるので、安易に WinIE で見に行かないで下さい)。この対策として id:hosikuzu:20060428#P20060428MHTMLREDIRECT では以下のような対策方法が提示されています。そもそも信頼できないページを見ない IE使わないアクティブスクリプトとAxtiveXを切るレジストリでmhtmlスキームのハンドラを殺すこの中で一番簡単かつ安心なのは WinIE を使わないことですが、IE コンポーネントブラウザなどを

adramine 2006/05/01

リンク

いしなお! - 徳保さんのはてなXSS関連の認識の間違い

_ 徳保さんのはてなXSS関連の認識の間違いあるいは「ブログサービスの XSS 脆弱性対策はいらないその3」。徳保さんはセキュリティ関係の知識が足りていないんで、きちんと勉強するまではXSSなどのセキュリティ関係の用語を使わないで語った方がいい。というか誤解を広げめられると迷惑だ。「d.hatena.ne.jp 以下のコンテンツでスクリプトの悪用はありません、なぜならはてなが特別に許可したスクリプト以外は使用が制限されているからです」という安心感を売り物にしようとしているはてなはCookieによるユーザー認証を利用しており、ユーザーに自由なJavaScriptを許すと、認証情報の盗難・悪用が可能になるから、ユーザーのJavaScript利用を禁止している。それは「安心感を売り物にしている」というレベルではなく、ユーザー認証を利用したサービスを提供しているサービス提供者の最低限の義

adramine 2006/02/08

ま、いつもの。

リンク

2005-11-08

ログ表示画面の表示項目につきましてリニューアル後、ログ表示画面では、チェックボックスにて表示する項目を切り替えられるようになっております。しかしこれまで「次の50件」等でページを移動した場合に、チェックした項目が引き継がれませんでしたが、チェックした項目が引き継がれるよう修正を行いました。リンク元に表示しないURLがリンク元に表示されてしまう問題についてリニューアル後、「リンク元に表示しないURL」に指定したURLもリンク元に表示されてしまう問題が発生しておりましたが、修正いたしました。 idea:6911でご指摘いただきいただきました。ありがとうございました。はてなカウンターの集計結果の表示につきましてリニューアル後、はてなカウンターの集計結果（ブラウザ・リンク元など）は上位30件のみのなっておりましたが、その制限をなくし、すべてのデータが表示されるように修正いたしました。 i

adramine 2005/11/09

リンク

http://antipop.gs/docs/misc/hatena.txt

adramine 2005/11/09

リンク

はてなにセキュリティ的な問題についてご連絡申し上げた件についてのメモ - Kentaro Kuribayashi's blog

CNET Japan Blog - 近藤淳也の新ネットコミュニティ論：50%の完成度でサービスを出す CNET Japan Blog - 近藤淳也の新ネットコミュニティ論：危険を測る、可能性を測る確かに「ログインパスワードを誰でも盗めるような仕組みになっていたけれどろくに検証もせずに公開してしまった」みたいな事は許されない事です。はてなリング XSS 脆弱性報告メールはてな各サービスの機能変更、お知らせなど - はてなリング日記 - ロゴ貼り付け用 JavaScript のセキュリティホール修正についてこのエントリの投稿時点において、返信メールなし返信をいただきました。つか、別に「返信がない！ぷんすか！」という意味で書いたわけじゃないけどｗまぁ、「なるほどなぁ」といった流れ。