alertを出したいんだ俺たちは

利用者に対してメッセージを意識的に伝えたり、あるいは何かしらの行動を促すために、ダイアログボックスを表示するための機能がブラウザーには複数実装されている。alertの聖地、兵庫県出身者として、その手の機能を以下にまとめた。 機能 UIの占有など 機…

[雑記] コミックマーケット93向けに本を書きました

@nash_fsさんに誘われて、明日のコミックマーケット93で合同誌「WebMix」に記事を書きました。 日時 / 場所:C93 金曜日 (1日目) 東キ-37b コミケ Web カタログ URL:https://webcatalog.circle.ms/Perma/Circle/10345504/ 掲載内容は あなたのWebアプリケー…

[Joke] ローカルネットワークに対するクロスオリジンの攻撃からシステムを守る簡単な方法

インターネット上に公開されているわなサイトを経由して社内イントラネットなどのローカルネットワークへXSSやCSRFなどのクロスオリジンでの攻撃を仕掛けようという試みは古くから存在します。現実にこれらが行われたという話は聞いたことはありませんが、理…

サイボウズ バグハンター合宿に行ってきた

先週の11月3日-4日に開催されたサイボウズ バグハンター合宿に参加してきた。 サイボウズ バグハンター合宿 - connpass 3年前は個人戦だったけれど今回はチーム戦ということに加え、クソつまらない脆弱性を多数報告した場合は評価が下がる採点方式だったので…

[SECURITY] podcast 第1回 セキュリティの『アレ』

@ntsujiさん、@MasafumiNegishiさん、mtakeshiさんのポッドキャスト「セキュリティの『アレ』」の収録にお邪魔してきました! 第1回 動画のアレからポッドキャストのアレに帰ってきたよ!スペシャル « podcast - セキュリティの『アレ』 http://tsujileaks.c…

安全な脆弱性の作り方

この記事は 「脆弱性"&'<<>\ Advent Calendar 2016」16日目の記事です。具体的な脆弱性の話でなくてすみません。いろいろコードを書いていると、安全に脆弱性を発生させたくなるときがあります。って書くとさっぱり意味がわからないと思いますが、セキュリテ…

30xリダイレクトのレスポンスボディでもXSS(その2)

この記事は 「脆弱性"&'<<>\ Advent Calendar 2016」11日目の記事です。昨日のネタの続きです。昨日は30x応答のレスポンスボディを表示させるために21/tcpなどへのポートへリダイレクトさせるという方法を紹介しました。Firefoxではレスポンスボディを表示さ…

30xリダイレクトのレスポンスボディでもXSS

この記事は 「脆弱性"&'<<>\ Advent Calendar 2016」10日目の記事です。小ネタですみません。 301や302のリダイレクトのレスポンスボディにてXSSが存在することが稀にありますが、30x応答ではボディ部分は表示されないのでXSSが存在しても脅威は発生しないと…

Visual Studio Code における任意コード実行の問題

Microsoftの提供するテキストエディタ Visual Studio Code にはローカルに保存されている特定の名前のファイルを起動時に読み込み、その内容をコードとして実行してしまう問題があります。現在のv1.7.1では問題は解消されていますが、問題が発生することを確…

あなたのセキュリティ対応間違っています

書籍「あなたのセキュリティ対応間違っています」を著者の汁 伸弘さんから頂きました!ありがとうございます!情報セキュリティに関連して世の中で話題になった様々なトピックスを、わかりやすい口調で解説してくれる書籍です。 とにかくわかりやすく書かれ…

Shibuya.XSS techtalk #8 開催にあたり、発表者を募集します!

2016年11月14日夜にShibuya.XSSを開催します。海外からの超大物ゲストを迎えての開催ということで、発表者を募集しています。 Shibuya.XSS techtalk #8 CFP 応募内容はあまり深くこだわる必要はなく、例えば以下のようなもので十分です! JSフレームワークxx…

セキュリティ・キャンプ全国大会2016資料まとめ

セキュリティ・キャンプ全国大会2016の講義で使用された資料のまとめ。公開されていない講義が多いので、すべての講義資料があるわけではありません。随時追加。 TLS徹底演習 次世代プラットフォームのセキュリティモデル考察 (前半) (講義の動画) 次世代プ…

Electronのnodeモジュール読み込みの問題が修正された

昨年10月に報告した、Electron製アプリケーションを起動した際にアプリケーション外のnodeモジュールを読み込んで実行されてしまうという脆弱性が修正された。 JVN#00324715: Electron における Node モジュール読み込みに関する問題 正確には、修正は報告と…

[改訂新版]Windowsコマンドプロンプトポケットリファレンス

[改訂新版]Windowsコマンドプロンプトポケットリファレンスを著者の山近さんから頂きました。ありがとうございます。 この書籍は、「ポケットリファレンス」といいながら660ページもの圧巻のボリュームで、Windowsで日常的に使うコマンドだけでなくほとん…

CVE-2016-0069 Cross origin URL information leakage of Internet Explorer

Cross origin URL information leakage of IE was fixed by MS16-009. (JVN#78383854: Internet Explorer cross-domain policy bypass) Reported 2015-09-18 Confirmed version Internet Explorer 11.0.9600.18036 Description A cross origin content in th…

Launch Burp from inside Fiddler

I've written the article about FiddlerScript last week and I've gotten reply like this:@hasegawayosuke Burp Suite(@Burp_Suite) Rulez!— Jeremy Bae (@opt9) January 28, 2016Yes, I know Burp rulez but I love Fiddler without reason so match so …

Electronのwebview要素ではallowpopups属性をつけてはいけない

Electronを使ってブラウザのようなアプリケーションを作る場合には webviewタグが使用される。例えば、アプリケーション内にexample.jpのサイトを表示するには以下のようにHTMLに記述する。 <webview src="http://example.jp/"></webview> ここで、webviewタグにallowpopups属性を付与すると、example.jp…

iframe sandbox は万能ではない

HTML5で導入されたiframe要素のsandbox属性は、そのiframe内のコンテンツに対しJavaScriptの実行を始め様々な制約を課すことでセキュリティの向上に役立つ機能である。例えば、以下のように指定されたiframeでは、iframe内からformのsubmitなどはできるが、i…

クロスサイトスクリプティング対策 ホンキのキホン

本稿はCodeZineに2015年12月28日に掲載された記事の再掲となります。 クロスサイトスクリプティング(XSS)は、古くから存在し開発者にもっともよく知られたセキュリティ上の問題のひとつでありながら、OWASP Top 10でも2010年に引き続き2013年でも3位と、未だ…

Electronでアプリを書く場合は、気合いと根性でXSSを発生させないようにしなければならない。

そのうちもう少しきちんと書きますが、とりあえず時間がないので結論だけ書くと、タイトルが全てでElectronでアプリを書く場合は気合いと根性でXSSを発生させないようにしなければならない。これまでWebアプリケーション上でXSSが存在したとしても、影響範囲…

JavaScriptでbaseを指定して相対URLを絶対URLに変換する

メモがわり。 baseとなるURLを指定して相対URLを絶対URLに変換するには、ChromeやFireofxではURLUtilsを用いて以下のように書くことで簡単に実現できる。 var absolute = (new URL( "foo", "http://example.jp/bar/baz" ) ).href; // http://example.jp/bar/…

Host:リクエストヘッダによるXSS

本日、とある会合にてTwitterで交わされていたこの会話が話題になりました。紹介されている例はHostヘッダの操作を経路とする攻撃ということであり、Hostヘッダインジェクションという脆弱性はないと思いますよ / “PHPにおけるHostヘッダインジェクション脆…

Windowsのエクスプローラーからさくっとファイルのハッシュ値を調べる

以下の内容を test.reg などのファイル名で保存し、regファイルをダブルクリックしてレジストリに結合する。 Windows Registry Editor Version 5.00 [HKEY_CLASSES_ROOT\*\shell\MD5] @="MD&5をコピー" [HKEY_CLASSES_ROOT\*\shell\MD5\command] @="cmd /c c…

セキュリティ・キャンプ全国大会2015資料まとめ

セキュリティ・キャンプ全国大会2015の講義で使用された資料のまとめ。公開されていない講義が多いので、すべての講義資料があるわけではありません。随時追加。 高レイヤートラック Webプラットフォームのセキュリティ JavaScript難読化読経 HTTP/2, QUIC入…

ブラウザ上でMarkdownを安全に展開する

不特定のユーザーが入力したMarkdownをブラウザ上でJavaScriptを使ってHTMLに変換するという場面においては、JavaScriptで変換してHTMLを生成するという処理の都合上どうしてもDOM-based XSSの発生を考えないわけにはいかない。かといって、Markdownをパース…

ECMAScript テンプレートリテラル

(自分用メモ) ES6のテンプレートリテラルを使うと、HTML生成におけるテンプレート的なものがJavaScriptでも書きやすくなる。 function safeHtml(){ var t = arguments[ 0 ].raw; var result = t[ 0 ]; for( var i = 1; i < arguments.length; i++ ){ result …

脆弱性"&'\ Advent Calendar 2014 (17日目)

この記事は脆弱性"&'\ Advent Calendar 2014の17日目の記事です。今日は少し昔話をしようと思います。がはは。かつて、日本製TwitterのようなWassrというサービスがありました。当時、Twitterは数日に一度くらいはサービスが落ちていて、Twitterユーザーも「…

脆弱性"&'\ Advent Calendar 2014 (16日目)

この記事は脆弱性"&'\ Advent Calendar 2014の16日目の記事です。 Enjoy!で終わらせようかと思ったんだけど、毎日Enjoyし過ぎじゃないのみたいに思われそうなのでここ数日のを少し解説。 //d.hatena.ne.jp/hasegawayosuke/20141212/p1">脆弱性"&'\ Advent Ca…

脆弱性"&'\ Advent Calendar 2014 (15日目)

この記事は脆弱性"&'\ Advent Calendar 2014の15日目の記事です。 Enjoy!

脆弱性"&'\ Advent Calendar 2014 (14日目)

この記事は脆弱性"&'\ Advent Calendar 2014の14日目の記事です。 Enjoy!