iモード専用サイトのhtmlソースの閲覧方法 « mpw.jp管理人のBlog

iモードブラウザ2.0のJavaScriptを調査･研究する過程で、iモード専用サイトのhtmlソースを閲覧する方法を発見しました。 今回発見した方法を用いれば、「ドコモ・ゲートウェイ以外からのアクセスを禁止している」、「サーチエンジンのクロールを禁止している」、「XSS脆弱性が存在しない」の三つの条件を満たしているiモード専用サイトでも、htmlソースを閲覧することができます。 しかし、htmlソースを閲覧するためには、そのiモード専用サイトが別の二つの条件を満たしている必要があります。 htmlソースが閲覧可能なiモード専用サイトの条件 デフォルトホストで運用されている。（ヴァーチャルホストではない） iモードブラウザ2.0のJavaScriptからのアクセスを禁止していない。 iモード専用サイトのhtmlソースの閲覧方法 iモードブラウザ2.0のJavaScriptで、htmlソース

[tejima068]

あたまいい

[Fushihara]

iモードサイトのhtmlソースを見る方法。

[setamise]

DNS Rebinding + ドコモ携帯JS

[mabots]

「htmlソースが見えないことを前提としてiモード専用サイトを作成することが非常に危険であるということを、改めて再認識しました。」

[invent]

けっこう手間がかかる。

[iishun]

iモードブラウザ2.0 の JavaScript は危険がいっぱい。

[ken39arg]

全てバーチャルホストで運用しているからとりあえず問題ないか？

[nitoyon]

ホスト名ベースでAjaxするため、DNS Rebindingすると任意のドメインの情報をユーザーのコンテキストで表示できる。プライバシーを侵害することも可能。VirtualHost で対処は可能。（関連）http://www.hash-c.co.jp/info/20091124.html

[mpw_jp]

たくさんブックマークされてる・・・

[kkeisuke]

携帯

[zorio]

すごい発想だよな、これ。デスクトップ用のブラウザではIPアドレスでのチェックもしてるんだろうか。

[hiro_y]

「iモードブラウザ2.0のJavaScriptのクロスドメイン通信制限が、ホスト名ベースであることを利用して、クロスドメイン通信制限を突破しています。」

[matsutakegohan1]

特定機種からのアクセスはXSSと同レベルのぜい弱性があるかも。

[AmaiSaeta]

そもそもHTMLコード見られて困る状況が分からん。そりゃよっぽど馬鹿な実装されてればアレだけど、そりゃセキュリティ云々以前に開発者が残念なだけじゃ。

[matuix]

『「ドコモ・ゲートウェイ以外からのアクセスを禁止している」「サーチエンジンのクロールを禁止している」「XSS脆弱性が存在しない」の三つの条件を満たしているiモード専用サイトでも、htmlソースを閲覧できる』

[datajam]

htmlソースだけではなく、jamやjarも取得可能ですな

[orchid_888]

いまさらYahooニュースで話題になってる件

[orangevtr]

モバイルならソース見えないからXSS対策とかセキュリティ気を使わなくてもいいとか言ってる開発者は滅んでくれっつー話

[taro-maru]

やう゛ぁぃ

[mgkiller]

あーりゃー、こりゃ駄目なんじゃ。

[ockeghem]

再ブクマ。この手法に関連して、DNS Rebindingにより「かんたんログイン」が突破される可能性を発表しました。 http://www.hash-c.co.jp/info/20091124.html

[takeru-c]

iモード専用サイトのhtmlソースの閲覧方法

[GARAPON]

ソース見れちゃうと某サイトの認証コードがみれてしまうような。。。

[Rewish]

ほー

[cubed-l]

なるほど。ソース見られることが問題になることはあり得るのかなぁ

[MinazukiBakera]

HTMLのソースが見られたところで問題はないはず、はず、はず……なんですけどね。そうも言っていられないサイトは多いのでしょうか。DNS Rebindingは他のことも使えそうな気がしないでもない。

[topiyama]

条件は『デフォルトホストで運用されている。（ヴァーチャルホストではない）』『iモードブラウザ2.0のJavaScriptからのアクセスを禁止していない』また機能停止？

[rhosoi]

なるほど脆弱性とは違う（とゆーか、ソース見られない前途は脆弱）

[fuktommy]

iモードサイトなら、ソースが見られても大丈夫なように設計できるはず。

[hiro-rock]

i-modeブラウザのクロスドメイン通信制限はホスト名がベースなのでそこを利用する ガラケーサイトでもソースは見られてしまう可能性があるので注意する