[B! security][HTML] efclのブックマーク

efcl id:efcl

securityとHTMLに関するefclのブックマーク (24)

CVE-2023-29008 - GitHub Advisory Database
efcl 2023/04/08
CSRFチェックの実装ミス。Content-Typeで絞ったせいで逆にContent-Typeのチェック漏れで問題が起きてるパターン。 https://html.spec.whatwg.org/multipage/form-control-infrastructure.html#attr-fs-enctype のみで絞ってる

HTML

security

Svelte
リンク
Add allow-top-navigation-to-custom-protocols CSP sandbox value by gapple · Pull Request #17041 · mdn/content
efcl 2022/06/11
sandbox=allow-top-navigation-to-custom-protocols

HTML

security
リンク
SMS OTPの自動入力によるリスクとその対策
フィッシングサイトへの自動入力のリスク SMS OTPとWebサイトが紐付かない状態では、正規のSMS OTPがフィッシングサイトへ自動入力されるリスクが生じる。現実的なリスクとして、GutmannらはMITMと組み合わせた﹁ログインにおける2要素認証の回避﹂と﹁ソーシャルログインの偽装による電話番号確認の回避﹂、﹁オンライン決済における取引認証の回避﹂の3つのシナリオを示している⁷。2要素認証の回避につながるリスクは、iOSの自動入力がPayPayの偽サイトで発動した前回の検証で確認している。今回の検証ではAndroidの自動入力がPayPalの偽サイトで発動するか確認する。2要素認証の回避 PayPalの偽サイトは前回と同様にMITMフィッシングフレームワーク﹁Evilginx2﹂で複製し、一般利用者が誤ってアクセスしないようインバウンド接続を制御した。Android11のChro
efcl 2021/02/08
iOSとAndroidにおけるSMS OTPの自動入力(`autocomplete="one-time-code"`)の動作の検証。フィッシングなどの攻撃への利用やDomain-bound codesでの自動入力の検証や仕様などについて

security

HTML

article

iOS

Android
リンク
Hide `nonce` content attribute values. (#2369) by mikewest · Pull Request #2373 · whatwg/html
efcl 2020/04/12
`nonce`属性はCSSセレクタなどでもマッチして検出できないように

security

HTML
リンク
安全な文字列であると型で検証する Trusted Types について | blog.jxck.io
Intro 脆弱性の原因となる DOM 操作の代表例としてelem.innerHTML や location.href などが既に知られている。こうした操作対象(sink) に対して、文字列ベースの代入処理を行う際に、一律して検証をかけることができれば、脆弱性の発見や防止に役立つだろう。そこで処理前の文字列に対し、処理後の文字列を安全であるとして明示的に型付けるTrustedTypes という提案がされている。まだ未解決の部分が多い提案だが、現時点での仕様と実装を元に、このアイデアについて解説する。WICG/trusted-types Intent to Experiment: Trusted Types Sink XSS などの原因となる DOM 操作として、 DOM に直接文字列を展開する処理がある。element.innerHTML location.href scri
efcl 2019/01/28
SinkとなるDOM APIをsealするproposal。 https://github.com/WICG/trusted-types について

WebPlatformAPI

Chrome

security

HTML
リンク
Upgrade-Insecure-Requestsを使ってmixed-contentをだいたい直す - hitode909の日記
ブログをHTTPS化するとHTTPのリソースは読み込めなくなってしまう． http://example.com あらため https://example.com/ みたいにドメインはそのままでhttpからhttpsに置換するだけでアクセスできるなら，Upgrade-Insecure-Requestsを使うと簡単．詳細設定→headに要素を追加に以下を貼れば完成する． <meta http-equiv="Content-Security-Policy" content="upgrade-insecure-requests"> 対応しているブラウザで，かつサイト側がHTTPSでの通信を受け付けていたら，HTTPへのリクエストをHTTPSに書き換えてくれる．IEやedgeは対応していないので，IEやedgeでも見てる人が多いブログなら，手で記事内のURLを書き換えたほうが，手間なかわりに喜
efcl 2018/03/07
meta要素のCSPで`<meta http-equiv="Content-Security-Policy" content="upgrade-insecure-requests">`する話

HTML

security
リンク
GitHub - w3c/trusted-types: A browser API to prevent DOM-Based Cross Site Scripting in modern web applications.
You signed in with another tab or window. Reload to refresh your session. You signed out in another tab or window. Reload to refresh your session. You switched accounts on another tab or window. Reload to refresh your session. Dismiss alert
efcl 2017/09/18
DOMにはsinkとなるオブジェクトがあり安全なHTMLスニペットを扱うことが難しい。そこで自動的にコンテキストに応じたエスケープが行える`TrustedHTML`や`TrustedURL`やそれを強制するCSPポリシーについての提案

DOM

XSS

HTML

security
リンク
Reactでaタグの中にtarget='_blank'を書いたらESLintに怒られた話 - Qiita
経緯適当に別タブを開くリンクをjsxで書いたらeslint-plugin-react の jsx-no-target-blank で怒られいました。ほんとに知らなかったし、気軽にできちゃうからやばいな。っと思ったのでメモしておきます。 import React from 'react'; import ReactDOM from 'react-dom'; class Index extends React.Component { render() { return ( <a href="http://example.com" target="_blank" > アンカーリンク </a> ); } } ReactDOM.render( <Index />, document.getElementById('root') );
efcl 2016/12/29
`noopener`を付けなかったときの`_blank`の警告について

React

HTML

security
リンク
Target="_blank" - the most underestimated vulnerability ever
Target="_blank" - the most underestimated vulnerability ever by Alex Yumashev · Updated Aug 25 2021 People using target='_blank' links usually have no idea about this curious fact: The linked page gains partial access to the linking page via the window.opener object. The newly opened tab can then change the window.opener.location to some phishing page. Users trust the page that is already opened,
efcl 2016/05/16
`target='_blank'`は開いたサイトから`window.opener.location`で操作出来てしまうので、`rel="noopener noreferrer"`をつけようという話

HTML

JavaScript

security
リンク
156625 – Remove support for X-Frame-Options in `<meta>`
efcl 2016/04/28
`<meta>`でX-Frame-Optionsのサポートは終了

security

HTML
リンク
Child browsing context names leak across origins by annevk · Pull Request #544 · whatwg/html
efcl 2016/02/07
window.nameのクロスオリジンについて

security

HTML
リンク
Amazon.com: Security for Web Developers: Using JavaScript, HTML, and CSS: Mueller, John Paul: Books
efcl 2015/04/28
2015年9月25日発売ウェブ開発者向けのセキュリティについてのオライリー本

JavaScript

CSS

HTML

security

book
リンク
GitHub - cure53/HTTPLeaks: HTTPLeaks - All possible ways, a website can leak HTTP requests
You signed in with another tab or window. Reload to refresh your session. You signed out in another tab or window. Reload to refresh your session. You switched accounts on another tab or window. Reload to refresh your session. Dismiss alert
efcl 2015/04/18
HTMLで外部通信をするような要素を並べたプロジェクト。 CSPなど思わぬ漏れなどがないかをチェックする目的

HTML

security
リンク
formタグを利用したtoken奪取 - ma<s>atokinugawa's blog
スクリプトの実行はできない︵XSS対策されている︶し、tokenは導入されている︵CSRF対策されている︶のに、tokenを奪取され、不本意な操作をされてしまう例というのを1つ、やってみたいと思います！実証だニャン！ http://d.hatena.ne.jp/kinugawamasanyan/20101012/nyan 原理こういうフォームがあったら、submitボタンを押下した時にtokenの値がA、Bどっちにポストされるでしょうか。 <form action="A" method="post"> <form action="B" method="post"> <input type="hidden" name="token" value="123123123"> <input type="submit"> </form> 答えはAです。つまり本来設置されたフォームより前に別のf
efcl 2014/02/20
HTML form送信先を上書きしてセッションハイジャック

HTML

security
リンク
https://cure53.de/xfo-clickjacking.pdf
efcl 2013/11/11
X-Frame-Optionsとクリックジャッキング、XSSについて

HTML

security

PDF
リンク
画像とキャンバスをオリジン間で利用できるようにする - HTML: ハイパーテキストマークアップ言語 | MDN
HTML では画像にcrossorigin 属性を提供し、適切な CORS ヘッダーと組み合わせることで、 <img> 要素で定義されている他のオリジンから読み込まれた画像を、 <canvas> の中で現在のオリジンから読み込まれた画像であるかのように扱うことができます。crossorigin 属性の使い方については CORS 設定属性をご覧ください。キャンバスのビットマップ内のピクセルは様々なソース、例えば他のホストから受け取った画像や動画などから来ることもありますが、セキュリティの問題が発生することが避けられません。 CORS による許可なしに他のオリジンから読み込んだ何らかのデータをキャンバスに描画すると、キャンバスは汚染 (taint) されてしまいます。汚染されたキャンバスは安全とみなされなくなり、そのキャンバスから画像データを取得しようとすると、例外が発生するでしょう。
efcl 2012/09/06
img要素のcrossorigin属性。 CORS

画像

HTML

security
リンク
Xframeoptions
AVTokyo2011 Web-talk資料 X-Frame-Options 覚書 hoshikuzu|star_dust ※スッカスカ資料ですみません
efcl 2012/04/20
X-Frame-Options

security

HTML

HTTP

slide
リンク
はてなグループの終了日を2020年1月31日(金)に決定しました - はてなの告知
はてなグループの終了日を2020年1月31日(金)に決定しました以下のエントリの通り、今年末を目処にはてなグループを終了予定である旨をお知らせしておりました。 2019年末を目処に、はてなグループの提供を終了する予定です - はてなグループ日記このたび、正式に終了日を決定いたしましたので、以下の通りご確認ください。終了日: 2020年1月31日(金) エクスポート希望申請期限:2020年1月31日(金) 終了日以降は、はてなグループの閲覧および投稿は行えません。日記のエクスポートが必要な方は以下の記事にしたがって手続きをしてください。はてなグループに投稿された日記データのエクスポートについて - はてなグループ日記ご利用のみなさまにはご迷惑をおかけいたしますが、どうぞよろしくお願いいたします。 2020-06-25 追記はてなグループ日記のエクスポートデータは2020年2月28
efcl 2011/10/04
ローカルHTMLのスコープ

ios

Objective-C

HTML

security
リンク
List of ways HTML can download a resource
Recently two different projects required compiling a list of ways to trigger a download through HTML: Resource Timing and Preload Scanner optimization. There's no centralized list in the WebKit source nor did a web search turn one up. So in hopes it may be useful to others, here's what I was able to come up with. Please let me know what I forgot (note that ways to download through CSS, JS, SVG and
efcl 2011/05/17
ダウンロード属性をもったHTMLタグのまとめ

HTML

security
リンク
window.name - Enjoy*Study
このままだとwindow.nameが可愛そうな気がしたので、出来る限りのフォローを。(コメントだと書ききれないので、エントリにさせていただきました) これは脆弱性かな？ - でっていうぶろぐ@hatena window.name(グローバルなスコープだとthis.nameも同じ)は、名前のとおりそのままウインドウの名前を表すものであり、ページ遷移したとしてもウインドウ自体が変わるものではないので、クリアされないことに(今は)違和感はありません。(初めて知ったときはびっくりしました) 逆にクリアされてしまったら、何かと弊害がありそうな気がしてます。まず、、window.nameは、どういったときに設定されるかっていうと、アンカーやフォームでtargetを指定してURLを開くと、開いたウインドウのwindow.nameはtargetで指定した名前が設定されます。(ただし、_blank を指定
efcl 2011/05/09
"window.nameは、どういったときに設定されるかっていうと、アンカーやフォームでtargetを指定してURLを開くと、開いたウインドウのwindow.nameはtargetで指定した名前が設定されます。(ただし、_blank を指定するとwindow.nameは空とな

●HTML

●JavaScript

●security
リンク
1 2 次のページ