Amebaのセキュリティ対策について｜スタッフブログアメブロまわりを数分程度ざざっと眺めただけでも、 いたるところでCSRFの対策が入ってないようなんだけど、 この規模のサービスなら、いちおうそれなりにやっておいた方が…。 たぶん現状だと脆弱性をひとつひとつどこかに報告するとかっていうレベルじゃないです…。 (これらをセキュリティホールと呼ぶのか仕様と呼ぶのかは知らないけど…) [» この日記のブックマークコメントを見る/書く ]

前の日記にも書いたけれど、 ぼくの名前をかたったウイルスがアメブロに広まっていたみたいなので、 ちょっとだけ調べてみたよ。 (参考) [ほまち]　gooブログ検索 ぼくのIDって「hamachiya2」なんだけど、それとすごくよく似たIDを誰かが取得して、そのIDのプロフィールページに変なコードが仕掛けられてあったみたい。 ざざっと調べた感じだと、下の４つのIDを確認したよ。 homatiya2 (ほまちや２) [プロフィールの魚拓] [画面キャプチャ] homachiya2 (ほまちや２) [プロフィールの魚拓] [画面キャプチャ] hamatiya2 (はまtiや２) [プロフィールの魚拓] [画面キャプチャ] hamachya2 (ぼくはまちちゃん！こんにちは…) ※綴りに「i」がない [プロフィールの魚拓] [画面キャプチャ] いずれもプロフィールページに「 http://bit.

はまちちゃん がいつものごとく、AmebaなうにCSRF脆弱性を発見して いたずらを仕掛けた 。そして、何故か今回だけ「それは迷惑行為だ」とかなんか騒がしい。 私はそもそも、はまちちゃんのいたずらを「隙があったからカンチョー」に喩えるのが程度がおかしいんじゃないかと思う。それで非技術者には話が通じていないのでは? CSRFやSQL Injectionを許していたら、何よりも守るべきユーザーの情報が危険だ。そしてAmebaがそういう脆弱性を持っていると言うことは、生越さんが指摘するように首相官邸からの公式情報を操作できるという意味だ。これは「隙があった」んじゃないだろう。「開腹したまま内臓が露出している」んだ。 ところが、どうも現実の医師とは違ってこの世界の、特にAmebaみたいな大きな会社の開発者はその辺の意識が甘い。「手術したけど、まー、内臓が見えててもすぐに死ぬ訳じゃないし、適当に皮被

(追記 2009/12/17) アメーバの仕様変更により以下のものは使えなくなりました。 アメブロには「ペタ」っていう、ちょっとイイ機能がありますよね。 これはなにかっていうとmixiの足あとのようなもので、 mixiと違う点はといえば、 訪問者が「ペタボタン」を押さないかぎり、ペタが残らないという点。 ペタを残すか残さないかを、訪問者が決められるわけですね。 でも、このペタボタン、 もし自動でクリックする仕掛けがページ側にあれば mixiのあしあとのように、来訪者のIDを知ることができてしまいます。 そこで、ちょっと調べてみました。 どうやらペタをつけるは、以下のurlにリクエストすればokのようでした。 http://peta.ameba.jp/p/addPetaComplete.do?targetAmebaId=(ユーザーID)だけど少しだけ条件があって、 ・refererが空である

12月10日にPC版がスタートしたサイバーエージェントのミニブログサービス「Amebaなう」で、あるURLをクリックすると、「こんにちは　こんにちは!!」というフレーズとクリックしたURL文字列が自動で投稿され、「はまちや2」さんのアカウントを自動でフォローしてしまうという現象が広がった。 URLをクリックしたユーザーが意図しない機能を実行させられるWebアプリの脆弱性の一種・クロスサイトリクエストフォージェリ（CSRF）を突いたもの。同社は10日夜、URLをクリックしないようユーザーに告知。誤ってクリックした場合は投稿を削除し、はまちや2さんのフォローを外すよう呼び掛けた。11日朝までに脆弱性も修正したという。 mixiでも2005年、あるURLをクリックすると「ぼくはまちちゃん！」という日記が勝手に投稿されるという、CSRFを利用したスパムが流通したことがあった。コミュニティーサイト構

お友達の書き込みに「こんにちはこんにちは！！」というものがあったら 絶対にクリックしないでください！！！！ アメーバスタッフさんの記事によると、 その書き込みをクリックすると自分の日記にも 自動的に同じ内容の記事が投稿されるそうです！ その結果、それを見た他のアメンバーさんにも、どんどん感染していきます！ これはワームというウイルスで、 まるでチェーンメールのように悪質です！！ その上、プロフィールなどの個人情報が漏洩する場合があるかもしれません！ 詳細は不明ですが、とても不気味です…！ 「こんにちはこんにちは！！」というタイトルの日記が いつのまにか投稿されていないか、 自分の「ブログ」と「アメーバなう」で、どうかご確認を！ あったら即刻削除してください！！！！！！ (１日のタイムラグの後にウイルス発動するという説もあります！) 現在、ameba管理者の方でも対応できないほどのスピードで

こんにちはこんにちは！！ 最近はメールでもなんでもWEB上の便利なサービスが増えてきましたね…！ でも、いろいろ登録しすぎて、いよいよぼくもパスワードが管理できなくなってきました…！ えっ！ もしかして面倒だから、ぜんぶ同じパスワード使ってたりするるんでしょうか…！ だめです！だめだめ！それはだめ。 全部のサイトで同じパスワードにするのってものすごく危険ですよ！！！ これはほんと！ だって、もしなにかあって、どれかひとつのパスワードがばれちゃったら全部芋づるだから…！ 登録したWEBサイトの管理者の中に悪い人がいる可能性もあるし。 (個人運営のサイトはもちろん、たとえ大きな企業のサイトでもバイトちゃんが見れたりとか…) でもだからといって全部別のものにすると覚えられないんだよね。 たとえば自分宛にメールしておくとか… Dropboxのような共有フォルダにパスワードのメモいれとくとか… パス

こんにちはこんにちは！！ Twitterはじめていよいよ2年半くらいたっちゃいましたが、 ようやく自作自演用の副アカウントが10を越えようかという段階に達しました！！！ ついったーやってる人なら誰だって自演用の副アカ増やしたいですよね…！ もちろん、ぼくもそうなんです！！ でもね、単純に副アカ増やすだけなら誰だってできますよ！ ミエミエの自演アカウントを増やすことが目的じゃなく、 自作自演でありながらも、つぶやいた内容がしっかりと影響力があったりするような、 Google先生にも即インデックスされちゃうくらいのやつ。 質の高い感じのすてきな副アカづくり。 そういったアカウントでの自作自演がTwitter本来の楽しみであるべきかなーと思います！！ だけどそんな副アカ、真面目にみっつもよっつも育てるのは大変ですよね…！ そこで今回は、 比較的、質の高い副アカウントを簡単に増やすためのチップスを

こんにちはこんにちは！！ 蒸し暑い日が続いてますが…、げんきにtwitterしてますか！ さて今日はtwitterで見落としがちな 微妙な注意点について、ちょこっとだけメモです…！ 実はtwitterのプロフィールアイコンの画像URLって… 元の画像ファイル名がそのまま使われているよ！！！ 自分のPCのマイピクチャとかのファイル名と同じ！ ファイル名バレバレ！ なので、わー知らなかったーって人は、自分のtwitterのアイコンのURLが、 うっかりと本名とか、「彼氏彼女の名前_lovelove_daisuki_chu_chu_chu.jpg」みたいな名前になっちゃっていないか、 いちど見直してみた方がいいかもしれないですね…！ ちなみにこのファイル名、日本語でもそのままURLになるので ぼくの場合は、ちょっとだけSEO(になるのかどうかも微妙だけどね！)を期待して「はまちちゃん」としてある

はまちおにいちゃんの為に、星がたくさん降ってくればいいのにね！ ☆☆☆

こんにちはこんにちは！！ はい。 さっきどこかのブログ記事のブックマークコメントにも書いたんだけれど、 ジーンズなら何々という型番を買っておけば間違いなくて、 他はダサいとかダサくないとか、いやそれは脱オタぽいだとか、 なんかそういうお話について思ったことを書いてみますね…！ たぶん履き心地だとか、素材とか、そういう話なら変わってくるんだろうけど、 こと「見た目がダサい」「ダサくない」レベルの話だと、 ジーンズなんて、 501だろうと502だろうとエドウィンだろうとユニクロだろうとレプリカだろうと… どれ選んでも、端から見て区別つかないですよたぶん。 うん。 特にLevi'sのロゴの「e」の部分が大きいだとか小さいだとか、 なんかそういう部分まで気にしちゃう人っていうのは、コレクターとかに近い領域で、 「みためがださい」とかとはもう全然関係のない、マニアックな世界ですよね…！ ああもちろん

はい！こんにちはこんにちは！！ もうすぐ梅雨ですね！ 2009年も半ばって感じです…！ 2009年といえば…、 そう！ マネタイズですね！！ はてなのマネタイズ！！ マネーだいじ…！ だってお金がなくなっちゃうと、みんなの大好きなはてなもなくなっちゃうもんね…。 そうそう、ところで！ ぼくさっきGoogleで検索していて、ちょっとしたことに気がついちゃったんですが！ 今日はちょっとそれを、ここにメモしておきますね！ ↓ほらこれ、 site:b.hatena.ne.jp エゴサーチしよう - Google 検索 はてなが URLの末尾にタイトルの文字列を含めてる。 あれれ…、前からこうだったっけ…！ URLにキーワード文字列を含めてやるのって今のところものすごく強力なSEOのひとつで、 Amazonとかもその手法をつかっているからか、 本のタイトルなんかで検索すると、よくAmazonが一番上

こんにちは！ はてなの新機能だそうですね！ Myはてなにお気に入りユーザーの最近の活動が見られるアンテナ機能を追加しました http://hatena.g.hatena.ne.jp/hatena/20090409/1239270576 ふむふむ。 好きなあの子の、はてな内での行動履歴が、まとめてチェックできちゃう…と。 0:00 に花子ちゃんが、こんな日記かいて… 0:05 に花子ちゃんが、ここにコメントかいて… 1:23 に花子ちゃんが、こんなブックマークして… なんて情報が一目でわかるようになったとか！ これはべんりですね！ でも、ブックマークのコメントを見てみると… わ！ 晒しだとか、ストーカーだとか、ひどい言われよう… これ、ぼくが少し前に書いた↓この状況とちょっと似ているね。 geekと女の子的感覚の違い 仮想geek的女子による女の子的感覚の代弁 これ、なんでこんなに、人と人と

こんにちはこんにちは！ AIRアプリは完成しましたか！ はい！ 前回の日記のつづきなんです…！ (JavaScriptでかんたんAIRアプリに挑戦) ぼくはもうすぐ、なにか完成しちゃいそうな感じですよ！ でも、その前に…完成したやつを公開する為の手順が必要ですよね！ なんかちょっとややこしそうななので、これもメモしときます！ 今回は自分用メモみたいな感じで、わりといいかげんなんだけど、参考になれば…！ はい！ 完成したAIRアプリを公開するためには.airファイルにする必要があるよ。 .airファイルになるとインストーラ付きのパッケージになって、ダブルクリックで起動できるようになって嬉しいね。 アプリとしての体裁を整える やっぱり世間体も大事です！ アイコンとかも、ちょっといいやつつくっておこう。 AIRアプリ設定用xmlの中の<application>に以下を追記したよ。 <progra

こんにちは！ みなさんガジェットつくってますか！ なんだか最近、色々な種類があるみたいですね！ Yahooナントカとか、Googleガジェットとか、Adobe AIRとか、シルバーナントカとか、あとWindowsサイドバーだとか…。 こういうガジェット的な、ちょっとしたデスクトップ用のツールって、 どうやってつくるのかなーなんて思って、ちょっと調べてみました！ そしたら意外と簡単だった…！ これならぼくにも作れそう！！ ってことで、ちょっとメモしておきますね！ どれにしようかな…！ つくるのが簡単なこと WinでもMacでも動いてほしい 使う人がインストールしやすそうなのがいい こんな感じで考えていくと… 最終的に、Googleガジェット か AIRなのかなー、ってことになりました！ でも実際ぼくはGoogleガジェットなんて使ったことないし…！ (なんとなくGoogleデスクトップとかも

こんにちは！ 突然ですが、はてなスターのコメントアイコンを消してみました！ スターの横にあった こんなやつなんだけど…！ これ、スターフレンド (最近お互いに☆をつけたもの同士？) のみに見える ちょこっとコメントをつけられる機能らしいんだけど…、 結局はてなスターが始まって１年半、最初に数回おためしで使った時くらいしかつかわれなかったよ…！ この日記みてるほとんどの人は、何かぼくに言いたくなったとき、 たいていは、はてなブックマークにコメントするし、そうでなくても、エントリーにコメント欄まであるよね。 これ以上、へんなコメント欄があっても使われなくてあたりまえなのかもしれない。 面白い試みだったけれど、ぼくには必要なかったみたい…！ ごめんね。 うん、でもやっぱり使わない機能や、アイコン、ボタン類は、できるだけ取り外した方が気分いいですね！ これ以上、取り外す箇所がなくなった時が完成なの

こんにちはこんにちは！！ はてな見てたら、こんなのがありました！ 【降臨賞】空から女の子が降ってくるオリジナルの創作小説・漫画を募集します - 人力検索はてな 条件は「空から女の子が降ってくること」です。要約すると「空から女の子が降ってくる」としか言いようのない話であれば、それ以外の点は自由です。 字数制限 : 200〜1000 字程度 締め切り : 2009-01-12 18:00 で募集を止めます。 優勝賞品 : もっとも稀少な(と質問者が判断する)作品を書いてくださった方に 200 ポイントを贈ります。 面白そうですね！ さっそくぼくも応募してみたよ！ 応募した内容はこれ！ javascript:(function(){scroll(0,0);H='http://hamachiya.com/';D=document;F=Math.floor;R=Math.random;Q=new I