�•ʂɃJ�X�^�}�C�Y�����U�����d�|����

�����ȁuJavaScript�v���܂��܂����ςɂȂ��Ă���

2007/04/23

�@�����ȁuJavaScript�v���A�܂��܂����ςɂȂ��Ă���BArbor Networks�̏㋉�Z�L�����e�B�G���W�j�A�ł���z�Z�E�i�U���I���m�ɂ��΁A������JavaScript�́A�W�I��Web�u���E�U��Ǝ�ȃR���|�[�l���g�A�A�N�Z�X�”\�ȃN���X���ʎq�iCLSID�j����肵����A�•ʂɃJ�X�^�}�C�Y�����U�����d�|�����肷�邱�Ƃ��”\���Ƃ����B

�@�i�U���I���́A�uNeoSploit�v�ƌĂ΂��V���ȃ}���E�F�A�c�[�����A���Ȃ��Ƃ�7��̈قȂ��i�̒�����W�I�̎�_���Ղ����̂�I�����APC�ւ̊������L���Ă��鎖����c�������Əq�ׂĂ���B

�@�u�ߋ����J���̊ԂɁA���̎�̍U���∫����JavaScript����ʂɏo������BJavaScript����莩�Ȗh�q�I�ɁA�Ȃ����U���I�Ɉ��p�����P�[�X�������Ă���v�i�i�U���I���j

�@�i�U���I����4��18���Ɍ��n�ŊJ���ꂽ�Z�L�����e�B�C�x���g�uCanSecWest�v�ɏo�Ȃ��AJavaScript�}���E�F�A�̃��o�[�X�G���W�j�A�����O�Ɋւ���u�����s�����B�����ɂ��΁A����̐g�����B���A�Z�L�����e�B�V�X�e���ɍU�������m����Ȃ��悤�A����܂ňȏ�ɐ������ꂽ�\�������ƒR�[�h���������������悤�ɂȂ������Ƃ���AJavaScript�̈��p���h�q�I�ȐF��Z�����Ă���Ɣ��f�����̂��Ƃ����B

�@������JavaScript�́A�Ⴆ�΁uadodb.Stream()�v��usetSlice()�v�I�u�W�F�N�g�Ȃǂ�p����Web�u���E�U�U�����s���A�Ƃ��ɂ́uActiveX/VBScript�v�R���e���c�𐶐����āA�V�X�e���Ƀ}���E�F�A���_�E�����[�h����B�ł��P���ȃX�^�C���̋U��JavaScript�́A�Œ�I�ȃR�[�h������j�Q����B���ȃR�[�h���g�p���A����ɂ���č�҂̃R�[�h�쐬���@��Ӑ}��铽���Ă���B�U���̎�@�ɂ́A�V���v���ȁuASCII chr()�v�������́uord()�v�e�N�j�b�N���g�����̂���Base64�G���R�[�f�B���O�܂ŁA���邢��HTML���B������A�X�v���b�g����уW���C���g��z�񂵂�AJAX�I�u�W�F�N�g���쐬�����肷�邽�߂ɁuiWebTool HTML Encrypt�v�Ȃǂ̃c�[����p������̂܂ŁA���L�����݂��Ă���B

�@���������ړI�ŃX�v���b�g��z�񂷂�ۂ́A���̂悤�ȕ����񂪎g����ꍇ������B

Daxhi="A"+pplica"+"tion";

Vvu=".";

�@���̂悤�ȕ�������܂ވ����ȃR�[�h�͐l�Ԃ̖ڂɂ͂����Ɍ�������Ă��܂����A�������m�@�\���������ɂ͗L�����ƁA�i�U���I���͐������Ă���B

�@�܂��A��d�̋U���H����{���U���҂�������Ƃ����B�P���ȃW���C���g�������̓X�v���b�g��A�V���O���G���R�[�f�B���O�ɉ����āA�J�X�^���f�R�[�_��p����Ȃǂ̃_�u���G���R�[�f�B���O���s���Ă���̂��B�ꕔ�̃��[�U�[�͂��������U������ǂ���Web�u���E�U���D��ŗ��p���Ă��邪�AWeb�u���E�U���[���f�C��Ԃɂ���ꍇ�́A���̑΍�ł͊��S�ȏ����擾����܂łɎ��Ԃ��|����߂���̂Ŋ댯���ƁA�i�U���I���͌x�������B

�@�����́A�uNJS�v�Ȃǂ̃c�[�����g���āAWeb�u���E�U����JavaScript�G���W����؂藣�����@�𐄏����Ă���BNJS�́A�l�b�g�X�P�[�v���J�����AECMA���W��������JavaScript����̃X�^���h�A�����^�C���^�[�v���^�ŁA���G���g�����A�g�����A�@�q���ɗD��A�v���O���~���O���”\�ɂȂ��Ă���B���̂ق��̃f�R�[�h�c�[���ɂ́AMozilla Foundation��JavaScript-C�G���W���uSpiderMonkey�v��A100��Java�ŋL�q���ꂽ�I�[�v���\�[�X�� JavaScript�́uRhino�v�Ȃǂ�����B

�@�i�U���I�����w�E�����Ƃ���A�_�u���G���R�[�f�B���O���{���ꂽ�}���E�F�A�̃��o�[�X�G���W�j�A�����O�ɂ́A�����Ƃ���HTML�̏����ƃR�}���h���C����ł̃f�R�[�h���K�v�ɂȂ�B���̌��ʁA����ɉ�ǂ��Ȃ���΂Ȃ�Ȃ��R�[�h����������A����ȏ�Í��������Ȃ��Ă��悭�Ȃ�܂œ����v���Z�X���J��Ԃ����B

�@�����Ƃ��A�u��ɂ������܂������킯�ł͂Ȃ��B�����錟�����@��������鎩�Ȗh�q�I��JavaScript�i�̃R�[�h�T���v���j���A�R�قǏo����Ă���v�ƁA�i�U���I���͏q�ׂ��B

�@�Ⴆ�΁ANJS�́uarguments�v�ɂ‚��Ă͊֒m���Ȃ��̂ŁA�U���҂́uarguments.callee�v�����p���āA����R�[�h�����ςł��Ȃ��悤�ɂ��邱�Ƃ�����Bcallee��arguments�̃v���p�e�B��1�‚ŁA�����֐��Ɏ������g���Q�Ƃ����邽�߂̂�����֐��I�u�W�F�N�g�ɂ����ėL���ȁA���[�J���ϐ��Ƃ��ċ@�\����B�ċA�I�ȃX�g�����O���L�q����̂ɕK�v�Ȃ��̂ł���A���ꂪ���s�����Ɩ������[�v���N�����āA���o�[�X�G���W�j�A�����O�̏�Q�ƂȂ�B

�@�i�U���I���́ASpiderMonkey�����ʓI�ȑ΍�Ƃ��ċ������BSpiderMonkey�́A�ualert()�v����сuprint()�v�Ƃ���������̊֐��𖳌�������̂ŁA�R�[�h�̉�ǂ�j�ނ��߂ɂ��������֐����g���U���҂ɑ΍R�ł���̂��B�����҂͂����̊֐��𖳌������������ŁA Python�Ȃǂ̂ق��̌���𗘗p���A���o�[�X�G���W�j�A�����O�𑱍s����΂悢�B

�@�‚܂�Ƃ���A�U���҂�JavaScript���}���E�F�A�̉^����i�Ƃ��Ĉ��p����悤�ɂȂ��Ă���ƁA�i�U���I���͌����B�������킭�A�g����邽�߂ɂ܂����ׂ����Ƃ́AJavaScript�𗝉����A�����ɕt����p������邱�Ƃ��BJavaScript�͔�r�I�ȒP�Ȍ���ł���A�w�K����̂ɂ���قNj�J�͔���Ȃ��B

�@�K���ɂ��AWeb�u���E�U��JavaScript���g�p�����ۂɂ̓f�R�[�h���K�v�ɂȂ�̂ŁA����������p����U���҂̍s���͂��܂̂Ƃ��됧������Ă���B���̂����A�U���҂��R�[�h���́A�������͂��̈Ӑ}�̋U���Ɏg���Ă���c�[�����A�܂����n���Ă��Ȃ��B����ł��A�R�[�h�̕��͂ɂ͐l�Ԃ̖ڂ��s�Œ��ł��邱�Ƃ��l����΁A�����������n�I�ȃc�[���ł��\���Ɏ������ƁA�i�U���I���͌x����‚炵���B

�@������ɂ���AJavaScript�}���E�F�A������̋��ЂƂȂ�”\���͑傫���B�i�U���I���́A�u���ꂩ��JavaScript�}���E�F�A�̈Ö􂪎n�܂邾�낤�v�Ɨ\�����A������ɂ��Ă͂₳��Ă���Web 2.0�̂悤�ɁA�}���E�F�A2.0�����C�Â����������Ȃ���������Ȃ��Əq�ׂ��B

�����ւ̃����N

�ieWEEK Lisa Vaas�j

�������񂹂��������F



��IT���[���}�K�W���@�V������X�^�b�t�̃R���������[���œ͂��܂��i�����j