はてなブックマークのブックマーク数が多い順に記事を紹介する「はてなブックマーク数ランキング」。12月9日（月）～12月15日（日）〔2024年12月第2週〕のトップ30です*1。 順位 タイトル 1位 無自覚にメンバーの心理的安全性を奪っていた経験から得た学び - Speaker Deck 2位 重度知的障害の女性が活躍する仕事 川崎 “あるシステム”が決め手に 職場全体にメリットも | NHK 3位 犬とおばあちゃん助けたら最近かなりいい感じ 4位 セロトニンを補う薬がびっくりするほど効く人たち | Books&Apps 5位 コワーキングスーパー銭湯ランキング（東京近郊） 6位 あるXユーザーの「娘が4～5歳の頃にハマったボドゲ」全26種の紹介ツリーが参考になる→クリスマスに子どもからボドゲを所望された親御さんは必見 - Togetter [トゥギャッター] 7位 一つ嫌なことがあると

Greasemonkeyの過去においてのセキュリティ上の問題の解説。 Greasemonkeyだけに限らず、JavaScriptによるユーザ拡張を作成している全ての方に対して一読の価値があるドキュメントだと思われます。 原文：O'Reilly Media - Technology and Business Training Greasemonkeyの共通な落とし穴を避ける Greasemonkeyのセキュリティの歴史があなたの今にどう影響するのか (著) Mark pilgrim "Greasemonkey Hacks"の著者 2005/11/11 昔々、あるところにセキュリティホールがありました。（これは普通のおとぎ話ではないからそのまま読んでください。） Greasemonkeyのアーキテクチャは最初に書かれて以来大幅に変更されてきた。Version0.3は初めて広範囲に人気を得たバー

ウェブページの表示を勝手にカスタマイズしていたら、痛い目にあった・・・。 Firefoxユーザーの間で人気を集めている新しいエクステンションには、こんな話が付いて回っている。「Greasemonkey」というこのエクステンションを使えば、ユーザーはアクセスしたウェブページのデータをダウンロードする際に「ユーザースクリプト」を実行し、ページをカスタマイズできる。しかも、カスタマイズが行われていることはウェブサイト運営者にはわからない。 Greasemonkeyは、設計上の不具合を取り除いたり、広告を排除したりするなど、訪問先のウェブサイトをカスタマイズしたいと考えるウェブユーザーから、熱烈な支持を受けてきた。しかし、このエクステンションの使用には、セキュリティ上のリスクが伴う。また、 ユーザーによって自分のサイトがカスタマイズされてしまうことに異議を唱えるサイト運営者が、このエクステンション

以前のエントリで、何やらTwitterの調子がおかしかった時にjavascriptの動作に間違いがあったのか、postを投稿しようとすると@updateのページへと飛ばされる事があったと書きました。 @updateの持ち主が何者なのかは全く不明なのですが、少なくともTwitter運営にしてみればこの件は想定外のものであったと思います。 この問題の"違和感"の本質は何かと言えば、javascriptの動作がおかしくなった段階でダメと言えばダメなのですが、それよりも「想定外のユーザー」がいた事にあると思います。 もしも@updateがいなければ、投稿しようとしてもエラーメッセージが表示されるだけですから。 想定外のユーザーが存在したことの根本的な原因は、ユーザーページのURIが"twitter.com/ユーザー名"というものであったことです。 これによって、予約語である"update"をユーザ

Cookieの値にSQLインジェクションが含まれていますが、注目すべきポイントはCookieに含まれているその形式です。URLの“/index.asp”の後に続くべきパラメータがそのままCookieに含まれています。ASPのRequestオブジェクト（ASP.NETの場合、HttpRequest.Params）を使っている場合、クエリ文字列やフォーム以外からでもデータを読み込めます。もしRequestオブジェクトから読み込んだデータの取り扱いにSQLインジェクションの脆弱（ぜいじゃく）性がある場合、データベースを操作されてしまいます。 IIS／ASPの機能を悪用 今回の攻撃手法のもう1つの特徴は攻撃のリクエストに“%”を含ませることでセキュリティ機器の検知機能の回避を狙っていることです。%文字を含んだSQLインジェクションは以下のようなリクエストになっています。 色を付けた「DE%CLAR

CSS2008(コンピュータセキュリティシンポジウム2008)において、無線LANの暗号化方式であるWEPを瞬時にして解読するアルゴリズムが神戸大学の森井昌克 教授から発表されたそうです。何よりすさまじいのが、既に知られているような特殊な環境が必要な方法ではなく、通常の環境で簡単に突破可能であるという点。しかも、諸般の事情によって解読プログラムの公開はひかえているものの、近々公開予定とのこと。 携帯ゲーム機であるニンテンドーDSは暗号化においてWEPしか現状ではサポートしていないため、今後、さまざまな問題が出る可能性があります。 一体どういう方法なのか、概要は以下から。 CSS2008において，ＷＥＰを一瞬にして解読する方法を提案しました． - 森井昌克 神戸大学教授のプロフィール ＷＥＰを一瞬で解読する方法．．．CSS2008で「ＷＥＰの現実的な解読法」を発表｜神戸大学 教養原論「情報の

php.iniファイルをひな形から作成する php.ini ファイルは最初から作成する必要はありません。用意されている雛形をコピーして作成し、後から必要な個所を変更して利用します。雛形となるファイルは PHP をインストールしたディレクトリに含まれている次の2つのファイルです。 php.ini-production ファイルは実際の本番環境で使用する場合に適した雛形で、 php.ini-production ファイルは開発環境で使用する場合に適した雛形となっています。 今回は php.ini-development ファイルの方を使ってみます。最初から作り直したい時のために php.ini-development ファイルはそのまま残しておき、コピーしたものを使用するようにして下さい。 php.ini-development ファイルをコピーし、ファイル名を php.ini に変更してくだ

F's Garage @fshin2000 ：magic_quotesを有害認定したのは間違いじゃなかろうか。 magic_quoteがダメなのは、セキュリティ対策として機能が足りないのであって、magic_qouteを使うとセキュリティ意識が思考停止するからと完全否定した結果として、今の状況があるのかもしれない。 ちがうよ。単にmagic_quote=addslashesが使えない関数だからだよ。addslashesはDB用に作ったけど、そんなの各DBの仕様にあわせなきゃダメに決まってるじゃん。使える関数になるわけじゃないじゃん。まぁ、負の遺産。こんなんを自動FILTERでデフォルトONにするPHPがクソと言われれば「はいそうですね」って感じだけど。 それより、自分は セキュリティ対策として機能が足りないのであって に「えぇー！？PHPのmagic_quoteってセキュリティ対策のために

※ご注意 他社および他組織のWebサイトなどへのポートスキャンおよびデータの取得などの行為で得た情報を侵入などに悪用するか、または同じ目的を持つ第三者に提供した時点で違法となります。ご注意ください。 本稿の内容を検証する場合は、必ず影響を及ぼさない限られた環境下で行って下さい。 また、本稿を利用した行為による問題に関しましては、筆者および株式会社アットマーク・アイティは一切責任を負いかねます。ご了承ください。 最近Webアプリケーションに存在するセキュリティホールが注目を浴びている。その中でも「クロスサイトスクリプティング（XSS）」と呼ばれる脆弱性が有名で、「特集 クロスサイトスクリプティング対策の基本」という記事で詳細に解説した。しかし、Webアプリケーションに潜む脆弱性はXSSだけではなく、XSSよりもはるかに危険性の高いセキュリティーホールが存在する。 本稿では、Webアプリケーシ

読者からのタレコミによると、NECの公式サイトのトップページにアクセスすると埋め込まれているFlashのせいでブラウザが操作不能になるとのこと。つまり、俗に言うところのブラクラ（ブラウザクラッシャー）になってしまっているらしい。 というわけで、アクセスしてみました。 問題のURLはここ、いつ修正されるかわからず、大変危険ですのでアクセスする際にはいつ強制終了しても大丈夫なようにしておいてください。 http://www.nec.co.jp/ 試しにFirefox3でアクセスしてみました。わかりやすく、タスクマネージャを起動させておきました。見てわかるように、CPU使用率が100％になってしまい、3分ほど放置しておくとブラウザどころか、WindowsXPまで動かなくなることまで確認しました。 このようにして青いFlashを読み込むと動かなくなる そのうちこうなる、ブラクラ状態 CPUを食いま

via Security Advisory SA30731 - Vim Shell Command Injection Vulnerabilities - Secunia vim 7.1.299 以前のバージョンにコマンドインジェクションの脆弱性があるそう。 The vendor recommends applying patch 7.1.299 and updating to the latest runtime files, which fix some of the reported vulnerabilities. Security Advisory SA30731 - Vim Shell Command Injection Vulnerabilities - Secunia との事なので、該当のバージョンを使っている vim 使いの人はバージョンアップしましょう。 MacPort

XSSとかSQLインジェクションとかをチェックするために、フォームの入力項目にスクリプトとかを入力するのが面倒だったので。 こんなん作りました。 Xss Check Helper http://yuroyoro.com/greasemonkey/xsscheckhelper.user.js 機能 ページ内のフォームコントロール(input[text,checkbox,radio],textfield,select)のvalueを指定した値に強制的に書き換えるスクリプトです。 たとえば、以下のようなcheckboxがあったとして、 <input type="checkbox" name="test_check" value="1"/>このスクリプトをかますと <input type="checkbox" name="test_check" value="<b>TestValue</b>"/>