ITmedia エンタープライズ：大量の「はまちちゃん」を生み出したCSRFの脆弱性とは？
「mixi」上で、あるURLをクリックすると「ぼくはまちちゃん！」という日記が勝手にアップされてしまうという現象が多発した。その原因はCSRFの脆弱性だ。 4月19日以降、ソーシャル・ネットワーキングサイトの「mixi」で、URLをクリックすると勝手に「ぼくはまちちゃん！」というタイトルで日記がアップされてしまうという現象が多発した。 サービスを提供しているイー・マーキュリーでは、この現象について一応の対処は取った模様だ。ただ、技術的な詳細については「ハッキングでもなく、サーバ攻撃やウイルスでもない。ID盗難などの被害は発生していない」という回答のみで、「それ以上はコメントできない」と述べるにとどまっている。 だがある意味、このコメントは正しい。「はまちちゃん」現象は、ウイルスなどの仕業ではないからだ。 正規ユーザーの操作で「意図しない」結果に URLをクリックすると勝手に日記が書き込まれ
学んでから作るのではなく、作ってから学ぶ - ぼくはまちちゃん！
こんにちはこんにちは！！ 先日、ちょっとしたイベントで、学生の方にこんな質問をされました。 「自分は早くプログラマになりたい、作りたいアプリもある。 だけど来年にならないとプログラミングの授業が始まらないから、作れない」 と。 なるほど。 その時、ぼくが答えたのは、 「今日、家に帰ったらプログラミングしてください」 だったんだけど、言葉が足りなかったかもしない。 だからここに、もうちょっと詳しく書いてみますね。 アプリを作る、プログラマになる、一番手っ取り早い方法を。 1. 目標を立てる 作りたいものを思い描くということ。 いきなりすごいものを作るのは大変だから、最初の目標は少し抑えてちょっとしたものがいいね。 できれば、自分にとって便利なものや、少しワクワクするものがいい。 例えば、スマホで動くキッチンタイマーとかでもいい。 （これはワクワクしないかもしれないけど） 2. すぐに作り始め
スーパープログラマーはまちや - orangestarの雑記
2009年ごろの漫画用個人的メモをあさってたらこんなの出てきた。 多分頭おかしかったんだと思う。 スーパープログラマーはまちや ２０ＸＸ年、世界はビルゲイツによって支配されていた。 任天堂もソニーもソフトバンクもグーグルもマイクロソフトの傘下に入っていた。 はてなを追い出されるはまちや 「あっ」 「新しいアイデェアを出すプログラマーなんて必要ないよ。これからは枯れた技術の水平志向さ.ね、宮本さん。」 で、はてなを追い出されて、恨みを持っているプログラマーに復讐されプログラマーの命とでもいうべき両腕を切り落とされる。 ビルゲイツをさかうらんで復讐を誓う。 両腕を機械の腕にしてさらに４本。６本腕になった姿はまさに阿修羅であった。 で、マイクロソフトに戦いを挑む。 マイクロソフト四天王 アウトルックエキスプレス グーグル ＸＢＯＸ youtube アウトルックエキスプレス 「私は、もはや全世界で
(前編) うっかりGoogle+を使い始めるとGMailで本名をバラまきかねない - ぼくはまちちゃん！
こんにちはこんにちは！！ 先日、こんな記事が話題になってましたね！ » Gmail・Hotmailを使っている人は、本名が垂れ流しになっている可能性があるので注意！ …ふむふむ。 本名を登録してGMailを使っていると本名がバレる…？ え！あたりまえじゃん！ って反応が、はてなブックマークのコメントでも多かったよ。 でもね、これひとつ罠があると思うんだ。 なにかっていうとGoogle+。 AKB48もはじめたってことで話題になって始めた人も多いかもしれない。 でもGoogle+って、名前の取り扱いが最近は微妙に変わってるみたいなんだよね。 たとえば、いつものノリで、こんな名前で登録しようとすると… すぐに怒られます＞＜ あれれ〜機械的に判断してるのかな〜と思って、 もうちょっとマシな名前にしてみます。 やった！通った！よ〜し早速Google+でアイドルとか週末ヒロインとキャッキャウフフしち
webアプリケーションの脆弱性とは？ - OKWAVE
こんにちは！ 「フォームを勝手にサブミットしてしまう」 その認識でだいたいあってます！たぶん！ そのmixiの例だと、 入力画面 → (送信1) → 確認画面 → (送信2) → 完了 ってなるわけですが、 いくら確認画面が間にあったところで、 (送信2)の部分を「勝手にサブミット」しちゃえばいいわけです。 ※ただし今のmixiや、ちゃんとしたwebサービスは送信時にトークンをつけるとかCSRF対策してるのでできません 実際の攻撃の例としては、mixiやtwitterなどの多くの人が繋がっている投稿型サイトで、 「こんにちはこんにちは！！ このリンク先すごいよ！ http://～」 のような書き込みをしておき、 そのリンク先でformやJavaScript等で「自動的に勝手にサブミット」してしまいます。 画面には何も表示されなくてもかまいません。 そしてさらに勝手に書き込む内容を 「こんに
はまちちゃんと脆弱性報告のあり方 - 世界線航跡蔵
はまちちゃん がいつものごとく、AmebaなうにCSRF脆弱性を発見して いたずらを仕掛けた 。そして、何故か今回だけ「それは迷惑行為だ」とかなんか騒がしい。 私はそもそも、はまちちゃんのいたずらを「隙があったからカンチョー」に喩えるのが程度がおかしいんじゃないかと思う。それで非技術者には話が通じていないのでは? CSRFやSQL Injectionを許していたら、何よりも守るべきユーザーの情報が危険だ。そしてAmebaがそういう脆弱性を持っていると言うことは、生越さんが指摘するように首相官邸からの公式情報を操作できるという意味だ。これは「隙があった」んじゃないだろう。「開腹したまま内臓が露出している」んだ。 ところが、どうも現実の医師とは違ってこの世界の、特にAmebaみたいな大きな会社の開発者はその辺の意識が甘い。「手術したけど、まー、内臓が見えててもすぐに死ぬ訳じゃないし、適当に皮被
エゴサーチしよう - ぼくはまちちゃん！
こんにちはこんにちは！！ 今日もげんきにエゴサーチしてますか！ エゴサ、楽しいですよね…！ 特にブログ書いた後だとか、なにか事件を起こしちゃった時なんかは 世界のみなさんはどんな反応してるのかなーなんて気になって ついつい夜通しエゴサーチしちゃいますよね！ さて！ みんなはふだん、どんなやり方でエゴサしてますか！ やっぱり思い立った時のgoogle検索かな！ それともgoogleアラートとか…！ ぼくはやっぱりあれです！ 各種ブログ検索のフィードと、Twitter検索のフィードで…！ ほら、ふつうはたぶんブログ検索とかって、あまり使わないですよね！ だけどブログ検索って、エゴサにはぴったりなんですよ！ なぜって普通の検索とちがって、 検索キーワードを含む記事を時系列にだしてくれるから…！ 検索対象はブログっぽいページに限定されちゃうんだけど、わりとそれで十分な感じです！ これ特に検索結果の
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
純真無垢なプログラマーがアフィリエイトIDを書き換える素晴らしいブラウザ拡張機能を公開していた件(山本一郎) - 個人 - Yahoo!ニュース
開いただけで自動的にスターがつく便利日記 - ぼくはまちちゃん！
Gmail☆占い
ǝunsʇo ıɯnɟɐsɐɯ on Twitter: "ニコ動モバイルの件でつい最近「ひろみちゅの暴言がムカつく」みたいな議論があったけど、法的にはシロ。それに比べたらはまちちゃんの毎度のアレは全然白くないからCAは恥さらし上等で訴えたりしないかなぁ"
http://twitter.com/hamachiyasabu