セキュリティ

HTML とは HTML とは、誤解を恐れずに言ってしまうとウェブページ（ホームページ）を作るために使われている言語です。 例えば、以下のようなものが HTML です。 タイトル ...

「HTML5は優先順位を間違った。もういちどセキュリティの設計からやり直すべきだ」と語るJavaScript大家のDouglas Crockford氏 「HTML5の最大の問題は、優先順位を間違ったことだ。機能について議論する前に、セキュリティの扱いについて検討すべきだった」こう語るのは、JSONの発明者として知られ、Yahoo!のシニアJavaS...

_携帯JavaScriptとXSSの組み合わせによる「かんたんログイン」なりすましの可能性 このエントリでは、携帯電話のブラウザに搭載されたJavaScriptと、WebサイトのXSSの組み合わせにより、いわゆる「かんたんログイン」に対する不正ログインの可能性について検討する。 5月28にはてなダイアリーに書いた日記「i-mode2.0は...

(更新日: 2013/11/26) RFC 4696をもう一度読みなおしてみると/もエスケープ可能文字に定義してありました。JavaScriptのエスケープシークエンスの処理の部分も間違っていたので全面的に書き直します。 RFC 4696（JSON）の定義では string = quotation-mark *char quotation-mark char = unescaped / escape ( %x22 / ; ”...

はじめに みなさんこんにちは，セキュアスカイ・テクノロジーのはせがわようすけと申します。 周知のとおり，ここ数年のブラウザの機能強化は目覚ましいものがあり，CSS3やSVGを含むHTML5ブーム以降のブラウザ内での表現力の向上や，JavaScriptエンジンの最適化による実行速度の向上は，数年前では考えられないような目...

gihyo.jp » DEVELOPER STAGE » 連載 » フロントエンドWeb戦略室 » 第1回　外部サイトに貼り付けるJavaScriptの作法―ポリシー，速度，セキュリティ，プライバシー（1） フロントエンドを考えるということ みなさんこんにちは。NHN Japanでエンジニアをやってますmalaです。livedoor Readerを作ったりJavaScriptを使ったUI...

HTML とは HTML とは、誤解を恐れずに言ってしまうとウェブページ（ホームページ）を作るために使われている言語です。 例えば、以下のようなものが HTML です。 タイトル ...

前回は，Webアプリケーションにおける受動的攻撃の代表例として，以下の4つを挙げました。 クロスサイトスクリプティング（XSS） クロスサイトリクエストフォージェリ（CSRF） オープンリダイレクト クリックジャッキング 今回は，これらのうち，XSSについてより掘り下げて解説していきます。 XSSはどのようにして引き起...

bugzilla.mozilla.org では JavaScript を使う exploit も使わない exploit も Bug 147777 [mozilla.org] として扱っています。この bug のコメント中、 JavaScript を使わない例は、はっきりしたものとしては 2006 年 12 月の Comment 71 [mozilla.org] が初出でしょうか。 2005 年 6 月の Comment 48 [mozilla.org] も...

JavaScriptを使って家庭や企業におけるネットワークの構成を把握し、接続されたサーバやプリンタ、ルータなどのデバイスを攻撃する方法を、セキュリティ研究者らが発見した。 こうした悪質なJavaScriptが埋め込まれたウェブページを一般のブラウザ上に表示すると、スクリプトが何の警告も表示しないまま実行されてしまう...

前回は，Webアプリケーションにおける受動的攻撃の代表例の1つであるXSSについて，原理や対策を振り返りました。今回は，同じく受動的攻撃の代表例であるCSRF，オープンリダイレクト，クリックジャッキングについて掘り下げて解説していきます。 CSRF（クロスサイトリクエストフォージェリ） CSRFはどのように引き起こさ...

IPA（独立行政法人情報処理推進機構）は10月26日、情報セキュリティ技術の専門家として情報セキュリティ管理を支援する人を対象とした「情報セキュリティスペシャリスト試験」において、これまで出題対象としていたC++、Java、Perlの3種類の言語からPerlを外し、JavaScriptを追加することを発表しました。 JavaScript、J...

基礎知識 発生しやすい脆弱性 DOM based XSS (Cross-Site Scripting) Stored DOM based XSS (Cross-Site Scripting) window.localStrage を経由する, etc. Client-side Open Redirect CSRF (クロスサイト・リクエスト・フォージェリ) アクセス制御や認可制御の欠落 etc. 信頼できない値はどこからくるのか？ windowオブ...

はせがわようすけ JavaScriptのコードがかつてなく増加し，コード内のバグ，ひいてはセキュリティ上の問題を引き起こす脆弱性も比例して増加する一方の現在に不可欠な 「JavaScriptに関連するセキュリティ上の問題はどういったところで発生するのか？」「どうすればセキュリティ上の問題を防ぐことができるのか？」 とい...

URLは，Webブラウジングを開始するという意味でも，Webに関連する技術の入り口という意味でも，Webにおける起点そのものです。 攻撃者の視点から見ると，多くの場合，URLは攻撃者自身によってコントロール可能です。その複雑な構造から，プログラム内でURLをデータとして取り扱う際にまちがいが発生しやすく，セキュリテ...

ホーム > ブログ > オープンソースの JavaScript パスワード強度判定ライブラリの「Password Checker」を公開しました タイトルの通りですが、オープンソースの JavaScript パスワード強度判定ライブラリの「Password Checker」を公開しました。 JavaScript パスワード強度判定ライブラリ「Password Checker」 ライセン...

JavaScriptは、最も利用されているWebサイトスクリプト言語だ。Webブラウザ上で動作し、HTMLのみの場合に比べてはるかに動的なページを実現できる。一方でハッカーにとっては、ブラウザを乗っ取り、不正な操作を実行できる存在でもある。 JavaScriptが攻撃に悪用されるケースが多いためクロスサイトスクリプティング（XS...

_携帯JavaScriptとXSSの組み合わせによる「かんたんログイン」なりすましの可能性 このエントリでは、携帯電話のブラウザに搭載されたJavaScriptと、WebサイトのXSSの組み合わせにより、いわゆる「かんたんログイン」に対する不正ログインの可能性について検討する。 5月28にはてなダイアリーに書いた日記「i-mode2.0は...

js.jsはJavaScriptによるJavaScript実装です。サードパーティのJavaScriptをサンドボックス化し安全に実行します。 最近ブログパーツやシェアボタンをはじめとして外部サービスのJavaScriptコードを埋め込んで動作させたりすることが増えています。しかし外部のサービスにセキュリティ上の問題がある可能性もあります。...

前回は，セキュリティ上の境界条件はオリジンという単位で行われること，オリジンはURLをもとに決定されることを説明しました。今回は，実際にJavaScript内でURLというデータをどのように扱えばセキュリティ上の問題を発生させにくくなるのかについて解説していきます。 locationオブジェクト locationオブジェクトの基...

本稿では、JavaScriptのコーディングにおける潜在的なセキュリティ上の問題と、その回避方法を紹介します。Web開発者としてのキャリアを積んでいくと、いずれはぶつかるのがセキュリティ問題です。その理解に、本稿が少しでも役立てば幸いです。 はじめに Web開発者としてのキャリアを積んでいくと、いずれはセキュリテ...

IE6の対応はまだまだ必要な時代ではありますが、httpsでアクセスする際にセキュリティ情報のダイアログが表示されてしまうパターンを忘れないようにメモしときます。 他にもありましたら、コメント欄で教えていただけたらと思います。 （※画像はIETesterでのセキュリティ情報ダイアログ） iframeにsrc属性がない場合 SSL...

JavaScriptによるブラウザ上での処理量およびコード量の増加に伴い，JavaScript上のバグが原因で発生する脆弱性も増加しています。そのような脆弱性の最も代表的なものが，DOM-based XSSです。今回から数回に分けて，DOM-based XSSについて説明していきます。 DOM-based XSSとは 本連載第2回で説明したような一般的な反...

速度に影響を与えないために まずは外部サイト向けのJavaScriptが，そのサイトの読み込み速度へ与える影響を考えてみます。 Webページのレンダリングをブロックしないようにする 特別な配慮なく外部JavaScriptを提供すると，読み込み速度に影響を与えてしまいます。 外部JavaScriptの読み込みが遅れた場合，ページ全体の...

JavaScriptとかんたんログインのセキュリティについて解説した記事「携帯JavaScriptとXSSの組み合わせによるかんたんログインなりすましの可能性 」 Tweet 2009/8/5 水曜日 matsui Posted in 記事紹介・リンク | 4 Comments » 昨日に続きセキュリティ関連の話題です。 下記のブログ記事が大変面白く、参考になる良エント...

Googleが提供しているウェブブラウザ「Google Chrome」の最新版であるバージョン10の安定版がリリースされました。 Crankshaftと呼ばれる新型V8ブラウザエンジンを搭載してJavaScriptの動作が大幅に改善されているほか、設定画面の大幅リニューアルやセキュリティ面の改善が行われ、Googleの主張によると新型V8ブラウザ...

bugzilla.mozilla.org では JavaScript を使う exploit も使わない exploit も Bug 147777 [mozilla.org] として扱っています。この bug のコメント中、 JavaScript を使わない例は、はっきりしたものとしては 2006 年 12 月の Comment 71 [mozilla.org] が初出でしょうか。 2005 年 6 月の Comment 48 [mozilla.org] も...

2011/01/18　コース：元祖こってり 「元祖こってり」記事はネットエージェント旧ブログ[netagent-blog.jp]に掲載されていた記事であり、現在ネットエージェントに在籍していないライターの記事も含みます。 難読化JavaScriptで利用可能なテクニック こんにちは。ネットエージェント株式会社、研究開発部の長谷川です。本...

Firefox 3.5.xに未対策の脆弱性が発見された。F-secureによると、この脆弱性を悪用することで、悪意のある攻撃者により任意のコードを実行される可能性がある。 この脆弱性はJavaScriptエンジンの処理のバグにより引き起こされるとのことで、Mozilla Security Blogによると、about:config等で「javascript.options.jit.c...

前回は，DOM-based XSSの原因と対策についての概略を解説し，DOM-based XSSを引き起こすシンクの事例としてinnerHTMLへのHTMLの代入やlocationオブジェクトへのURLの代入をとりあげました。今回は，innerHTMLやlocationオブジェクトほど頻繁ではないものの，実際にDOM-based XSSの原因として見かけるシンクの代表的なも...

Password Checker とは 「Password Checker」とは、オープンソースのパスワード強度判定 JavaScript ライブラリです。商用利用可能、クレジット表記不要、改変、再配布可能です。 詳しくは以下のページを参照してください。 ライセンス Password Checker の機能 「Password Checker」は、パスワードを受け取るとパスワー...

x86/ARM CPUの多くが行っているメモリ管理の仕組みを悪用し、アドレス空間配置のランダム化 (ASLR)をJavaScriptから無効化する攻撃が公表された(PC Watchの記事)。 ASLRはアドレス予測を困難にすることで攻撃を防ぐという技術で、2000年代前半から実装が進んでいる。ローカルからの攻撃により無効化する手法も発見されて...

# 第8回　DOM-based XSS　その3 前回および前々回で，DOM-based XSSに関する基本的な内容および対策方法の原則について説明しました。今回も引き続きDOM-baed XSSに関する話題を続けますが，これまでに説明した内容より応用的な話題を取り上げます。 一部のタグを許容してHTMLを組み立てる3つの場面 JavaScriptを使用し...

HTML とは HTML とは、誤解を恐れずに言ってしまうとウェブページ（ホームページ）を作るために使われている言語です。 例えば、以下のようなものが HTML です。 タイトル ...

gihyo.jp » DEVELOPER STAGE » 連載 » フロントエンドWeb戦略室 » 第1回　外部サイトに貼り付けるJavaScriptの作法―ポリシー，速度，セキュリティ，プライバシー（3） 安全に提供するために─⁠─プライバシー編 SNS（Social Networking Service）にリンクを共有するためのボタンや，言及数を表示するカウンタ画像のプライ...

"@"マーク付き電子メールアドレス考案者レイ・トムリンソン死去。考案の際の言葉は「みんなには黙っといて」

HTML5のセキュリティ もうちょい詳しく－ HTML5セキュリティその3 : JavaScript API 1. HTML5のセキュリティ もうちょい詳しく HTML5セキュリティ その3 : JavaScript API Jun 6 2014 Yosuke HASEGAWA #owaspkansai 2. OWASP Kansai Local Chapter Meeting #2 #owaspkansai 自己紹介 はせがわようすけ ネットエージェン...

セキュリティ対策：JavaScriptでHTML操作をする人は必読！IPAテクニカルウォッチ　『DOM Based XSS』に関するレポート イントロダクション 誰でも手軽に使えて便利な JavaScript ですが、書き方を間違えると重大なセキュリティ上の問題（脆弱性）を引き起こしてしまいます。 そんな JavaScript を使ったプログラムの脆弱...

User JavaScript からのみアクセスできる Object を何とか実現してみる（と postMessage のセキュリティの話） opera, user.js, security | Opera の user.js には GreaseMokey のように XPCNativeWrapper のようなものはありませんから、異なるスクリプト間でデータをやり取りしようとするとどうしても window オブジェ...