[B! iframe] TAKESAKOのブックマーク

Clickjacking - KENJI’S BLOG

まっちゃ445でも話題にあがったclickjacking。ブラウザに透明なフレームを貼付けて、ユーザーに意図しないリンクをクリックさせる攻撃方法 http://www.planb-security.net/notclickjacking/iframetrick.html ソースコードは↓こんな感じ <html> <title>Real Clickjacking?</title> <head> <style> span.fakebutton_1{background-color:red;font-weight:bold;font-size:12px; position:absolute;top:463px;left:365px;z-index:-10} span.fakebutton_2{background-color:orange;font-weight:bold;font-size:

TAKESAKO 2008/12/04

リンク

ユーザのクリックを乗っ取る「クリックジャック」 | スラド

ZDNet︵日本語訳︶にて、多くのブラウザやAdobe Flashに存在するクリックジャック︵Clickjacking︶に対する脆弱性について報じられている︵本家/.より︶。この脆弱性はIE、Firefox、Safari、Operaなど多くブラウザやAdobe Flashに存在し、影響を受けないブラウザはLynxくらいだそうだ。クリックジャックされると、ユーザのクリック全てがクリックジャックのクリックとなり、ユーザの意図や動作とは無関係にページ上のリンクやボタンをクリックしたことになってしまう。このため、Flashゲームなどは格好のターゲットとなり得る。攻撃はブラウザの根本的な欠陥を突いたもので、DHTMLを利用しているとのこと。また、JavaScriptは必須ではないため、JavaScriptを無効にしても完全には防げないそうだ。クリックジャックはOWASP NYC AppSec 2

TAKESAKO 2008/09/29

リンク

クリックジャッキング：研究者が複数のブラウザに対する新たな脅威について警告

文‥Ryan Naraine︵Special to ZDNet.com︶翻訳校正‥石橋啓一郎 2008-09-27 10:55 セキュリティ研究者が、すべての主要なデスクトッププラットフォームに影響のある、新たな恐ろしいブラウザに対する脅威に対する警告を発している。その対象となるのは、Microsoft Internet Explorer、Mozilla Firefox、Apple Safari、Opera、そしてAdobe Flashだ。この脅威は﹁クリックジャッキング﹂と呼ばれるもので、OWASP NYC AppSec 2008カンファレンスで議論されるはずだったものだが、Adobeやその他の影響を受けるベンダーの要望で、包括的な修正が準備されるまではこの話題を公にすることが取りやめられていたものだ。これを発見したのは、Robert Hansen氏とJeremiah Grossm

TAKESAKO 2008/09/29

リンク

http://memo.st.ryukoku.ac.jp/archive/200806.month/9458.html

TAKESAKO 2008/06/03

ARP Spoofing 疑惑 ktkr

リンク

【復旧済】jp2.php.net/docs.phpがクラックされ中 - nazolabo

iframeが仕込まれています。 918 ：ニーチュ(福岡県)：2008/06/02(月) 07:34:44.02 id:fDXxYyKb0 憶測も交えてもうちょっと。長くなるので分けます pp■cool0■biz/bmw/am1■htm?34-8681 ゆずソフトのサイトにiframeで仕込まれていたURL。以下の各種URLを呼び出す。 pp■cool0■biz/ax14■htm VBScriptコードを生成する。IE以外は関係ない。 ActiveXコントロールの脆弱性をつくもの。 2006年の脆弱性であり、Windows Updateを行っていれば感染することはない。 ↓参考URL http://www.microsoft.com/japan/tech net/security/bulletin/MS06-014.mspx pp■cool0■biz/re10■htm JavaScrip

TAKESAKO 2008/06/02

リンク

IFrameとFragment Identifier使ったクロスドメイン通信について - snippets from shinichitomita’s journal

なぜかちょっと盛り上がり気味な記事 XhrIframeProxy(dojo) ○？ ○ △？中？マウスクリック音有り iframe内iframe ○？ ○ △？中？マウスクリック音有り http://d.hatena.ne.jp/nopnop/20080408/1207669947 この2つはFragment Identifierと多重IFrameを利用しているという点では同じなのかなあ。正直、これらは何を内部でおこなっているか分かりにくいと思う。JSONPのような簡潔さはない。説明を試みてみる。理解するためにまず押さえておくことがいくつかある。まずひとつ目に、フレーム︵ウィンドウ︶に含まれるドキュメントを示す location の値はそのフレーム外部から書き換えることができる。こんなかんじ。 <iframe id="ifr" src="http://www.example.

TAKESAKO 2008/04/10

リンク

IFrameを使った呼び出し - Dojo/JavaScript Toolkitのメモ

dojo.io.bindは、デフォルトではXMLHttpRequestを使ってサービスを呼び出すが、IFrameを使って呼び出すこともできる。 IFrameを使った場合、XMLHttpRequestを実装していない古いブラウザでも動作するメリットがある。一方で、IFrameでは、GETのみでPOSTが使えないため、主に情報の取得のみに使う。 IFrameを使って呼び出すときは、"dojo.io.IframeIO"をrequireし、dojo.io.bindの引数のtransportプロパティとして、"IframeTransport"を指定する。 IFrameを使ったときのサービスはHTMLを返す。mimetypeとしてtext/htmlを指定したときは、HTML全体のDOMを取得できる。以下にHTMLを返すサービスを呼び出す例を示す。 dojo.require("dojo.io.*");

TAKESAKO 2008/03/22

リンク

GData JavaScript のクロスドメイン通信の解析 - snippets from shinichitomita’s journal

以前の続き。JavaScriptからプライベートデータの参照、更新が出来る。Google Account Authenticationの仕組みを利用している。この前動かなかったサンプルはいつの間にか動くようになってた。最初プロトコルは勝手にJSONPと思ってたけど、中身見てみたらIFRAME 使った fragment identifier (window.location.hashの値、URLの＃以降)による通信だった。たしかに、IEで音をONにしたらクリック音カチカチする。ちなみにfragment identifierによるクロスドメイン通信は他にdojoがライブラリとして実装しているのは知っているけど、これだけ大々的にサービスで使われてるのを見たのは初めて。もっとも、ブラウザでクロスドメイン通信を達成する方法のうち現時点でもっともマシなのはこれじゃないかという意見もある。解析してみ

TAKESAKO 2007/10/06

2段iframe+#hashによるクロスドメイン通信

リンク

はてなブックマーク

タグ

関連タグで絞り込む (11)

iframeに関するTAKESAKOのブックマーク (8)

お知らせ

今週のはてなブックマーク数ランキング（2024年7月第2週）

はてなブックマーク透明性レポート（2024年 2月-2024年4月）

今週のはてなブックマーク数ランキング（2024年7月第1週）

公式Twitter

キーボードショートカット一覧

はてなブックマーク

公式Twitter

はてなのサービス