JavaScript攻撃の前にはパッチもファイアウォールも無力

セキュリティ研究家として著名な米ホワイトハットのジェレミア・グロスマン最高技術責任者
（CTO）が，東京で10月上旬に開催されたセキュリティ技術の会議「Black Hat Japan 2006」
のために来日した。

Webブラウザに悪意のあるJavaScriptを送り込むことで情報を漏えいさせる攻撃が今後本格化
すると警告するグロスマン氏に，従来の対策を無力にする新手法の手口とその対策を聞いた。

JavaScriptを使えば，ユーザーのWebブラウザからCookieデータやアクセス履歴を取り出し，
これを別のサイトに送信できる。こうして手に入れたクッキーを使えば，パスワードなしに銀行の
Webサイトにログオンできるかもしれない。アクセス履歴からはそのユーザーの嗜好（しこう）や
行動が分かる。

さらに，最近注目しているのは，JavaScriptを使った社内LANの情報収集と情報改ざんだ。

続きはこちら
http://itpro.nikkeibp.co.jp/article/COLUMN/20061010/250261/

■レベルファイブの新作ゲーム「レイトン教授と不思議な町」で脳を鍛えよう

下図の９つの点を、なるべく少ない直線の一筆書きで結ぶことができるか。
ttp://www.dengekionline.com/data/news/2006/10/11/image/14506_n20061011_21_level5_10.jpg
答え
ttp:/

手放し永久バリキ解除みたいなもんか

また大口叩いて再現できない件

↓バッカー

これはJavaS（ヤバス）

javascriptオフにすりゃいいんじゃね？

JavaScriptとJavaはまったく別物
知ったのは2年前です

>>2
日本語能力を鍛えてもらいたいです。

>>6
どうしたらヤバスって読めるの？ねえ、ねえ

java使った有害サイト無いの？

また足あとちょうか

クッキー如きで何いってるの

>>10
ヨハンみたく読むんじゃね？

参考ページないの？

ふーん、玄米ビスケッツがあるのにね。

>>10は低学歴

>>2
ヒント：あいあい傘

バカめ
JavaScriptなんぞ、とうの昔にオフにしておるわ！

>>10
jaはヤとも読むがな

>>10

lynxならjavascript使えないから安心です

JavaScript無効じゃダメなの？そういうレベルじゃない話なの？

おれ様は、普段から画像しかオンにしてねーから無問題。
じゃ場も音声も何もかもオフ。

女教師がストライクゾーンど真ん中だったんだろうな

>>10
ヒント：独逸語

ドイツ語とかだとvがfにならんけ

仮にjaがヤと読めなくても、ダジャレだから音が似てりゃいいんだよバカ

>>10
ドイツ語発音だよｸｽﾞ！

そういえば firefoxのjavascriptの脆弱性って直ったの？

>>28
韓国人乙

>>10　の人気にシャイセ！

知らなかったよ

>>18
いや、それ答えだし

あとこの問題桐朋小一年の弟にやらせたらものすごいでかい筆で線引けばいいって言ってたｗ

>10
無学ですね＾＾

http://www.dengekionline.com/data/news/2006/10/11/image/14506_n20061011_21_level5_12.jpg

>>2
答え見てクソだと思った
http://www.dengekionline.com/data/news/2006/10/11/image/14506_n20061011_21_level5_11.jpg

Cookieを保存する期間を「Firefoxが終了するまで」にすればほぼ大丈夫なんでは？

>>10
あんたばかぁ？

>>37
これはひどい

>>37
超極太マジックなら一本でも

>>34
一休さんかよお前の弟

>>36>>37　一休のトンチなみに糞だな

>>41
　そういうことだよな

>>37のような答え方がアリなら、でかい筆だか極太マジックだかのほうが優秀な回答になるな。

>37
線や点の大きさも含めているのなら、「太い線なら1本で書ける」のほうが、
よほどいい答えな気がするｗ

>>37
なるほど、これは点ではなく黒い円なのか



いや、思いっきり問題に点って書いてあるし

NoScriptで俺は無敵

俺はJavascriptとActiveXをデフォでオフにしてるけど、
これでサイト見ただけで感染することウイルスを防ぐことは出来るのか？

>>34
俺は小1並の脳味噌って事か…

最近XP SP2マシンを買ったやつ、インターネットオプションの詳細を見てみ。

ほとんどがSUNのJREだろ。でも、MSのJavaVMじゃないと
いろんなところで支障が出るのが実情。

俺なんかわざわざMSのVM入れたよ。Yahooで3802を拾ってから　→　3810。

YahooGamesをまともに動かそうと思ったらSUNのJava2じゃなくてMSのVM。

直線に太さを認めていいのか？

レベルファイブである必要性が感じられん

そっち系の答えでいいのなら、ものっそ遠くから見れば全部くっついた点に見えるから線は０本でおｋ

太い線で〜ってのは何かの漫画でみたことがある希ガス

>>52
:.:.:.:.:.:.:.:.／ ／
:.:.:.:.:.:／,／　　　　　　　　　＼　　　　　　ヽ　､　　　　　　＼　　　　|　　　＼
:.:.:.:/ ／　　　　　　　　　　　　＼　　　___　ヽ　＼　　　　　　i　　　　|　　　　 |
:.:./／　　　l　　　　　　,　　　　　 ヽ-弋　 ヽ ヽ　 ＼　　　　　l　　　　レ
V/　　 l　 l　　　　　,-Ａ-､　　　　 ﾊ　lヽ　　　 l　　 l　　　　 l
/　　　 l　l　　　,r Ti　l　ヽ　　　　 l ヽl　ヽ　　 l　　/　　　　/　　　　　.|　　　＼
　　　　 l l　　／　/ l ｌ　　 ヽ　　　ｌ　　　　l　 /　 /　　 ,l　/　　　　　　 |　　　　 |
　　　　 ! l､　　　/　 l!　　　　l　 ／　,rー ､l/|　れ　 ／l／|　　ヽヽ　　レ
　　　　　| '、　 /　　 ,ｨ‐-､　l／　　'´　　　　k´/ ／:.:|　　.|
､_　　　　＼', /　　／　　　　　　　　　　　/// 'i　＼:.:|　　 |　　　　　　　　　　/
:.:l' - ､＿　＼　　/　　　　　　　　　　　　 　 　 }　　ヽ|　　　ヽ＿ノ　　　　　 ./
:.:|: :|　(　(￣´　　　///　　　　_ , -ｧ　　　　 ノｌ 　　 ||　　　　　　　　　　　 ./⌒!
､.|: :ゝ､__ -ヽ、　　　　　　　　l´　　ﾉ　　　／l　l.　　 ||　　　　　＿|＿|_　　/　　 ＼ノ
. ||　　 l: :'ｰ '　' - ､　　　　　　'ー '　　, イ : : l　l.　　||　　　　　　｜　__）
/||　. :l: : : : : : : : : ｨｰ' ｪ､　-----r ' l´ ヽｌ.、: :!　ｌ　 ||　　　　　　　|
. ||. : l: : : : : :, -‐‐'　 ﾉ　 ￣ 7､　/ヽ lヽ:.:.:.:.´ ヽl　ヽ||　　　　.＿|
: ||: :l: : : :r' ´:.:.:.:.:.:.:.:.:＼　　/　Ｙ┐ヽl |:.:.:.:.:.:.:.:.:.:´'､.||ヽ　　　　｜　／￣＼
: || l: : ,ｨ':.:.:.:.:.:.:.:.:.:..:.:.:.:.:.:ヽ/　　 l　l　 /:.:.:.:.:.:. _ ／', ||ヽヽ　　　 |／　　＿__|_
: ||l: : : >､_:.:.:.:.:.:.:.:.:.:.:.:.:.:.:.:.:.ヽ､　 l　l /, -ー 'i ´._,ノ' ||: :|ヽゝ .／|　　　＼ノ
: ||: : : :ﾄ､　/ ｰ ｔ---y--ーi‐‐‐i＼／ヽ,-'ー ' ´　　/ lヽ、
　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　(⌒)
　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　ｒ'
　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　・

>>37
これひどい答えだなｗ　こりゃ点じゃなくて円ってことじゃん。

未だにjavaとjavascriptが同じだと思ってるやつがいるらしい

>36はダメでしょ
直線じゃないし

>54
0本じゃ線を引いてないから、ダメでしょｗ

ジャワティーってあんまり美味しくない

google mapおわる？

>>36
直線じゃないじゃん

グロスマンコ

紙に書いて全ての点が接するように折れば０本

Oh Java Java Java〜♪
Oh　Java んがっ！

>>64
これクイズの本のキーホルダーに書いてあったな、その後線引けばいいとかなんとか

javaとjavascriptはインドとインドネシアのような物

noscripｔでいいだろ

JAVAscriptってのはHTML書くときに使う呪文みたいなやつだろ。俺はHPを作る本みたいなのに載ってるのを丸写しだけど、
オンマウスで文字の色変えたりとか。
JAVAって何？

JavaScriptの略称をもっと広めてほしい

ブラウザ閉じたり、他のページに移動するときに、
どこからともなくダイアログが飛んできて画面の中央に広告を表示するスクリプトは
かなり悪質。

太い線は認めるのに太い点は認めないおまいらは頭が固いな

　　n＿＿n
　　|。　　。|
　　|　　　　|
　 （_ ゜　゜__）
　　 ￣￣

>>69
ざっくり言うと、コンピュータソフトの開発ツール。

従来の開発言語と違うところは、どんな環境でもほぼ動作が同じになることが保証されていること。

比較するとこんな感じ。

■従来の開発言語ツール(Cコンパイラなど)
　プログラムを書く　→　ソフトができる　→　ソフトは、その環境のCPUに働きかけて動作をする。

　あくまでCPUがどう動くかをプログラムに書くものなので、CPUに付属するメモリ量やHDD、動く環境の
　ファイルシステムごとに違うプログラムを書かなきゃいけない。

■JAVA開発環境(Javaコンパイラ＋バーチャルマシン)
　プログラムを書く　→　JAVAのソフトができる　→　ソフトは、バーチャルマシンというエミュレータ上で動作をする。

　JAVAの場合はJAVAの仕組みに則ったバーチャルマシン(エミュレータのようなもの)上で動作するので、
　動作するコンピュータごとの差異は考慮する必要がない。

何よりも>>2は認めるのに>>1は認めてない流れに申し訳ない

太い線を認めているのではなく、太い点がアリなら太い線一本でいいだろと言ってるだけだ。

RUBY始まったな

>>74
俺から見ると、大筋では間違ってないけどちょっと違うぞｗって感じの説明だな。

楽天のページをPDAで開くとフリーズしたみたいになって
「このページのスクリプトがインターネットエクスプローラーの反応速度を
遅くしています。続けますか」ってメッセージが出るんだけど、
これってどういうこと？

JavaScriptと直線の因果関係

COBOL始まったな

brain f*ck始まったな

AjaxやDHTMLにハマってる連中は泣きを見る事になるね。
しょせん日の目を見る事ができない技術なんだよ。

JAVAっていうのはアプレットっていうのを作るプログラム言語で、
ホームページの中で絵を描いたりゲームしたりも出来るんだぜ

何年前の話題だよ

javascript:str="";while(true){str+="ぬるぽ";alert(str);}

こういう緩い言語仕様がムカつく俺はオールドタイプ

JavaScript:with(document.body)innerHTML=innerHTML.replace(/<\/(a|A)>/g,'ですぅ</a>').replace(/。/g,'かしら〜　').replace(/」/g,'なの〜」');focus()

セキュリティ研究家ってのは危機感あおるだけの阿呆しかいないのか

>>36-37
点は大きさを持たない。
線は幅を持たない。
酷いな、レベルファイブ。

>>83
しかし日本のIT系は、技術の名前から何かが作れると思う人が今だ多いのも事実。

Blogが流行っているからMT互換を作ろう(商売のアテは？)
SNS運用しようぜ！(誰が参加してどうやって回収するの？)

こういう声が今だ聞こえるから困る。

>>79
楽天のページのスクリプトがインターネットエクスプローラーの反応速度を遅くしてるんだろ

Ajaxなんてのは今ある技術でどうにか間をもたせようとしてるだけであって、全然新しい技術じゃないんだよな
それを素人がすげーとか思ってどっかのトンチンカンがWeb2.0なんて言い出して・・・

早く新しいレイヤ造って安全で早くてインタラクティブな通信技術を作ってくれ！
まだどこも研究止まりか内部使用にのみ限られてる(´・ω・｀)

そもそも両方認められないが
太い点認めて3本なら太い線認めて1本のほうがましっていう話だろう

javascriptでロードランナー。レミングスもどっかにあったな。
http://makimo.to:81/ldm/LodeMonar.html

>>83
http://hamachiya.com/junk/getmixi.html
1で言うところのJavascript攻撃ってのは↑こういうののことでAjaxは関係ないだろ

普段は画像以外オフだがjavascriptをオンにしないと見れないエロサイトではためらわずオンにする

JavaとJavaScriptは違うんですよと言う奴ほど、
Javaが使えないのは何故なんだぜ？

Javascript切ってる人って、正常に表示されないページとかどうすんの？
そんなサイトは無視とか？

>>98
でもJavaとJavaScriptが同じですよという奴はさすがに素人ｗ

>>98 同じだったら両方使える。 違うから使えないんじゃん。

>>99
そのつど切り替えるよ。
エロサイトとか胡散臭いサイトは諦める。

ﾌﾟﾛｷｼがリクエストの中身を論理的にチェックすれば
いいんじゃね

>>103
ノートン先生とかそういうことやってくれるんじゃなかったっけ

JAVAスクリプトなんか必要なとき意外オンにしないだろ？
だからSleipnir1.66使えよ

今はJavaScriptを使うページが多いから常時ONになってる。

JavaScriptの解釈なんてブラウザによって違うから、その対策なんて
ブラウザが登場する度にやらないといけないでしょ。まっぴらゴメンだわー。
早く滅んで欲しいよ。

>>99
半年位前から、javascript offだとwww.nikkansports.comがまともに表示されなくなった。
それで、このサイトへ行くの止めたけど全く後悔していない。代替サイトあるから。

あやっくす

普通のリンク開くのにいちいちJavaScriptで書いてあるページってなんなんだろう

Sleipnir1.66はお気に入りに入れれば
サイト毎にジャバスクリプとかの設定できるから便利。

>>96
何これ
俺の本名出たんだけど
まじ怖い

http://portal.nifty.com/special04/10/09/
これくだらねー、2回リトライしてようやくクリアできた

>>112
mixiの情報からとってるんじゃないのかな

>>112
そこのサイトAjaxでサーバーに名前とか送ってるな

>>112
こんな子供騙しでびびってんなよｗ

>>104
情報漏えい対策ソフトとかにそういう機能あるけど、
そのソフト自体に漏洩させたくない情報を入力するのに
抵抗があるな。

class Hello
{
public static void main(String args[])
{
System.out.println("Hello");
}
}

>>51
MicrosoftVMは軽くていいね。大好き。

>>113
これ、どうやったらクリアできるの？ｗ

Javaは切っているけどJavaScriptは入れっぱだなぁ

>>10
ユダとか知らないのか

ＸＳＳってどう考えてもブラウザのバグなんじゃねーの？

自サイトのアクセスログ見ると、98%以上がJavaScriptをONにしてる。

ファイやウォールがJavaScriptをいちいち検閲してたら
たまんないだろ。

Proxomitronさえあれば完璧さ！