SecurityCamp2015「CVE-2015-4483解説」
•Download as PPTX, PDF•
11 likes•12,356 views
セキュリティ・キャンプ全国大会2015の特別コーナーで発表した資料です。
Recommended
More Related Content
Recently uploaded
Recently uploaded (10)
Featured
Featured (20)
SecurityCamp2015「CVE-2015-4483解説」
- 3. Firefox 40がリリース！今朝こんなのがでました。 http://www.mozilla-japan.org/security/announce/2015/mfsa2015-86.html
- 4. 概要 feed: プロトコルの接頭辞付き URL でターゲットと するページを POST メソッドで開いた場合に、その ページのための混合コンテンツブロッカーが無効化 されてしまうことが、セキュリティ研究者 の Masato Kinugawa 氏によって報告されました 。これは、本来ブロックされるべき安全でないコン テンツを偶然含んだページに対する中間者 (MITM) スクリプティング攻撃のリスクを生む恐れがありま した。 タイトル： POST 時の feed プロトコルによっ て混合コンテンツ制限が回避される
- 5. feed プロトコル？ feed: プロトコルの接頭辞付き URL でターゲットと するページを POST メソッドで開いた場合に、その ページのための混合コンテンツブロッカーが無効化 されてしまうことが、セキュリティ研究者 の Masato Kinugawa 氏によって報告されました 。これは、本来ブロックされるべき安全でないコン テンツを偶然含んだページに対する中間者 (MITM) スクリプティング攻撃のリスクを生む恐れがありま した。 タイトル： POST 時の feed プロトコルによっ て混合コンテンツ制限が回避される
- 8. 昔こんなのがあった(CVE-2012-1965) feed:javascript:alert(1) 次のようなリンクをクリックするとJSがうごく feed:をつけるとなんか 起きる場合があるのね。 僕
- 9. 些細なバグや特徴的な挙動 いちいち悪用できないか考える 僕は小さな気付きをメモするようにしている あとで脆弱性に繋がると気付くことも という話をしました ハントの秘訣 [ 細かいことを気にしよう ]
- 12. 「feed:なURLに対してPOST」とは <form method="post" action="feed:http://example.com/"> <input type="submit"> </form> こういうこと
- 14. 混合コンテンツ制限？ feed: プロトコルの接頭辞付き URL でターゲットと するページを POST メソッドで開いた場合に、その ページのための混合コンテンツブロッカーが無効化 されてしまうことが、セキュリティ研究者 の Masato Kinugawa 氏によって報告されました 。これは、本来ブロックされるべき安全でないコン テンツを偶然含んだページに対する中間者 (MITM) スクリプティング攻撃のリスクを生む恐れがありま した。 タイトル： POST 時の feed プロトコルによっ て混合コンテンツ制限が回避される
- 17. var _gaq = _gaq || []; _gaq.push(['_setAccount', 'UA-xxxxx-y']); _gaq.push(['_trackPageview']); (function() { var ga = document.createElement('script'); ga.type = 'text/javascript'; ga.async = true; ga.src = ('https:' == document.location.protocol ? 'https://ssl' : 'http://www') + '.google-analytics.com/ga.js'; var s = document.getElementsByTagName('script')[0]; s.parentNode.insertBefore(ga, s); })();