2008年10月14日(火曜日)
クリックジャッキング
「AdobeやNoScriptからクリックジャッキング対策発表される (slashdot.jp)」。
iframeの上にFlashをオーバーレイするというシンプルな話のようで。デモムービー (jp.youtube.com)を見ると何が起きているのかよく分かりますね。
スクリプト無効でも回避できないと言われていましたが、FlashなどのActiveX系も無効になっていれば問題ないような……。スクリプト無効かつFlash有効というシチュエーションって、そんなにあるのでしょうか。
- 「クリックジャッキング」へのコメント (1件)
IT Pro がまたやっちゃった
「ブラウザに実際に表示されるのは,HTML文書のどの部分? (itpro.nikkeibp.co.jp)」
実際にページとして表示されているのは,どのタグで指定した部分でしょうか。
1.<title>タグ
2.<body>タグ
3.<head>タグ
4.<table>タグ
IT Pro、またやっちまったよ……。しかも回答には、
HTML文書でもXHTML文書でも,Webページの基本構文は同じです。
という解説がありますが、これも誤りです。嘘だと思うなら、以下のようなHTMLを The W3C Markup Validation Service (validator.w3.org)でチェックしてみると良いでしょう。
<!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.01//EN">
<title>test</title>
<p>test page</p>
これはvalidになるはずです。一方、以下のXHTMLはinvalidになります。
<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Strict//EN"
"http://www.w3.org/TR/xhtml1/DTD/xhtml1-strict.dtd">
<title>test</title>
<p>test page</p>
なぜ前者はvalidなのに、文書型宣言が異なるだけの後者がinvalidなのでしょうか。それは、「Webページの基本構文が異なるから」に他なりません。このような構文はHTMLでは許されていても、XHTMLでは許されていないのです。
さて、前者のHTML文書ですが、これはvalidですし、ブラウザでちゃんと表示できます。このHTMLには問題の選択肢2~4に該当する部分は存在しませんが、内容はちゃんと表示されています。このことから、2~4は不正解であることがわかり、消去法で選択肢1が唯一の正解となります。
※……というか、HTMLをぜんぜん知らない人にHTMLの問題を作らせるのはやめてください。過去の事件とか全く生かせていないですよね。
MySQLのカラム切り捨て問題
MySQLのカラム切り捨て脆弱性 (rryu.sakura.ne.jp)。
こういうことですかね。
- MySQLを使用
- ユーザIDのカラム長は7文字で、一意性はない
- ユーザ登録時に、ユーザID入力欄に maxlength を指定しているものの、サーバ側では長さチェックを怠っている
……という感じのシステムがあり、ユーザbakeraが既に存在するとき、二重登録チェックはこんな感じになり……。
- 「bakera」というユーザを登録しようとすると、アプリケーションは WHERE ID='bakera' で検索して既存ユーザを見つけ出し、「ユーザは既に登録されています」というエラー
- 「bakera 」というユーザを登録しようとすると、アプリケーションは WHERE ID='bakera ' で検索。これは既存ユーザ bakera にヒットして「ユーザは既に登録されています」というエラー
- 「bakera a」というユーザを登録しようとすると、アプリケーションは WHERE ID='bakera a' で検索。これはヒットしないので、「bakera a」は登録できてしまう。IDの列は7文字なので、IDのカラムには「bakera 」が格納される
「bakera 」は登録できないのに、「bakera a」を登録すると「bakera 」で登録できてしまい、さらに「bakera」と同じ WHERE 句で拾われたりすることになると。
ちゃんと長さチェックしようね、という話で良いのでしょうか。
脆弱性にぶちきれ
「XSS.in (subtech.g.hatena.ne.jp)」。
昨日の手乗りタイガー並のむかつきっぷりです。電柱蹴って斜めにしたい。大丈夫じゃないんじゃああああって。
基本的に深夜アニメとか見ないもので、10月8日 (というか9日未明?) 放送の「とらドラ!」第2話も見ていないのですが、まあ雰囲気はなんとなく分かります。
関連する話題: Web / セキュリティ / 26分で5件届出の伝説
WEPが10秒で解読
更新: 2008年10月23日
「WEPは10秒で解読可能」、神戸大と広島大のグループが発表 (internet.watch.impress.co.jp)だそうで。
昔から言われていたことではありますが、そろそろ本気で気をつけた方が良いということですね。ニンテンドーWi-Fiネットワークアダプタ (wifi.nintendo.co.jp)のように、ニンテンドーDSと他で使い分けるのが良いのかな……。
森井教授は、「ニンテンドーDSのようにWEPにしか対応していない機器があることなどから、現在でもWEPが広く使われているという現状があるが、先日発表された新モデル(ニンテンドーDSi)ではWPAやWPA2に対応しており、WEPの使用禁止を呼びかけるには良いタイミング」と判断したという。
いやー、しかし、そのためだけに買い換えるというのもちょっと……。ニンテンドーDSiにはGBAスロットがないので、ポケモンが困ったりしますし。
※2008-10-23追記: 実は、DSiでも過去のソフトではWPAやWPA2は使えない模様。参考: ニンテンドーDSiでも従来ソフトではWEPになる?
- 前(古い): 2008年10月13日(Monday)のえび日記
- 次(新しい): 2008年10月15日(Wednesday)のえび日記