ブラウザ開発者ツールのネットワークタブに表示されない情報送信手法 - Qiita
はじめに はじめまして、セキュリティエンジニアのSatoki (@satoki00) です。今回はブラウザの開発者ツールのネットワークタブから隠れて、Webサイト内の情報を送信する手法をまとめます。所謂Exfiltrationというやつです。中にはCSPの制限をBypassするために用いられるテクニックもあります。CTFなどで安全に使ってください。 前提 発端はWeb上でテキストの文字数をカウントできるサイトが閉鎖する際の話です。カウント対象のテキストデータがサイト運営 (やサイトを改竄した攻撃者) に盗み取られていないかという議論が巻き起こっていました。「盗み取られていない」側の主張は、ブラウザの開発者ツールのネットワークタブにリクエストを送信した形跡がないというものでした。ここで ブラウザの開発者ツールのネットワークタブに表示がなければ外部へデータを送信していないのか？ といった疑問が
Content-Disposition - HTTP | MDN
HTTP ガイド リソースと URI ウェブ上のリソースの識別 データ URL MIME タイプ入門 よくある MIME タイプ www 付きと www なしの URL の選択 HTTP ガイド HTTP の基本 HTTP の概要 HTTP の進化 HTTP メッセージ 典型的な HTTP セッション HTTP/1.x のコネクション管理 プロトコルのアップグレードの仕組み HTTP セキュリティ Content Security Policy (CSP) HTTP Strict Transport Security (HSTS) X-Content-Type-Options X-Frame-Options X-XSS-Protection Mozilla web security guidelines Mozilla Observatory HTTP アクセス制御 (CORS) HTTP
ReverseProxyでredirect時にhttp<->httpsが変わってしまう問題 - らるるの自宅と職場を往復する人生＠それをすてるなんてとんでもない！
Apacheを使ってReverseProxyしていて、フロント(クライアント)からのアクセスをhttpsで、バックエンドをhttpでやっているようなケースでの問題。mod_proxyのドキュメント通りに、おおむね以下のような設定を書いているハズ。 <VirtualHost *:443> (...snip...) ProxyPass /bugzilla http://192.168.1.3/bugzilla ProxyPassReverse /bugzilla http://192.168.1.3/bugzilla (...snip...) </VirtualHost> ProxyPassReverseは、バックエンドがLocationヘッダでリダイレクトしようとするような場合に、pathをReverseProxyっぽく(クライアントの都合のいいように)書き換えるオプション。このとき、Loc
Apacheのリバースプロキシをhttps化する手順について – Rainbow Engine
(１) Apacheのリバースプロキシをhttps化する手順について 本記事はApacheのリバースプロキシでhttpに加えてhttpsでもできるようにするための手順です。 (１-０) STEP0：前提事項の確認 前提としては、Webサイトやドメインの設定が一通り済んでおり「httpでのリバースプロキシ設定」の済んでいる前提で進めるため、もしまだ完了していない場合は先にそれらのステップを実施頂けたらと思います。 （前提事項） ①HTML、JSP/Servlet等でホームページを作成済み （例：「http://[ホスト名]:[ポート番号]/[アプリ名]/[画面名].jsp」のURL形式で自身のサイトにアクセスできる） ②ウェルカムページの設定が完了している （例：「http://[ホスト名]:[ポート番号]/[アプリ名]/」のURL形式で自身のサイトにアクセスできる） ③ドメインを取得してD
nginxでリバースプロキシするとバックエンド側への通信がHTTP/1.0になる件
FuelPHPのUri::base()は何を返すのか？ — A Day in Serenity (Reloaded) — PHP, CodeIgniter, FuelPHP, Linux or something
X-Forwarded-For (XFF) ヘッダーのサポートが AWS WAF で利用可能に
AWS WAF は、X-Forwarded-For (XFF)、True-Client-IP、または HTTP プロキシやサードパーティーの CDN を介してアプリケーションに接続するクライアントの元の IP アドレスを含む、その他のカスタムヘッダーの検査をサポートするようになりました。この機能を使用すれば、これらのヘッダーを参照して、レートベースのルール、地理的一致ルール、または IP 一致ルールを記述し、これらのヘッダー内にある IP に対してアクションを実行できます。IPv4 アドレスと IPv6 アドレスの両方がサポートされています。 IP 一致ルールで XFF ヘッダーを使用する場合、IP アドレスの位置を指定することにより、クライアントの元の IP またはプロキシ IP に基づいて、アプリケーションへのリクエストをブロックできます。たとえば、クライアントの元の IP に基づいて
もう絶対迷わないエラーレスポンスの作り方【RFC7807】 - Qiita
この記事は「ゆめみ その2 Advent Calendar 2019」の5日目の記事です。 ある日のこと… 「いきなりそんなこと言われても…」 上司「ついでにいろんなところで使いまわせるように普遍的なのにしてね」 「えぇ…」 「こういう時にエラーレスポンスが標準化されてRFCでまとめられてたらいいのになぁ…」 ありました RFC7807 : Problem Details for HTTP APIs RFC7807では開発においてHTTP APIのために新しくエラーレスポンスを定義するのを避けるために、プログラムが読み取れるような問題詳細（Problem Details）をapplication/problem+jsonまたはapplication/problem+xmlで定義しています。 問題詳細（Problem Details）ってなんぞや？ type, title, status,
httpのhttpsの区別さえ自動でしてくれるんだから それは、 HTTPからHTTPSへリ..
httpのhttpsの区別さえ自動でしてくれるんだから それは、 HTTPからHTTPSへリダイレクトの設定がされているページが多い HSTS (HTTP Strict Transport Security) によって2回目以降は直接HTTPSでアクセスする (HTTPからのリダイレクトは発生しない) HSTS Preload List (https://source.chromium.org/chromium/chromium/src/+/main:net/http/transport_security_state_static.json) に入っているので、主要ブラウザでは初回でも直接HTTPSでアクセスするのどれかにゃーん。
How to solve flutter web api cors error only with dart code?
It seems like CORS error is well-known issue in the web field. But I tried flutter web for the first time ever and I faced critical error. The code below worked well in app version when it was running on iOS device, but when i tested the same code on Chrome with web debugging from beta channel, it encountered CORS error. Other Stack Overflow answers explained how to solve the CORS issue with serve
FlutterからAPIアクセスする際に、XMLHttpRequest errorのエラーが出る
前提・実現したいこと Flutter(Dart)を用いて、外部APIにアクセスして情報を取得するシステムを作っています。 HotPepperのAPIから情報を取得するテストとして、ターミナルに取得した情報を表示するプログラムを実行する際にエラーが発生しました。 参考にしたサイト：https://qiita.com/abouch/items/90107b330bb126a6f742 発生している問題・エラーメッセージ await http.get(Uri.parse(url)).then((response)...の部分で、以下のエラーが発生した。 Error: XMLHttpRequest error. dart-sdk/lib/_internal/js_dev_runtime/patch/core_patch.dart 909:28 get current packages/http/s
HTTPヘッダーのContent-Typeを自在に扱う - stmn tech blog
目次 はじめに HTTPヘッダーとは Content-Typeの概要 検証内容 おわりに はじめに こんにちは、スタメンでエンジニアをしている手嶋です。普段はReact+TypeScriptでフロントエンドを開発したり、RailsでAPIを作成しています。クライアントサイドからサーバーサイドへリクエストするに当たり、HTTPヘッダーのContent-Typeを柔軟に変える事でリクエストの記述をシンプルに出来たので、今回紹介したいと思います。 HTTPヘッダーとは まずHTTPヘッダーについてですが、以下のように定義されています。 HTTPヘッダーは、要求または応答に関する追加のコンテキスト及びメタデータを渡すHTTP要求または応答のフィールド HTTPヘッダーは以下3つにカテゴライズされる リクエストヘッダー：フェッチするリソースまたはクライアント自体に関する詳細情報を含むヘッダー。 応答
204 No Content - HTTP | MDN
HTTP ガイド リソースと URI ウェブ上のリソースの識別 データ URL MIME タイプ入門 よくある MIME タイプ www 付きと www なしの URL の選択 HTTP ガイド HTTP の基本 HTTP の概要 HTTP の進化 HTTP メッセージ 典型的な HTTP セッション HTTP/1.x のコネクション管理 プロトコルのアップグレードの仕組み HTTP セキュリティ Content Security Policy (CSP) HTTP Strict Transport Security (HSTS) X-Content-Type-Options X-Frame-Options X-XSS-Protection Mozilla web security guidelines Mozilla Observatory HTTP アクセス制御 (CORS) HTTP
[JS] http環境ではnavigator.clipboard.writeTextがエラーになる - プロプログラマ -Flex,Air,C#,Oracle,HTML5+JS-
![[JS] http環境ではnavigator.clipboard.writeTextがエラーになる - プロプログラマ -Flex,Air,C#,Oracle,HTML5+JS-](https://cdn-ak-scissors.b.st-hatena.com/image/square/9a6d929f70dd7db62410964c37da4921f76e8c17/height=288;version=1;width=512/https%3A%2F%2Fi2.wp.com%2Fpropg.ee-mall.info%2Fwp-content%2Fuploads%2Fcropped-propg.png%3Ffit%3D512%252C512%26ssl%3D1)
新しいHTTPメソッド、QUERYメソッドの仕様 - ASnoKaze blog
新しいHTTPメソッドを定義する「The HTTP QUERY Method」という提案仕様が議論されています。 もともとは、SEARCHメソッドという呼び名が候補としてあげられていましたが、長い議論ののち、一旦QUERYと呼ぶ方向となっております。最終的なFixについては、この draft 02の公開とともに改めてコンセンサスを求めた後に行われます。 QUERYメソッド 「GETリクエストにボディを付けたいという」という質問は長らく有りました。しかし、GETやHEADリクエストでボディをつけることは非推奨となっています (参考URL)。 そのような要望のなかで、リクエストでボディを含められる冪等性の保証された新しいHTTPメソッドが検討されました。それがQUERYメソッドです。冪等性があるため、ブラウザやProxyは自動でリトライすることができます。(なお、POSTはセマンティクス上冪等
[CertCentral] ルート証明書／中間CA証明書の階層構造について
グローバルで既に広く普及しているDigiCertルート証明書を活用し、パブリック TLS/SSLサーバ証明書を以下の階層構造で発行いたします。 「署名アルゴリズム」の概要は以下の通りです。 Mixed SHA-2：SHA-256 with RSA and SHA-1 root ※2023/3/8にTLS/SSL証明書の発行が終了します Full SHA-2（標準）：SHA-256 with RSA and SHA-256 root ※2022/3/9からCertCentralで標準的に発行されているチェーンです Mixed ECC： ECDSA with SHA-384 and RSA root ※2023/3/8にTLS/SSL証明書の発行が終了します Full ECC： ECDSA with SHA-384 and ECC root
HTTP/2における双方向通信とgRPCとこれから - Qiita
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Dart/Flutter: Http request raises XMLHttpRequest error
Can an HTTP OPTIONS request return a 204 or should it always return 200?
Getting Started: ボタンクリック時のデータを SORACOM Beam でサーバーへ転送する | SORACOM LTE-M Button for Enterprise ユーザーガイド | SORACOM Users