本当は怖いChrome拡張機能（作ってみたら確かにヤバかった） - DRYな備忘録
otiai10です。最近はフロントエンドのTypeScriptを書くお仕事をしています。個人的に艦これウィジェットやtwickというChrome拡張を作ってたりもします。先に言っておきますが、これらはどちらもGithubでソースコードを公開しており、悪いことしようが無いです。 端的に言うと、Chrome拡張はヤバいです。何でもできちゃう。 どんくらいヤバいか知ってもらうためにどうしようか考えた結果、ヤバいChrome拡張を作りました。30分かかんなかったです。 https://github.com/otiai10/chrome-twitter-hijack-sample （「レポジトリをforkして悪用する人間が出てくるかもしれない」とのご指摘を頂いたので、これを削除します） git cloneしてchrome://extensionsからパッケージ化されていない拡張機能を読み込むでこのr
GitHub に登録した SSH 公開鍵は全世界に公開されている | 774::Blog
意外と知らない人がいるようなのでブログに書いておきます。 GitHub のアドレスのあとに .keys を付けるとその人の SSH 公開鍵が表示される。 たとえば id774 さんの公開鍵であれば https://github.com/id774.keys を参照すれば良い。 ぜひ自分のアカウントで試してみて欲しい。 新規に用意するサーバーの ~/.ssh/authorized_keys に上記アドレスを wget したものを置いて適切なパーミッションを設定しておけばすぐに公開鍵認証ができるというわけである。 もうそろそろ公開鍵をメールで送ってくれとかいう文化が滅亡して GitHub から勝手に公開鍵を持っていくのが常識な世界になってほしい。
PHP はいつもわたしに新鮮な驚きを与えてくれる - 猫型の蓄音機は 1 分間に 45 回にゃあと鳴く
ことの始まり PHP の srand 関数について調べていて、ひょんな拍子にsrandのseedに文字列（numericである必要はあるけど）を渡せることを知った。 では、ここに long を超えるものを放り込むとどうなるのか。 では結果をごらんください。 「！？！？」 なぜこうなるのか 秘密は PHP 処理系の zend_parse_arg_impl 関数にあります。 zend_parse_arg_impl はphpの関数に渡された引数をパースする部分で、longを要求する関数にstringな値が渡された時の処理はこの部分ですね。 https://github.com/php/php-src/blob/master/Zend/zend_API.c#L335 さて、読み進めていくと「ん！？！？」ってなる行があるはずです。 この行ですね https://github.com/php/php-
Capy CAPTCHAは一瞬で突破できる - 素人がプログラミングを勉強していたブログ
Capy CAPTCHA 早速、実証コードが(CAPY IS A VERY READABLE CAPTCHA)出たようだ。このように一瞬で突破されてしまい意味がない。 さきほどインターネットを見ていたらスパム防止用の「読みづらい画像認証」に、日本人が終止符を打った技術が斬新過ぎる！経由で、Capy - 低コストで導入も簡単な不正ログイン対策という、パズルを使った新しい新しくないCAPTCHAを知った。 コンテストに優勝するなど肯定的な反応が多いので、この記事では、このCAPTCHAのセキュリティ上の問題点について簡単に書いておこうと思う。 まず、Capy - デモにデモが乗っているので、タイプ別に問題点を示す。 パズルタイプの破り方 ジグソーパズルの空白を埋めるタイプのCAPTCHAである。話にならない。 まず、縦横が5pxごとに吸い付くようになっているので、縦横400px*300pxだと
CGI版PHPに対する魔法少女アパッチマギカ攻撃を観測しました
昨夜に、魔法少女アパッチ☆マギカ攻撃を観測しました。魔法少女アパッチ☆マギカとは、PoCのソースコードに Apache Magica by Kingcope とコメントされていることに由来しています（というか、私がそう訳しましたw）。 これは10月29日にPoCが発表されたPHP-CGI攻撃(CVE-2012-1823)の変種です。従来のPHP-CGI攻撃は、CGI版PHPが動作する環境で、PHPスクリプト（中身はなんでもよい）に対する攻撃でしたが、魔法少女アパッチマギカの方は、/cgi-bin/に置かれたPHP処理系（php-cgiなど）に直接攻撃するものです。 CGI版PHPを設置する方法は複数ありますが、よく使われる方法としてApacheのリダイレクトによりPHPスクリプトをPHP処理系に実行させる方法があります。この場合、/cgi-bin/php-cgiなどとしてPHP処理系を公開
スノーデン事件の裏で起きていたSSL秘密鍵を巡る戦い:Geekなぺーじ
今月7日から9日にアリゾナ州で開催されたNANOG 59で、Ladar Levison氏がFBIにサービス全体のSSL秘密鍵を要求された話が公開されていました。 Ladar Levison氏が運営していた、Lavabitという電子メールサービスはスノーデン事件に関連して突如8月8日に閉鎖されています。 閉鎖時には詳細が書かれておらず、様々な憶測が語られていましたが、世界中から多数のネットワークエンジニアが集まるNANOGで、その一部始終が語られました。 この発表は、NANOG 59が開始される前の週に、裁判所が調査対象の氏名以外を機密解除したことによって実現しています。 インターネット上で提供されているサービス事業者にSSL秘密鍵を提出させ、かつ、その事実の公表が違法行為となるようにされてしまっている一方で、こういった内容を公的に語れるように裁判所で戦って、実際にそれを勝ち取るというのは凄
グーグルがG+ユーザーの名前や顔写真を広告に使えるよう利用規約変更へ
ついに来るものが来ましたね。 フェイスブックがユーザーの顔写真を広告に借用して｢俺ら聞いてないぞ！｣とボコボコにされたのに続き、グーグルもGoogle の名前・写真・オススメを広告ネットワークで使う｢共有エンドースメント｣なる新サービス開始とそれに伴う利用規約変更を発表しました。右も左もソーシャルエンドースメント、ですねー。 グーグルはブログでこう書いてます。 ｢グーグルであなたが共有するものはあなたのコントロール下にある｣（太字はグーグル） まあ、確かに自分の知らないところで広告に自分の写真を使われるのがイヤな人はここのGoogle の設定でチェック外して保存すればイチ抜けできます。そう、オプトアウト。でも何もしないでいると、本人からの同意抜きにグーグルに自分の情報を使われてしまうわけで、コントロール下にあることはあるんだけどないような。 あ～あ…YouTubeにコメント残したり、Goo
ＸＰ期限切れ、自治体「攻撃めったにない」 （読売新聞） - Yahoo!ニュース
米マイクロソフト社の基本ソフト「ウィンドウズＸＰ」のサポートが来年４月で切れる「２０１４年問題」。 サポート切れのＸＰを使い続けることは「ヘルメットなしでバイクに乗る」と例えられるほど、サイバー攻撃の危険は高まるが、自治体の更新作業は遅れている。専門家は「住民情報を扱う自治体は、セキュリティー対策を講じる責任がある」と指摘している。 ◆「たぶん大丈夫」 三重県四日市市の公用パソコンは約４０００台。このうち、ＸＰの後継ソフト「７」はわずか０・５％の２０台。残りはＸＰのままだ。 更新のための予算約６億円は来年度予算で確保できる見込みだが、導入が始まるのは来年８月から。戸籍や住民票を扱う業務システムがＸＰ専用で、システム交換が終わらないためだ。５か月近く、危険な状態が続くが、ＩＴ推進課職員は「サイバー攻撃はめったにあるものじゃないし、別に不安はない」とあっけらかんと話す。 知識不足から
iPhone 5s指紋認証あっさり破られる。ガラスに残った指紋で（動画）
iPhone 5s指紋認証あっさり破られる。ガラスに残った指紋で（動画）2013.09.24 02:508,203 satomi iPhone 5sの指紋センサーは｢便利でこの上なく安全なiPhoneへのアクセス方法｣だとアップルは宣伝してますけど、なんとガラスに残った指紋で簡単に解除できてしまうことがわかりました。浮気が気になる人、企業スパイは大喜びですね…。 今回もあんまりよく確かめないで企業の説明鵜呑みのアップルブロガーさんもいましたけど、あのiPhoneの指紋センサーは他の劣等な製品とは違う、皮の表面じゃなく皮下の指紋をRFで読み取るから生きてる指じゃないと破れないっていう話は一体なんだったのか…。 使ったのは、他の指紋認証破りと同じ手口 上の動画と付属の記事で、｢実際やってみたら他のセンサーと大差なかった｣と言っているのは、ドイツのカオス・コンピュータ・クラブ（Chaos Com
マイクロソフト、年間1万9500円で「Windows XP」のアップデートを延長か : 痛いニュース(ﾉ∀`)
マイクロソフト、年間1万9500円で「Windows XP」のアップデートを延長か 1 名前： フロントネックロック(家)：2013/08/30(金) 11:12:24.36 ID:85c7Yi/60 Windows XPのセキュリティアップデートを年間1万9500円でマイクロソフトが実施する可能性 すったもんだの末にWindows XPのサポート期限が5年間延長され、2014年4月8日までセキュリティパッチが提供されることになりましたが、それ以降もパッチが提供される可能性が高いことをコンピューターワールドが伝えています。サポート期限が近づく中、はたしてMicrosoftはどういう結論を下すのでしょうか。 Microsoft will craft XP patches after April '14, but not for you - Computerworld 来春、Microsoft
Googleのラリー・ペイジCEOのPRISMに関する公式声明（全文訳）
米Googleのラリー・ペイジCEOは6月7日（現地時間）、同社のCLO（最高法務責任者）のデビッド・ドラモンド氏との連名で、米連邦政府による極秘プログラム「PRISM」についての公式声明を発表した。タイトルは「What the ...?（何てこった）」となっている。 これは、米Washington Postが6日、米国家安全保障局（NSA）と米連邦捜査局（FBI）が、PRISMと名付けられた極秘プログラムを通じて「米国の9社の主要インターネット企業のセントラルサーバに直接アクセス」し、音声、動画、写真、電子メール、文書、接続履歴を含む膨大な量のデータを収集していると報じたことを受けたものだ。 同社は報道後すぐに広報担当者による声明を出したが、あらためてCEOの名前で公式ブログで説明した。この中でペイジCEOは、国民を守るために国家政府が行動を起こすことは必要ではあるが、現在の法的手続きに
Twitterのパスワードリセットメールを使う嫌がらせ攻撃を止める方法 - 聴く耳を持たない(片方しか)
Webサービスではパスワードを使って個人の認証を行うわけですが、そのパスワードを もしもうっかり忘れてしまった時のために、多くのWebサービスにはパスワードリセットのメールを送信する機能があります。 ユーザー登録に使ったメールアドレスに任意のURLを送り、そのURLでパスワードが無くても本人確認するという仕組みです。 もちろんTwitterにもこうした仕組みがあります。 トップページから 「パスワードを忘れた場合はこちら」をクリックして メールアドレスか、ユーザー名（screen_name）を入力して「送信」をクリック とするとパスワードリセットのメールが送信されます。 あとは届いたメールの指示に従って操作することで、パスワードを忘れてしまっても本人確認がされるというわけです。 そしてここまでの手順の説明から分かる通り、通常はTwitterではパスワードリセットのメールはユーザー名（scr
痛いニュース(ﾉ∀`) : サイバー攻撃のIPアドレスは「国内」でした 韓国政府が訂正 - ライブドアブログ
1 名前：西独逸φ ★：2013/03/22(金) 20:14:03.48 ID:???0 韓国の放送局や銀行などが狙われたサイバー攻撃で、韓国政府対策本部は２２日、攻撃に用いられた不正プログラムが中国のＩＰアドレスから送られたとの発表を取り消し、農協内部のパソコンから送られていたと訂正した。 対策本部は農協で使用されているＩＰアドレスが、国際機関公認の中国のＩＰアドレスと完全に一致していたたため誤認したという。 攻撃元は不明だが、プログラムの侵入経路は海外とみられるとしており、 農協のパソコンが外部からハッキングされ、サーバーに接続した可能性がある。 対策本部は発信源などの捜査には半年以上かかるとの見通しを示した。 http://sankei.jp.msn.com/world/news/130322/kor13032216590003-n1.htm 2 ：名無しさん＠１３周
「真犯人」メール解き、猫の首輪からチップ回収 : 社会 : YOMIURI ONLINE（読売新聞）
遠隔操作型ウイルスに感染したパソコンから犯行予告が書き込まれるなどした事件で、真犯人を名乗る人物から５日未明に複数の報道機関に届いたメールに、ウイルスのデータ入りとされる記録媒体の隠し場所が示されていたことがわかった。 警視庁などの合同捜査本部は、すでに記録媒体とみられるチップを回収しており、分析を進めている。 捜査関係者によると、メールで示された問題を解くと、記録媒体を隠したとされる猫の画像が見られ、捜査員がメールの内容に沿って神奈川県藤沢市の江の島に出向いたところ、画像に似た猫の首輪の裏から記録媒体らしきチップが見つかった。 一方、このメールは、通信記録の追跡を困難にする匿名化技術「Ｔｏｒ」を使って送信されていることも判明。Ｔｏｒは昨年１０月の犯行声明や、今月１日の真犯人を名乗るメールでも使われていた。
Tumblrでウイルス投稿が大量流通、閲覧すると自動でリブログ
ソーシャルブログサービスの米Tumblrは12月3日、ウイルス感染によるものと思われる投稿がTumblr内で大量に出回っていることをTwitterで確認し、対応に当たっていることを明らかにした。 同社のツイートでは「ウイルス投稿攻撃により、数千件のTumblrブログが影響を受けた。Tumblrのエンジニアが問題を解決した」と説明している。 セキュリティ企業の英Sophosによると、感染したTumblrのブログには、すべて同じ内容の投稿が掲載された。投稿は男性の写真入りで「Dearest `Tumblr’ users」という一文から始まり、人種差別的な内容や、Tumblrユーザーのブログを中傷するような内容が含まれている。 問題の投稿は、Tumblrの「リブログ」機能を使ったワーム感染によって広がったとみられる。投稿内には、暗号化されたJavaScriptをiFrameに隠す形で悪質なコード
銀行3社にてブラウザの入力画面で現れる暗証番号入力ウィルスが絶賛拡散中｜その対策方法
天才ですかと。 ブラウジング中にて、突如現れる入力欄。普通に入力してしまうよねこれ。 三菱東京ＵＦＪダイレクトインターネットバンキングログイン直後に、ご契約カード裏面の「確認番号表（乱数表）の数字すべて」を入力させる偽画面を表示するウィルスが発生しております。 当行ではログイン時に、「確認番号表（乱数表）の数字すべて」を入力いただくことはありません。 ウィルス感染等によるインターネットバンキングの犯罪にご注意ください（平成24年10月26日）。 | 三菱東京ＵＦＪ銀行 自然に入力させるウィルス ネットでは普通に何も考えずにユーザー名やらパスワードを入力するフォームっていうのはたくさんあるわけでして、そういう意味ではすごいウィルスです。 このウィルスに感染したままネットバンクにログインすると、暗証番号を入力するフォームが突然ポップアップしてきまして、このポップアップを出すためのウィルスって言
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
ある国内大手出版社、悪質なiframe仕込まれる、閲覧者が「Gongda」の餌食に 
TechCrunch | Startup and Technology News
TechCrunch | Startup and Technology News
長文日記