Clickjacking - KENJI’S BLOG
まっちゃ445でも話題にあがったclickjacking。 ブラウザに透明なフレームを貼付けて、ユーザーに意図しないリンクをクリックさせる攻撃方法 http://www.planb-security.net/notclickjacking/iframetrick.html ソースコードは↓こんな感じ <html> <title>Real Clickjacking?</title> <head> <style> span.fakebutton_1{background-color:red;font-weight:bold;font-size:12px; position:absolute;top:463px;left:365px;z-index:-10} span.fakebutton_2{background-color:orange;font-weight:bold;font-size:
security of vimperator - KBDAHOLIC - やぬすさんとこ
そういえば言及してるひとをみたことがないなと思って。せっかく流行ってきたのに水さすなとか言われそうだけど誰かがイヤな思いする前に言っといた方が親切だと思うので自重しない方向で。 まず vimp って何かってのはざっくりいってしまうと JavaScript 1.8 shell だってこと。出発点は web browser にも vim like な interface を !! なんだけどそれを実現するための手段として vim の持つ特徴を模倣するというのがまずあって home position から手を動かさなくていい key bind key bind を自由に変更することができる柔軟性 plugin による拡張性 command line からの ex-command による操作 scripting language shell としての command line ってのが vim の
CSSXSSを改良した？手法でmixiのpost_keyを抜き取るデモを作りました - ?D of K:
IDを抜き取る方法が思いつかなかったので、「はまちちゃん」の書き込みの二年来の再来とはいきませんが、セキュリティーホールだと思うので、早めに書いておきます。（修正済みです） 実証コード http://k75.s321.xrea.com/cssxss/mixi.html パッチ済みのIE6でmixiにログインしていた場合、post_keyの取得を確認できると思います。勘違いだったらすみません。その際、僕のmixiのあしあとに残るのでその点のみ注意してください。 手法 CSSの読み込み いわゆるCSSXSSと同じようにlinkを使って、ファイルを読み込みます。旧来の手法では中括弧があることでCSSと誤認識させ、cssTextで取得しましたが、今回は文中に「}selector{property:」という文字列を埋め込んで、selectorに該当する要素のcurrentStyle.property
Compromising Electromagnetic Emanations of Wired and Wireless Keyboards - Martin Vuagnoux and Sylvain Pasini
COMPROMISING ELECTROMAGNETIC EMANATIONS OF WIRED AND WIRELESS KEYBOARDS Martin Vuagnoux and Sylvain Pasini Computer keyboards are often used to transmit sensitive information such as username/password (e.g. to log into computers, to do e-banking money transfer, etc.). A vulnerability on these devices will definitely kill the security of any computer or ATM. Wired and wireless keyboards emit electr
WPAが部分的にクラックされる - huixingの日記
かつては安全と考えられていたwifiの暗号であるWPAが部分的にクラックされてしまった。WPAで使われるTKIPを比較的短時間でクラックすることに成功したものだがデータを送る際のエンクリプション・キーはクラックすることができなかった。以前からTKIPは辞書攻撃を使うことでクラックされるだろうと予測されていたが、今回破られたTKIPは別の方法を使ったもの。また攻撃に使われたいくつかのコードは2週間前にすでにaircrack-ngというwifiハッキング・ツールに取り込まれている。新しいワイヤレス標準であるWPA2は今回の攻撃方法から安全であるとされるが、多くのWPA2ルータはWPAも使用している。ユーザーはWPA2やVPNソフトを使うことで今回のような攻撃から身を守ることができるが、まだまだ多くのネットワークに接続するデバイスにはWPAや甚だしくはWEPが使われており安全対策がたちおくれてい
Securing Rails Applications — Ruby on Rails Guides
This manual describes common security problems in web applications and how to avoid them with Rails. After reading this guide, you will know: All countermeasures that are highlighted. The concept of sessions in Rails, what to put in there and popular attack methods. How just visiting a site can be a security problem (with CSRF). What you have to pay attention to when working with files or providin
エガミくんの脆弱性のやつ
こんにちは！ id:Hamachiya2 ですよー。 ブックマークコメントでIDコールされたけど、 「コメント返すためにブクマ (してリンクジュースを流すこと) 」は、ちょっと今回は間接的にでもできない感じなので こっちで返答しますね！ http://zapanet.info/blog/item/1418 http://b.hatena.ne.jp/entry/http://zapanet.info/blog/item/1418 2008年10月19日 hiroyukiegami id:Hamachiya2 助けてください。色々やってみたのですがやはり、わかりません…。コード公開しております。すみません、誰か具体的に教えてもらえると嬉しいのですが（涙）http://flickr2.in/flickr.zip いきなりソースコード丸投げして「わかりません」って言われてもちょっと困るよー。 ま
Securing Your Web Browser | CISA
A lock () or https:// means you've safely connected to the .gov website. Share sensitive information only on official, secure websites. This article will help you configure your web browser for safer Internet surfing. It is written for home computer users, students, small business workers, and any other person who works with limited information technology (IT) support and broadband. Although the i
はてなグループの終了日を2020年1月31日(金)に決定しました - はてなの告知
はてなグループの終了日を2020年1月31日(金)に決定しました 以下のエントリの通り、今年末を目処にはてなグループを終了予定である旨をお知らせしておりました。 2019年末を目処に、はてなグループの提供を終了する予定です - はてなグループ日記 このたび、正式に終了日を決定いたしましたので、以下の通りご確認ください。 終了日: 2020年1月31日(金) エクスポート希望申請期限:2020年1月31日(金) 終了日以降は、はてなグループの閲覧および投稿は行えません。日記のエクスポートが必要な方は以下の記事にしたがって手続きをしてください。 はてなグループに投稿された日記データのエクスポートについて - はてなグループ日記 ご利用のみなさまにはご迷惑をおかけいたしますが、どうぞよろしくお願いいたします。 2020-06-25 追記 はてなグループ日記のエクスポートデータは2020年2月28
Wizard Bible vol.43 (2008,10,6)
[-]=======================================================================[-] Wizard Bible vol.43 (2008,10,6) [-]=======================================================================[-] x0xXx0xx0xXx0xx0xXx0xx0xXx0xx0xXx0xx0xXx0xx0xXx0xx0xXx0xx0xXx0xx0xXx0xx0xXx0x x0xXx0xx0xXx0xx0xXx0xx0xXx0xx0xXx0xx0xXx0xx0xXx0xx0xXx0xx0xXx0xx0xXx0xx0xXx0x ---- 第0章：目次 --- x0xXx0xx0xXx0xx0xXx0xx0xXx0xx0xXx0xx0xXx
Jeremiah Grossman: Clickjacking: Web pages can ...
CEO of Bit Discovery, Professional Hacker, Black Belt in Brazilian Jiu-Jitsu, Off-Road Race Car Driver, Founder of WhiteHat Security, and Maui resident. Web pages know what websites you’ve been to (without JS), where you’re logged-in, what you watch on YouTube, and now they can literally “see” and “hear” you (via Clickjacking + Adobe Flash). Separate from the several technical details on how to ac
GUYA.NET � Blog Archive � Malicious camera spying using ClickJacking
Update: Adobe has fixed this issue by framebusting the Settings Manager pages. Now, 99.9% of the users are protected from this specific exploit. Congrats on the fast response. —- Turn every browser into a surveillance zombie. The wet dream of every private eye and peeping tom. Imagine this scenario, you play a short game on the web and by doing that you unknowingly grant someone full access to you
Clickjacking Details ha.ckers.org web applicati...
Today is the day we can finally start talking about clickjacking. This is just meant to be a quick post that you can use as a reference sheet. It is not a thorough advisory of every site/vendor/plugin that is vulnerable - there are far too many to count. Jeremiah and I got the final word today that it was fine to start talking about this due to the click jacking PoC against Flash that was released
[whatwg] Dealing with UI redress vulnerabilities inherent to the current web
[whatwg] Dealing with UI redress vulnerabilities inherent to the current web Michal Zalewski lcamtuf at dione.cc Thu Sep 25 10:24:04 PDT 2008 Previous message: [whatwg] defining new HTTP headers Next message: [whatwg] Dealing with UI redress vulnerabilities inherent to the current web Messages sorted by: [ date ] [ thread ] [ subject ] [ author ] Hi folks, I am posting here on the advice of Ian Hi
Mozilla Firefox(3.0.3) User Interface Dispatcher Crash and Remote Denial of Service. - ทงบอลออนไลน์/แทงบอล/เครดิตฟรี/Sport777 เดิมพันกีฬาออนไลน์ที่ดีที่สุดในประเทศไทย
Mozilla Firefox(3.0.3) User Interface Dispatcher Crash and Remote Denial of Service. Proof of Concept Note: Mozilla 3.0.3 Crashes with unhandled exception in User Interface Dispatcher Events. If a user try to restore session 3.0.3 version it still gives a crash. This POC has been designed with minimum object usage. Mozilla Firefox User Interface Dispatcher Crash DoS Test POC. Aditya K Sood (C) Sec
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
『書籍「はじめてのPHPプログラミング基本編5.3対応」にSQLインジェクション脆弱性 - 徳丸浩の日記(2008-10-29)』へのコメント
Camera ClickJacking - The Game
Webcam ClickJacking
Clickjacking and NoScript – hackademix.net
(Cancelled) / Clickjacking - OWASP AppSec Talk