Flashã¨ç‰¹å®šãƒ–ラウザã®çµ„ã¿åˆã‚ã›ã§cross originã§ã‚«ã‚¹ã‚¿ãƒ ヘッダ付与ãŒå‡ºæ¥ã¦ã—ã¾ã†å•é¡ŒãŒæœªã ã«ç›´ã£ã¦ã„ãªã„話You signed in with another tab or window. Reload to refresh your session. You signed out in another tab or window. Reload to refresh your session. You switched accounts on another tab or window. Reload to refresh your session. Dismiss alert
XMLHttpRequestを使ã£ãŸCSRFå¯¾ç– - 葉ã£ã±æ—¥è¨˜
åˆã‚ã›ã¦èªã‚“ã§ãã ã•ã„：Flashã¨ç‰¹å®šãƒ–ラウザã®çµ„ã¿åˆã‚ã›ã§cross originã§ã‚«ã‚¹ã‚¿ãƒ ヘッダ付与ãŒå‡ºæ¥ã¦ã—ã¾ã†å•é¡ŒãŒæœªã ã«ç›´ã£ã¦ã„ãªã„話 (2014-02/07) XMLHttpRequestを使ã†ã“ã¨ã§ã€Cookieやリファラã€hidden内ã®ãƒˆãƒ¼ã‚¯ãƒ³ã‚’使用ã›ãšã«ã‚·ãƒ³ãƒ—ルã«CSRF対ç–ãŒè¡Œãˆã‚‹ã€‚POSTã™ã‚‹JavaScriptã¯ä»¥ä¸‹ã®é€šã‚Šã€‚(2013/03/04:コード一部修æ£) function post(){ var s = "mail=" + encodeURIComponent( document.getElementById("mail").value ) + "&msg=" + encodeURIComponent( document.getElementById("msg").value ); var xhr = new XMLHttpRequest(); xhr
WebAPIã®ã‚¹ãƒ†ãƒ¼ãƒˆãƒ¬ã‚¹ãªCSRFå¯¾ç– - ã‚ã‚ã ã¾
Jerseyã®ãƒãƒ¼ã‚¸ãƒ§ãƒ³1.9.1ã§è¿½åŠ ã•ã‚ŒãŸCSRFをステートレスã«é˜²ãフィルタãŒèˆˆå‘³æ·±ã‹ã£ãŸã®ã§ã€ãã®ãƒ¡ãƒ¢ã§ã™ã€‚ CSRF対ç–ã®æ‰‹æ³• 通常ã€CSRF攻撃を防ãã«ã¯ãƒˆãƒ¼ã‚¯ãƒ³ã‚’使ã†æ–¹æ³•ãŒã‚ã‚Šã¾ã™ã€‚サーãƒãŒã‚¯ãƒ©ã‚¤ã‚¢ãƒ³ãƒˆã«ãƒˆãƒ¼ã‚¯ãƒ³ã‚’発行ã—ã¦ã€ã‚¯ãƒ©ã‚¤ã‚¢ãƒ³ãƒˆã¯ç™ºè¡Œã•ã‚ŒãŸãƒˆãƒ¼ã‚¯ãƒ³ã‚’クエリパラメータãªã©ã®å½¢ã§ãƒªã‚¯ã‚¨ã‚¹ãƒˆã«ä»˜ä¸Žã—ã¾ã™ã€‚サーãƒã¯ãƒˆãƒ¼ã‚¯ãƒ³ãŒä»˜ä¸Žã•ã‚Œã¦ã„ãªã„リクエストを実行ã—ã¾ã›ã‚“。攻撃者ã¯ç™ºè¡Œã•ã‚ŒãŸãƒˆãƒ¼ã‚¯ãƒ³ã‚’知らãªã„ãŸã‚ã€ãƒªã‚¯ã‚¨ã‚¹ãƒˆã‚’実行ã§ããªã„ã¨ã„ã†å¯¸æ³•ã§ã™ã€‚ CSRF対ç–ã¨ã‚¹ãƒ†ãƒ¼ãƒˆ ãŸã ã—ã€ã“ã®æ–¹æ³•ã§ã¯ãƒˆãƒ¼ã‚¯ãƒ³ã®å–得〜リクエストã®ç™ºè¡Œã«ã‚¹ãƒ†ãƒ¼ãƒˆãŒã§ãã‚‹ãŸã‚ã€WebAPIãŒã‚¹ãƒ†ãƒ¼ãƒˆãƒ•ãƒ«ã«ãªã£ã¦ã—ã¾ã†ã¨ã„ã†å•é¡ŒãŒã‚ã‚Šã¾ã™ã€‚RESTベースã®WebAPIã¯ã‚„ã¯ã‚Šã‚¹ãƒ†ãƒ¼ãƒˆãƒ¬ã‚¹ã«ä½œã‚ŠãŸã„ã¨ã“ã‚ã§ã™ã€‚ ãã“ã§ã€Jerseyã®CSRF対ç–フィルタã¯ã‚¹ãƒ†ãƒ¼ãƒˆãƒ¬ã‚¹ã«ãªã‚‹ã‚ˆã†ä½œã‚‰ã‚Œã¦ã„ã¾ã™ã€‚ Jerseyã®C
クãƒã‚¹ã‚µã‚¤ãƒˆã‚¹ã‚¯ãƒªãƒ—ティング(XSS)ã¨CSRFã®é•ã„早分ã‹ã‚Š - ockeghem(徳丸浩)ã®æ—¥è¨˜
昨日ã®æ—¥è¨˜ã§ã€DKç¥ã‚Šã§ä½¿ã‚ã‚Œã¦ã„る脆弱性ãŒXSSã‹CSRFã‹ã¨ã„ã†å•é¡Œã«ãªã£ãŸã€‚ã©ã†ã‚‚ã€XSSã¨CSRFãŒã”ã£ã¡ã‚ƒã«ãªã£ã¦ã„る人もã„るよã†ã«è¦‹å—ã‘ã‚‹ã®ã§ã€ç°¡å˜ãªæ•´ç†ã‚’試ã¿ãŸã„。 XSSã¨CSRFã«ã¯ä¼¼ãŸç‚¹ãŒã‚る。 ã©ã¡ã‚‰ã‚‚「クãƒã‚¹ã‚µã‚¤ãƒˆã€ã¨ã„ã†è¨€è‘‰ãŒå…ˆé ã«ã¤ã ãªã‚Šã™ã¾ã—ã®ã‚ˆã†ãªã“ã¨ãŒçµæžœã¨ã—ã¦ã§ãã‚‹ ã©ã¡ã‚‰ã‚‚å—動型攻撃ã§ã‚ã‚‹ ãã‚Œã«å¯¾ã—ã¦ã€ã‚‚ã¡ã‚ã‚“é•ã†ç‚¹ã‚‚ã‚る。専門家ã‹ã‚‰è¦‹ã‚Œã°ã€Œä¼¼ã¦ã‚‹ã‚‚何もã€ãã‚‚ãも全然é•ã†ã‚‚ã®ã§ã™ã‚ˆã€ã¨ãªã‚‹ã®ã ã‚ã†ãŒã€ç¾ã«æ··åŒã—ã¦ã„る人ãŒã„ã‚‹ã®ã ã‹ã‚‰ç´›ã‚‰ã‚ã—ã„点もã‚ã‚‹ã®ã ã‚ã†ã€‚ ç§æ€ã†ã«ã€XSSã¨CSRFã®æ±ºå®šçš„ãªé•ã„ã¯ã€ä»¥ä¸‹ã®ç‚¹ã§ã¯ãªã„ã ã‚ã†ã‹ã€‚ XSSã¯æ”»æ’ƒã‚¹ã‚¯ãƒªãƒ—トãŒãƒ–ラウザ上ã§å‹•ããŒã€CSRFã¯ã‚µãƒ¼ãƒãƒ¼ä¸Šã§å‹•ã ã“ã®ãŸã‚ã€XSSã§ã§ãる悪ã„ã“ã¨ã¯ã€ã™ãªã‚ã¡JavaScriptã§ã§ãã‚‹ã“ã¨ã§ã‚ã£ã¦ã€æ”»æ’ƒå¯¾è±¡ã®Cookieã‚’ç›—ã¿å‡ºã™ã“ã¨ãŒå…¸åž‹ä¾‹ã¨ãªã‚‹ã€‚一方ã€CS
Immortal Session ã®æ怖 : 404 Blog Not Found
2007å¹´11月29æ—¥07:15 カテゴリ書評/画評/å“è©• Immortal Session ã®æ怖 ã•ã™ãŒã®ç§ã‚‚ã€ä»Šå¤œåŠã®ç¥ã‚Šã«ã¯maitter。 ç§ã®twitterãŒè’らã•ã‚Œã¦ã„ãŸã®ã 。 è’らã—発言ã¯æ¶ˆã—ã¦ã—ã¾ã£ãŸãŒã€ã«ã½ãŸã‚“ãŒlogを残ã—ã¦ãã‚Œã¦ã„る。 nipotumblr - Dan the cracked man 一部ã§è¨€ã‚ã‚Œã¦ã„るよã†ã«ã€æœ¬å½“ã«ãƒ‘スワードãŒæŠœã‹ã‚ŒãŸã‹ã©ã†ã‹ã¾ã§ã¯è§£ã‚‰ãªã„。ãŒã€çŠ¶æ³ã¨ã—ã¦ã¯nowaãŒãƒ™ãƒ¼ã‚¿ãƒ†ã‚¹ãƒˆæ®µéšŽã§æŒã£ã¦ã„ãŸCSRF脆弱性をã¤ã„ãŸè’らã—ã«ãã£ãã‚Šã ã£ãŸã€‚ ã«ã½ãŸã‚“無料案内所 - ã“ã‚“ã«ã¡ã¯ã“ã‚“ã«ã¡ã¯ï¼ï¼ ã“ã®æ™‚ã‚‚ã€ç§ã®nowaã®ãƒ¡ãƒƒã‚»ãƒ¼ã‚¸ã«è’らã—ãŒå…¥ã£ãŸã€‚パスワードを変更ã—ã¦ã‚‚æš«ãè’らã—ãŒç¶šã„ã¦ã„ãŸç‚¹ã‚‚ä¼¼ã¦ã„る。 ã“ã“ã§ã®å•é¡Œã¯ã€ bulkneets@twitteræ›°ã(直接リンクã¯é¿ã‘ã¾ã™) å•é¡Œã¯æœ¬äººãŒæ°—付ã„ã¦ã‚‚パスワード変ãˆã¦ã‚‚セッション残
1
ランã‚ング
ランã‚ング
ランã‚ング
リリースã€éšœå®³æƒ…å ±ãªã©ã®ã‚µãƒ¼ãƒ“スã®ãŠçŸ¥ã‚‰ã›
最新ã®äººæ°—エントリーã®é…ä¿¡
j次ã®ãƒ–ックマーク
kå‰ã®ãƒ–ックマーク
lã‚ã¨ã§èªã‚€
eコメント一覧を開ã
oページを開ã
{{#tags}}- {{label}}
{{/tags}}