ガラケーで楽しむオレJSの勧め

ガラケーで楽しむオレJSの勧め 2010年7月24日徳丸浩 @ockeghem / id:ockeghem

JavaScriptと私  興味をもったのはサイ本（第2版 1997/7）と出会ってのこと  1998年のころと思われる  Aha! なんて面白い言語なんだ!  「オブジェクト指向プログラム言語としてのJavaScript 」サイトを立ち上げる（1998年5月）  www.tokumaru.orgは、Yahoo!のカテゴリではJavaScriptで登録されている  1999年頃お仕事で、JavaScript風のスクリプト言語を作った  GreenScript:ケータイ向けサーバーサイドのスクリプト言語  仮想マシンへのコンパイル、GCはストップ&コピー型  しかし、表面的に似ているだけで、中身はまったく別  レキシカルスコープのみ…(^^;  ケータイコンテンツの作成に使用される初期メロッチャ etc  その後10年間なにもしてこなかった 3

携帯電話とJavaScript  1999年のiモード以来、ケータイブラウザではJavaScriptが長らくサポートされていなかった  EZwebは今でもサポートされていない  いわゆるフルブラウザは除く  ここでも話題に取り残されるKDDI  2009年5月22日以降のiモードブラウザ2.0端末ではJavaScriptがサポートされる  ソフトバンクも2010年夏モデルの944SH(2010年6月18日発売)以公式に対応降、JavaScriptに対応「公式に」って? 5

iモードブラウザ2.0の登場 2009年5月19日づけNTTドコモ社の報道発表より http://www.nttdocomo.co.jp/info/news_release/page/090519_00.html より引用 6

ソフトバンクでもJavaScriptに対応実はちょっと違った http://k-tai.impress.co.jp/docs/news/20100518_367787.html より引用 7

本当に2010年夏モデルからなのか?  実はかなり以前からソフトバンク端末の一部のモデルで JavaScriptに対応していた  ノキア 702NK(2004年12月発売)では簡単なJavaScriptに対応  XMLHttpRequestやIFRAME、DOMには対応していない  804SS(2006年3月)、910T(2006年10月)、910SH(2006年11月) では、NetFront 3.3によるJavaScript対応  IFRAME、DOMに対応…攻撃に利用できる可能性*1  XMLHttpRequestには対応していない  922SH(2008年3月)では、NetFront 3.4にてAjaxに対応  XMLHttpRequest / setRequetHeaderのサポート  944SH, 945SH(2010年夏)にて正式対応  ユーザエージェントには SoftBank/2.0 とある注 *1: 804SSはIFRAMEに対応していない 8

ソフトバンク社技術資料より端末は、ソフトバンク携帯電話向けJavaScript を利用できる。ソフトバンク携帯電話向けJavaScript は、Standard ECMA-262 ECMAScript Language Specification 3rd edition[ECMASCRIPT]に準拠したJavaScript に DOM(DOM Level0[JavaScript13], W3C DOM Level1[DOM1], W3C DOM Level2[DOM2CORE] [DOM2EVENT][DOM2HTML][DOM2STYLE])+XML HttpRequest で定義されたインターフェイスを追加したものである。 http://creation.mb.softbank.jp/docs/A-081-111-BrowserExtension_1.0.1.pdf より引用 9

ケータイJavaScriptの互換性  分かっている非互換性オレ標準  ドコモの問題  alert、confirm、promptが動かない / setRequestHeaderが動かないいずれも何もしないメソッドに…(2009年11月のJavaScript再開後)  XMLHttpRequestで、上位ディレクトリのファイルは読めない  ソフトバンク/1.0の問題  目立った機能制限無し  setRequestHeaderの制限が緩い（後述）  ソフトバンク/2.0の問題  setRequestHeaderの制限書き換え可能なヘッダは“x-xhr*”のみ  alert/confirm/promptは使える  制限する理由はセキュリティ対策らしい 10

ドコモのalert停止はXSS対策?  XSS脆弱なスクリプト（本日の唯一のJavaScript） <body> こんにちは<?php echo $_GET['p']; ?>さん </body>  以下のURLで呼び出し http://example.jp/xss.php?p=%3Cscript%3E alert(document.cookie)%3C/script%3E  結果は? 11

ドコモのalert停止はXSS対策? ドコモ(P-07A) ソフトバンク(932SH) 12

ドコモのalert停止はXSS対策? ドコモ(P-07A) ソフトバンク(932SH) XSSは発動しない XSSが発動する 13

ドコモのalert停止はXSS対策? ドコモ(P-07A) ソフトバンク(932SH) XSSは発動しない XSSが発動する 14

ドコモのalert停止はXSS対策? ドコモ(P-07A) ソフトバンク(932SH) alertが動か XSSは発ないだけで動しない XSSは有効 XSSが発動する 15

ソフトバンクの「XSS対策」も発覚  URLに「<」、「>」、「”」のいずれかの文字がある場合、その文字以降を削除してWebサーバに送出している http://example.jp/?p=foo<script>alert(document.cookie)</script> ↓ こうなる http://example.jp/?p=foo  しかし、%エンコーディングされている場合はそのまま通すので、 XSS対策にはならない http://example.jp/?p=foo%3cscript%3ealert(document.cookie)%3c/s cript%3e はそのまま通るのでXSS対策としては意味がない  URIとして使用できる文字のみ通すという訳でもなさそう  なぜこういう仕様なのかは謎  すみません。今日はWeb標準の日でした < > ” はURIとして許されない文字なので問題ありません(_ _) 16

setRequestHeaderはどのヘッダを改変してよいか? http://code.google.com/p/browsersec/wiki/Part2#Same-origin_policy_for_XMLHttpRequest より引用・追記 17

初出：5月27日 http://mb.softbank.jp/mb/information/details/100527.html より引用 18

http://creation.mb.softbank.jp/docs/A-081-111-BrowserExtension_1.0.1.pdf より引用 19

twtr.jpの事例 http://www.tokumaru.org/d/20100222.html#p01 21

Ajax有効な機種のサマリ •ただし、SHARPの最新機種943SHのみは、Refererが送出されるが、改変はできない •△はデフォルトでAjax無効、オプションにより有効化可能（SHARP端末は多いので抜粋） •上記以外のPanasonic、Toshiba等はAjax無効 22

setRequestHeaer制限の副作用  iモード2.0、SoftBank 2.0ともsetRequestHeaderには厳しい制限が掛かっている  互換性を損なう可能性  POSTリクエストの際に、Content-Typeが指定できなくなる requester.setRequestHeader(“Content-Type” , “application/x-www-form-urlencoded”); → irameで代替  prototype.jsでは、X-Requested-With、X-Prototype-Versionなどのヘッダを設定している。これらが無効になるので、prototype.jsが使用できなくなる可能性  Ajaxのセキュリティ対策として、setRequestHeaderを使う場合があるが、使えない(docomo)か、フィールド名を変更（SoftBank）する必要がある（既存Ajaxアプリ、ライブラリの場合） 23

まとめ  最近のガラケーではJavaScriptが利用できる機種がある  おもに「かんたんログイン」との関係で、JavaScriptには制限がかけられている  ソフトバンクの古い機種には危険な仕様があるが、ユーザに制限させるという「対策」がとられた  NTTドコモとソフトバンクは、おなじACCESS製のブラウザが搭載されているがJavaScriptの仕様が違う  JavaScriptの制限が、アプリケーション開発上の制約となる可能性が高い 24

http://d.hatena.ne.jp	264
http://www.slideshare.net	2
http://www.freerss.net	1
http://reader.freerss.net	1

ガラケーで楽しむオレJSの勧め

by Hiroshi Tokumaru on Jul 29, 2010

Accessibility

Categories

Tags

Upload Details

Usage Rights

4 Embeds 268

Statistics

ガラケーで楽しむオレJSの勧め — Presentation Transcript