2004/12/28(火)火曜日ー。（仕事納め。）
[便利] * vnc2swf
』も感動しましたが、GUI をいきなり Flash化できるなんて！ （録画元として Windows が使えたら、もっと良いのになー。）ネタ元： * RIPさんの日記
[セキュリティ] * [Full-Disclosure] IE sp2 and Mozilla Firefox DoS.
Internet Explorer SP2、Mozilla Firefox に有効な DoS だそうです。
本気なのですね。でも、格好良さでは『* イギリス発すごいロボット発見(AZOZ BLOG)
』には負けますかねー。（こっちは合成だと噂ですけども。格好良いもん。）[セキュリティ] Webアプリの脆弱性、セッションライディングについて『* SESSION RIDING [PDF] by SecureNet
』が
で紹介されていました。要するに、Cookie のみで最終処理を行っているWebアプリにおいて、サイト利用者が悪意あるリンクに誘導された場合、意図せぬ最終処理が実行されてしまう、という（だいぶ昔からあるお話）ですね。例えば．．．ユーザのパスワードを変更する動作を考えてみます。【通常の処理の流れ】１．ユーザID/パスワードでサイトにログイン。(⇒Cookieでセッション管理)２．ユーザ情報変更画面を表示。３．パスワードを「himitsu」に変更。 http://damedame.example.jp/password_change.cgi?new=himitsu※当然、未ログイン状態で ３．にアクセスしてもエラーとなる作りだと思ってください。【セッションライディング】１．このサイトにログイン中のユーザが、悪意あるWebページやHTMLメールなどを表示します。２．そのページに、例えば、 <img src="http://damedame.example.jp/password_change.cgi?new=aaa" width=0 height=0> のようなHTMLタグが存在しています。３．ユーザの知らないうちに、パスワードが「aaa」に勝手に変更されてしまいます。【これを防ぐためには】Webアプリ側での対策実施が必要です。少なくとも、重要な最終処理に関しては、Cookie 以外に、HIDDENパラメータなどでのセッション管理を併用すること！例えば、 http://damedame.example.jp/password_change.cgi?new=himitsu&sid=1dEc2wjO0rのように、Cookie 以外のセッション管理パラメータを追加しましょう。この sid は、当然、Cookie での セッションID とひも付けて管理し、両方の値が正しくないと処理が進まないようにします。セッションID は、SHA-1 や MD5 などのアルゴリズムを利用し、絶対に１から自作しようなどとは考えないこと。また、セッションごとに異なる、予測の出来ない値を使うこと、が重要です。と、無謀にも、ちょっと解説してみたりしてみました。(笑)
textile**これなに?**Vnc2swf は画面録画ツールです。X-Window (X11)、Windows および Mac OS の画面を記録できます。 Vnc2swf は VNC プロトコル を使って動きを記録し、それを Macromedia Flash(TM) ムービー形式 (.swf 形式) に変換します。おー。面白い。サンプルムービーをご覧ください。Webページでなんかのデモする時やセミナー資料などに使えそうかも。 昔、UNIXコマンドラインの録画/再生ができる『* ttyrec: ttyレコーダー
』も感動しましたが、GUI をいきなり Flash化できるなんて！ （録画元として Windows が使えたら、もっと良いのになー。）ネタ元： * RIPさんの日記
[セキュリティ] * [Full-Disclosure] IE sp2 and Mozilla Firefox DoS.
Internet Explorer SP2、Mozilla Firefox に有効な DoS だそうです。
textile<html> <head> <title> ....(put)3.5 MB OF data....... </html>・・・エレガントじゃないなぁ・・・。(^-^;[雑談] * 本気でパワードスーツづくりに励むアラスカの青年 (CNET)
本気なのですね。でも、格好良さでは『* イギリス発すごいロボット発見(AZOZ BLOG)
』には負けますかねー。（こっちは合成だと噂ですけども。格好良いもん。）[セキュリティ] Webアプリの脆弱性、セッションライディングについて『* SESSION RIDING [PDF] by SecureNet
』が
- 国分さんのところ
で紹介されていました。要するに、Cookie のみで最終処理を行っているWebアプリにおいて、サイト利用者が悪意あるリンクに誘導された場合、意図せぬ最終処理が実行されてしまう、という（だいぶ昔からあるお話）ですね。例えば．．．ユーザのパスワードを変更する動作を考えてみます。【通常の処理の流れ】１．ユーザID/パスワードでサイトにログイン。(⇒Cookieでセッション管理)２．ユーザ情報変更画面を表示。３．パスワードを「himitsu」に変更。 http://damedame.example.jp/password_change.cgi?new=himitsu※当然、未ログイン状態で ３．にアクセスしてもエラーとなる作りだと思ってください。【セッションライディング】１．このサイトにログイン中のユーザが、悪意あるWebページやHTMLメールなどを表示します。２．そのページに、例えば、 <img src="http://damedame.example.jp/password_change.cgi?new=aaa" width=0 height=0> のようなHTMLタグが存在しています。３．ユーザの知らないうちに、パスワードが「aaa」に勝手に変更されてしまいます。【これを防ぐためには】Webアプリ側での対策実施が必要です。少なくとも、重要な最終処理に関しては、Cookie 以外に、HIDDENパラメータなどでのセッション管理を併用すること！例えば、 http://damedame.example.jp/password_change.cgi?new=himitsu&sid=1dEc2wjO0rのように、Cookie 以外のセッション管理パラメータを追加しましょう。この sid は、当然、Cookie での セッションID とひも付けて管理し、両方の値が正しくないと処理が進まないようにします。セッションID は、SHA-1 や MD5 などのアルゴリズムを利用し、絶対に１から自作しようなどとは考えないこと。また、セッションごとに異なる、予測の出来ない値を使うこと、が重要です。と、無謀にも、ちょっと解説してみたりしてみました。(笑)