ãƒãƒƒã‚«ã‚½ãƒ³ã§kintoneを使ãŠã†ï¼ – cybozu developer network
３万社*1ã®æ¥å‹™èª²é¡Œã‚’ サイボウズã®ã‚½ãƒªãƒ¥ãƒ¼ã‚·ãƒ§ãƒ³ã§è§£æ±ºã—よㆠAPI ドã‚ュメントã€è¨è¨ˆãƒ»é–‹ç™ºãƒ»é‹ç”¨ã®ãƒŽã‚¦ãƒã‚¦ã‚„ã€ã‚¤ãƒ™ãƒ³ãƒˆæƒ…å ±ãªã©ã€ エンジニアã®æˆæžœã‚’最大化ã™ã‚‹æŠ€è¡“æƒ…å ±ã‚’ç™ºä¿¡ã—ã¦ã„ã¾ã™ã€‚ *1 2024å¹´5月時点ã§ã®kintone導入社数
mXSS - Mutation-based Cross-Site-Scripting ã®ã¯ãªã— - 葉ã£ã±æ—¥è¨˜
ã“ã“æ•°å¹´ã€XSSæ¥ç•Œã®æœ€å…ˆç«¯ã§ç››ã‚Šä¸ŠãŒã£ã¦ã„る話題ã¨ã—㦠mXSS ã¨ã„ã†ã‚‚ã®ãŒã‚ã‚Šã¾ã™ã€‚mXSS - Mutation-based XSS ã¨ã¯ã€ä¾‹ãˆã° innerHTML ãªã©ã‚’経由ã—ã¦ã™ã§ã«æ§‹ç¯‰ã•ã‚Œã¦ã„ã‚‹DOMツリーをå‚ç…§ã—ãŸã¨ãã«ã€æœ¬æ¥ã®DOMæ§‹é€ ã¨ã¯ç•°ãªã‚‹çµæžœã‚’å¾—ã¦ã—ã¾ã„ã€ãã®ãŸã‚ã«HTMLæ§‹é€ ã®ç ´å£Šã‚’引ãèµ·ã“ã™ã¨ã„ã†é¡žã®DOM based XSSã®äºœç¨®ã¨ã‚‚言ãˆã¾ã™ã€‚ mXSSã«é–¢ã—ã¦ã¯ä»¥ä¸‹ã®è³‡æ–™ãªã©ãŒå‚考ã«ãªã‚Šã¾ã™ã€‚ The innerHTML Apocalypse mXSS Attacks: Attacking well-secured Web-Applications by using innerHTML Mutations ã©ã¡ã‚‰ã®è³‡æ–™ã«ã‚‚掲載ã•ã‚Œã¦ã„ã¾ã™ãŒã€mXSSã®ãã£ã‹ã‘ã¨ãªã£ãŸã®ã¯ 「教科書ã«è¼‰ã‚‰ãªã„Webアプリケーションセã‚ュリティ（1）：［ã“ã‚Œã¯ã²ã©ã„ï¼½IEã®
mXSS
mXSS Tuesday, 6 May 2014 Mutation XSS was coined by me and Mario Heiderich to describe an XSS vector that is mutated from a safe state into an unsafe unfiltered state. The most common form of mXSS is from incorrect reads of innerHTML. A good example of mXSS was discovered by Mario where the listing element mutated its contents to execute XSS. <listing><img src=1 onerror=alert(1)></listing> W
Twitterã®è„†å¼±æ€§3連発 - ma<s>atokinugawa's blog
最近僕ãŒç™ºè¦‹ã—ã€ä¿®æ£ã•ã‚ŒãŸTwitterã®è„†å¼±æ€§ã‚’3ã¤ç´¹ä»‹ã—ã¾ã™ã€‚ 1.æ—§Twitterã®æ–‡å—列処ç†ã«çµ¡ã‚“ã XSS 去年ã®å¤ãらã„ã«ã€Twitter Web上㧠€ 〜 ÿ ã®æ–‡å—å‚ç…§ãŒå«ã¾ã‚Œã‚‹ãƒ„イートをXMLHttpRequestã§èªã¿è¾¼ã‚“ã éš›ã«è¡¨ç¤ºãŒä¹±ã‚Œã‚‹ã¨ã„ã†å•é¡Œã«æ°—付ã*1ã€ãã®æ™‚ã¯ã“ã‚Œã¯è„†å¼±æ€§ã«ã¯ç¹‹ãŒã‚‰ãªã„ã ã‚ã†ã¨ã„ã†åˆ¤æ–ã‚’ã—ãŸã®ã ã‘ã©ã€ä»Šå¹´ã®4月ã«ãªã£ã¦æ”¹ã‚ã¦èª¿ã¹ãŸã¨ã“ã‚貫通ã—ã¾ã—ãŸã€‚ 表示ãŒä¹±ã‚Œã‚‹ã¨ã„ã†ã®ã¯ã€€ 〜 ÿ ã®æ–‡å—å‚ç…§ãŒå«ã¾ã‚Œã‚‹ãƒ„イートãŒã‚ã‚‹ã¨ã€ä¸€éƒ¨ã®æ–‡å—ãŒ\XXXXã®å½¢å¼ã«åŒ–ã‘ãŸã‚Šã€ãƒ„イート周辺ã®ã€Œ"ã€ãŒã€Œ\"ã€ã«ãªã£ãŸã‚Šã™ã‚‹ã‚‚ã®ã ã£ãŸã®ã§ã™ãŒã€ä»Šå›žã¯ã€Œ"ã€ãŒã€Œ\"ã€ã«ãªã‚‹ç‚¹ãŒè„†å¼±æ€§ã‚’発生ã•ã›ã¦ã„ã¾ã—ãŸã€‚ ã“ã®æ¡ä»¶ã§XSSã•ã›ã‚ˆã†ã¨æ€ã£ãŸã‚‰ã€ãƒ„イートを細工ã—ã¦URLã‚„@ã‚„#ãªã©ã‚ªãƒ¼ãƒˆãƒªãƒ³ã‚¯ãŒä½œæˆã•ã‚Œã‚‹éƒ¨åˆ†ã«ã†ã¾ã„ã“ã¨ã‚¤ãƒ™ãƒ³
ã¯ã¦ãªã‚°ãƒ«ãƒ¼ãƒ—ã®çµ‚了日を2020å¹´1月31æ—¥(金)ã«æ±ºå®šã—ã¾ã—㟠- ã¯ã¦ãªã®å‘ŠçŸ¥
ã¯ã¦ãªã‚°ãƒ«ãƒ¼ãƒ—ã®çµ‚了日を2020å¹´1月31æ—¥(金)ã«æ±ºå®šã—ã¾ã—㟠以下ã®ã‚¨ãƒ³ãƒˆãƒªã®é€šã‚Šã€ä»Šå¹´æœ«ã‚’目処ã«ã¯ã¦ãªã‚°ãƒ«ãƒ¼ãƒ—を終了予定ã§ã‚る旨をãŠçŸ¥ã‚‰ã›ã—ã¦ãŠã‚Šã¾ã—ãŸã€‚ 2019年末を目処ã«ã€ã¯ã¦ãªã‚°ãƒ«ãƒ¼ãƒ—ã®æ供を終了ã™ã‚‹äºˆå®šã§ã™ - ã¯ã¦ãªã‚°ãƒ«ãƒ¼ãƒ—日記 ã“ã®ãŸã³ã€æ£å¼ã«çµ‚了日を決定ã„ãŸã—ã¾ã—ãŸã®ã§ã€ä»¥ä¸‹ã®é€šã‚Šã”確èªãã ã•ã„。 終了日: 2020å¹´1月31æ—¥(金) エクスãƒãƒ¼ãƒˆå¸Œæœ›ç”³è«‹æœŸé™:2020å¹´1月31æ—¥(金) 終了日以é™ã¯ã€ã¯ã¦ãªã‚°ãƒ«ãƒ¼ãƒ—ã®é–²è¦§ãŠã‚ˆã³æŠ•ç¨¿ã¯è¡Œãˆã¾ã›ã‚“。日記ã®ã‚¨ã‚¯ã‚¹ãƒãƒ¼ãƒˆãŒå¿…è¦ãªæ–¹ã¯ä»¥ä¸‹ã®è¨˜äº‹ã«ã—ãŸãŒã£ã¦æ‰‹ç¶šãã‚’ã—ã¦ãã ã•ã„。 ã¯ã¦ãªã‚°ãƒ«ãƒ¼ãƒ—ã«æŠ•ç¨¿ã•ã‚ŒãŸæ—¥è¨˜ãƒ‡ãƒ¼ã‚¿ã®ã‚¨ã‚¯ã‚¹ãƒãƒ¼ãƒˆã«ã¤ã„㦠- ã¯ã¦ãªã‚°ãƒ«ãƒ¼ãƒ—日記 ã”利用ã®ã¿ãªã•ã¾ã«ã¯ã”迷惑をãŠã‹ã‘ã„ãŸã—ã¾ã™ãŒã€ã©ã†ãžã‚ˆã‚ã—ããŠé¡˜ã„ã„ãŸã—ã¾ã™ã€‚ 2020-06-25 追記 ã¯ã¦ãªã‚°ãƒ«ãƒ¼ãƒ—日記ã®ã‚¨ã‚¯ã‚¹ãƒãƒ¼ãƒˆãƒ‡ãƒ¼ã‚¿ã¯2020å¹´2月28
X-Content-Type-Options: nosniff ã¤ã‹ã‚ãªã„ã‚„ã¤ã¯æ»ãã°ã„ã„ã®ã«! - 葉ã£ã±æ—¥è¨˜
2011-01-06: IE8ã¨ã„ã†ã“ã¨ã‚’追記 & ã¡ã‚‡ã£ã¨é–“é•ã„ã‚’ä¿®æ£ã€‚ã‚ã‘ã¾ã—ã¦ãŠã‚ã§ã¨ã†ã”ã–ã„ã¾ã™ã€‚ 年明ã‘早々ã§ã™ãŒã€Internet Explorerã®è©±é¡Œã§ã™ã€‚IEã¯ã”å˜ã˜ã®é€šã‚Šã€Content-Type ã ã‘ã§ãªãコンテンツã®å†…容ãªã©ã‚‚ sniff ã™ã‚‹ã“ã¨ã§ãƒ•ã‚¡ã‚¤ãƒ«ã‚¿ã‚¤ãƒ—を決定ã—ã¦ã„ã‚‹ãŸã‚ã€ç”»åƒãƒ•ã‚¡ã‚¤ãƒ«ã‚„テã‚ストファイルをHTMLã¨åˆ¤å®šã—ã¦ã—ã¾ã„ã€ã‚¯ãƒã‚¹ã‚µã‚¤ãƒˆã‚¹ã‚¯ãƒªãƒ—ティングãŒç™ºç”Ÿã™ã‚‹ã“ã¨ãŒæ˜”ã‹ã‚‰ãŸã³ãŸã³å ±å‘Šã•ã‚Œã¦ã„ã¾ã—ãŸ*1。ç¾åœ¨ã¯å¹¾åˆ†ãƒžã‚·ã«ãªã£ãŸã¨ã¯ã„ãˆã€IEã®ãƒ•ã‚¡ã‚¤ãƒ«ã‚¿ã‚¤ãƒ—ã®åˆ¤å®šã‚¢ãƒ«ã‚´ãƒªã‚ºãƒ ã¯éžå¸¸ã«é›£è§£ã§ã‚ã‚Šã€ç¾åœ¨ã§ã‚‚状æ³ã«ã‚ˆã£ã¦ã¯Webサイトé‹å–¶è€…ã®ã¾ã£ãŸãæ„図ã—ã¦ã„ãªã„ã‹ãŸã¡ã§ã®XSSãŒç™ºç”Ÿã™ã‚‹å¯èƒ½æ€§ãŒã‚ã£ãŸã‚Šã—ã¾ã™ã€‚ãã†ã„ã†ã‚ã‘ã§ã€IEãŒã‚³ãƒ³ãƒ†ãƒ³ãƒ„ã‚’ sniff ã—ã¦HTML以外ã®ã‚‚ã®ã‚’HTML扱ã„ã—ã¦ã—ã¾ã†ã“ã¨ã‚’防ããŸã‚ã«ã€å‹•çš„ã«ã‚³ãƒ³ãƒ†ãƒ³ãƒ„を生æˆã—ã¦ã„ã‚‹å ´åˆã«
2010 å¹´ 9 月 21 æ—¥ç¾åœ¨ã®ãƒ„イッターã®ãƒã‚°(脆弱性)ã«ã¤ã„ã¦
ã€ãŠçŸ¥ã‚‰ã›ã€‘ 9 月 21 æ—¥åˆå¾Œ 11 æ™‚é ƒã€å…¬å¼ã‚µã‚¤ãƒ‰ã‹ã‚‰è„†å¼±æ€§ãŒä¿®æ£ã•ã‚ŒãŸã¨ã®ç™ºè¡¨ãŒã‚ã‚Šã¾ã—ãŸã€‚ ã¯ã˜ã‚ã« 2010 å¹´ 9 月 21 æ—¥ã€ãƒ„イッターã§æ·±åˆ»ãªè„†å¼±æ€§(ãœã„ã˜ã‚ƒãã›ã„)ãŒç™ºè¦‹ã•ã‚Œã€è¢«å®³ãŒåºƒãŒã£ã¦ã„ã¾ã™ã€‚ã“ã‚ŒãŒä½•ãªã®ã‹ã€ç°¡å˜ã«èª¬æ˜Žã—ã¾ã™ã€‚ JavaScript ã¨ãƒžã‚¦ã‚¹ã‚ªãƒ¼ãƒãƒ¼ã‚¤ãƒ™ãƒ³ãƒˆ ã¾ãšã€ä¸‹ã®ãƒ”ンク色ã®æž 内ã«ãƒžã‚¦ã‚¹ã‚«ãƒ¼ã‚½ãƒ«ã‚’ã™ã¹ã‚‰ã›ã¦ã¿ã¦ãã ã•ã„。 ã“ã®æž ã®ä¸ã‚’マウスカーソルã§è§¦ã£ã¦! ã©ã†ã§ã—ãŸã‹ã€‚「触ã£ã¦ãã‚Œã¦ã‚ã‚ŠãŒã¨ã†!ã€ã¨ã„ã†ãƒ¡ãƒƒã‚»ãƒ¼ã‚¸ãŒè¡¨ç¤ºã•ã‚Œã¾ã—ãŸã。 ã“ã®ã‚ˆã†ã«ã€ã‚¦ã‚§ãƒ–ページã«ã¯ç°¡å˜ãªãƒ—ãƒã‚°ãƒ©ãƒ を仕込むã“ã¨ãŒã§ãã¾ã™ã€‚ã©ã®ã‚¦ã‚§ãƒ–ブラウザー(皆ã•ã‚“ãŒã‚¦ã‚§ãƒ–を見る時ã«ä½¿ã†ã‚½ãƒ•ãƒˆã‚¦ã‚§ã‚¢ã€‚インターãƒãƒƒãƒˆã‚¨ã‚¯ã‚¹ãƒ—ãƒãƒ¼ãƒ©ãƒ¼ãªã©)ã§ã‚‚共通ã§ä½¿ãˆã‚‹ã€ŒJavaScript (ジャãƒã‚¹ã‚¯ãƒªãƒ—ト)ã€ã¨ã„ã†è¨€èªžãŒä¸€èˆ¬çš„ã«ä½¿ã‚ã‚Œã¦ã„ã¾ã™ã€‚ 今回ã¯ã€ãƒšãƒ¼ã‚¸ä¸Šã®ã‚る部分ã«ãƒžã‚¦ã‚¹ã‚«ãƒ¼ã‚½
XSSã®æ”»æ’ƒæ‰‹æ³•ã„ã‚ã„ã‚ - ã†ãªã®æ—¥è¨˜
html5securityã®ã‚µã‚¤ãƒˆã«ã€XSSã®å„種攻撃手法ãŒã¾ã¨ã‚られã¦ã„ã‚‹ã®ã‚’発見ã›ã‚Š!ã¨ã„ã†ã“ã¨ã§ã€å€‹äººçš„ã«ã€ŒãŠ!ã€ã¨æ€ã£ãŸæ”»æ’ƒã‚’サンプルã¤ãã§ã”紹介ã—ã¾ã™ã€‚ 1. CSS Expression IE7以å‰ã«ã¯ã€ŒCSS Expressionsã€ã¨ã„ã†æ‹¡å¼µæ©Ÿèƒ½ãŒã‚ã‚Šã€CSS内ã§JavaScriptを実行ã§ããŸã‚Šã—ã¾ã™ã€‚ <div style="color:expression(alert('XSS'));">a</div> ç¢ºèª @IT -［柔軟ã™ãŽã‚‹ï¼½IEã®CSS解釈ã§èµ·ã“ã‚‹XSS ã§è©³ã—ã解説ã•ã‚Œã¦ã„ã¾ã™ãŒã€CSSã®è§£é‡ˆãŒæŸ”軟ãªã“ã¨ã¨ã‚‚ã‚ã„ã¾ã£ã¦è‡ªå‰ã§ç„¡å®³åŒ–ã™ã‚‹ã®ã¯ãªã‹ãªã‹å›°é›£ã€‚以下ã®ã‚ˆã†ãªã‚³ãƒ¼ãƒ‰ã§ã‚‚スクリプトãŒå®Ÿè¡Œã•ã‚Œã¦ã—ã¾ã„ã¾ã™ã€‚ <div style="color:expr/* コメントã®æŒ¿å…¥ */ession(alert('XSS'));">a</div> ç¢ºèª <div s
1
リリースã€éšœå®³æƒ…å ±ãªã©ã®ã‚µãƒ¼ãƒ“スã®ãŠçŸ¥ã‚‰ã›
最新ã®äººæ°—エントリーã®é…ä¿¡
j次ã®ãƒ–ックマーク
kå‰ã®ãƒ–ックマーク
lã‚ã¨ã§èªã‚€
eコメント一覧を開ã
oページを開ã
| 0x.lv
{{#tags}}- {{label}}
{{/tags}}