はてなグループの終了日を2020年1月31日(金)に決定しました - はてなの告知
はてなグループの終了日を2020年1月31日(金)に決定しました 以下のエントリの通り、今年末を目処にはてなグループを終了予定である旨をお知らせしておりました。 2019年末を目処に、はてなグループの提供を終了する予定です - はてなグループ日記 このたび、正式に終了日を決定いたしましたので、以下の通りご確認ください。 終了日: 2020年1月31日(金) エクスポート希望申請期限:2020年1月31日(金) 終了日以降は、はてなグループの閲覧および投稿は行えません。日記のエクスポートが必要な方は以下の記事にしたがって手続きをしてください。 はてなグループに投稿された日記データのエクスポートについて - はてなグループ日記 ご利用のみなさまにはご迷惑をおかけいたしますが、どうぞよろしくお願いいたします。 2020-06-25 追記 はてなグループ日記のエクスポートデータは2020年2月28
DNSチェックサービスのXSS
こんにちはこんにちは！よしだです。 昨日、DNSの問い合わせ結果にJavaScriptを埋め込むというXSSが紹介されていたので、実験してみました。 Geekなぺーじ : メタ情報によるXSS http://www.geekpage.jp/blog/?id=2010/10/6/1 このXSSは、DNSのチェックサービスなどでDNSの問い合わせ結果をエスケープせずにHTMLに出力する事でJavaScriptが発動してしまうというものでした。 仕組みは、DNSで可変長文字列を指定するパラメータにJavaScriptを埋め込むというもので、 MXレコード以外にもNSレコードやCNAMEレコードなどでも発生しそうです。 なぜかは知りませんが、 ( や " などはエスケープされるみたいなので、外部スクリプトを呼び出す方法以外はなさそうです。 ちなみに、Bindでは設定エラーとなり起動出来ませんでした
RSA Chairman: NSA Work Is 'Public Record'
RSA Chairman: NSA Work Is 'Public Record'Art Coviello calls for global intelligence community reforms, says RSA's work with NSA was never secret. RSA CONFERENCE 2014 -- San Francisco -- RSA Security executive chairman Art Coviello, in his keynote address at the annual RSA Conference Tuesday, addressed publicly for the first time the security company's relationship with the National Security Agency
Stuffing Javascript into DNS names
Greetings! Today seemed like a fun day to write about a really cool vector for cross-site scripting I found. In my testing, this attack is pretty specific and, in some ways, useless, but I strongly suspect that, with resources I don’t have access to, this can trigger stored cross-site scripting in some pretty nasty places. But I’ll get to that! Interestingly enough, between the time that I wrote t
XSSの攻撃手法いろいろ - うなの日記
html5securityのサイトに、XSSの各種攻撃手法がまとめられているのを発見せり!ということで、個人的に「お!」と思った攻撃をサンプルつきでご紹介します。 1. CSS Expression IE7以前には「CSS Expressions」という拡張機能があり、CSS内でJavaScriptを実行できたりします。 <div style="color:expression(alert('XSS'));">a</div> 確認 @IT -［柔軟すぎる］IEのCSS解釈で起こるXSS で詳しく解説されていますが、CSSの解釈が柔軟なことともあいまって自前で無害化するのはなかなか困難。以下のようなコードでもスクリプトが実行されてしまいます。 <div style="color:expr/* コメントの挿入 */ession(alert('XSS'));">a</div> 確認 <div s
Geekなぺーじ : メタ情報によるXSS
先日、なかなか強烈なXSS攻撃手法が公開されていました。 DNSへの問い合わせ結果にJavaScriptを埋め込んでしまおうというものです。 SkullSecurity: Stuffing Javascript into DNS names DarkReading: Researcher Details New Class Of Cross-Site Scripting Attack nCircle: Meta-Information Cross Site Scripting (PDF) 自動生成されるWebページ中に、DNSによる名前解決結果がエスケープされない状態で含まれていると、JavaScriptが実行されてしまうという仕掛けです。 「hogehoge.example.com」が本来ならば「198.1.100.3」というようなIPアドレスが結果として返るところを、DNSに細工を行っ
はてなのXSSをはてなダイアリーで公表したら強制非公開にされた
こちらははてなサポート窓口です。 このたび、ご利用いただいているはてなダイアリーにつきまして はてな利用規約に抵触する内容が掲載されていることが確認されましたため 勝手ながら当該ダイアリーを非公開状態にする措置を行わせて頂きました。 これは、ダイアリー内に下記のいずれかの内容が掲載されていたことによります。 ・はてなの承認していない広告リンク ・副業の勧誘や情報商材の販売などを目的としたリンク ・倫理的に問題のある内容、成人向け情報、ポルノ、風俗情報など ・多数のキーワードリンクを意図的に掲載し別サイトへの誘導を行う、 あるいは隠しリンクなどで検索順位の操作を行うなど、スパム行為と みなされる内容 ・犯罪に関わる内容、法令に違反する内容 ・複数のメインアカウントを取得しての利用 ・そのほか、はてなが不適切であると判断する内容 はてなでは、利用規約(6)禁止事項にて以下のように定めております
個人だから甘いのかな - ぼくはまちちゃん！
あらあら予告inがXSSやられちゃったらしいですね！ 使い古された手法？ いまどきエスケープ処理すらしてなくてダサい？ 関連の記事に対して、はてなブックマークでも色々言われていたり、 http://b.hatena.ne.jp/t/%E4%BA%88%E5%91%8A.in?threshold=1 ニュースサイトでも、こんな煽り記事を書かれていたりするけれど… 今回の件についてIT企業に勤めるエンジニアに聞いてみると、 「これは初歩中の初歩。XSSコード書いた方も10分も掛かってないよ。それを事前に対策してなかった予告inにはもっとビックリだけど、、、素人なの？」 と語る。 予告inセキュリティ脆弱性を狙ったコード!? 「予告in開発者は素人」 http://news.livedoor.com/article/detail/3759632/ それってどうだろうね。 GoogleやAmazo
犯行予告の収集・通報サイト - 予告in
02/18 08:27 夏目漱石 / 02/18 08:27 **** / 02/18 08:27 こんにちは。****殺す / 02/17 10:46 ****殺す 千葉県松戸市*** / 02/17 10:46 ****殺す 千葉県松戸市*** / 02/17 10:46 千葉県松戸市**** / 02/17 10:46 **さん殺すぞ 千葉県松戸市** / 02/17 08:42 ****殺す / 02/17 08:42 もう一発 コーラン燃やしつつム / 02/16 09:56 じゃあ****殺す / 02/15 12:10 これは確実にセーフだろwwwwwwww / 02/14 08:01 ｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗ / 02/13 08:14 ****殺す / 02/13 08:13 >>375 **** / 02/11 15:07 今夜ぶたくんを殺しに行く / 02/11
まだまだあるクロスサイト・スクリプティング攻撃法
前回はクロスサイト・スクリプティングのぜい弱性を突く攻撃の対策としてのHTMLエンコードの有効性を述べた。ただ，HTMLエンコードだけではクロスサイト・スクリプティング攻撃を完全に防御することはできない。そこで今回は，HTMLエンコードで対処できないタイプのクロスサイト・スクリプティング攻撃の手口と，その対策について解説する。 HTMLエンコードで対処できない攻撃には，次のようなものがある。 タグ文字の入力を許容している場合（Webメール，ブログなど） CSS（カスケーディング・スタイルシート）の入力を許容している場合（ブログなど） 文字コードを明示していないケースでUTF-7文字コードによるクロスサイト・スクリプティング <SCRIPT>の内容を動的に生成している場合 AタグなどのURLを動的に生成している場合注） 以下では，HTMLタグやCSSの入力を許容している場合と，文字コードを明
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Meta-Information Cross Site Scripting Tyler Reguly Lead Security Research Engineer, nCircle As more and more of our daily activities move online, we find ourselves inundated with web-based tools. Step back and forget about Twitter, Facebook, Google Wave a
はてなのXSS脆弱性 - 適当なブログ