Lynxを除くほぼ全てのブラウザが影響を受ける脅威の攻撃「クリックジャッキング」

セキュリティ研究者が、すべての主要なデスクトッププラットフォームに影響のある、新たな
恐ろしいブラウザに対する脅威に対する警告を発している。
その対象となるのは、Microsoft Internet Explorer、Mozilla Firefox、Apple Safari、Opera、そしてAdobe Flashだ。

この脅威は「クリックジャッキング」と呼ばれるもので、OWASP NYC AppSec 2008カンファレンスで
議論されるはずだったものだが、Adobeやその他の影響を受けるベンダーの要望で、包括的な修正が
準備されるまではこの話題を公にすることが取りやめられていたものだ。
(中略)
参加者が限定されていたOWASPの発表に参加していた人物によれば、この問題は確かに
ゼロデイ脆弱性で、すべてのブラウザに影響があり、しかもJavaScriptとは関係がないものだという。
一言で言えば、悪意のあるウェブサイトに訪れた際、攻撃者はブラウザ上のリンクを
コントロールできるというものだ。この問題は、lynxなどを除いて、ほぼすべてのブラウザに影響がある。
この問題はJavaScriptとは関係がないため、JavaScriptをオフにしても問題は解決しない。
これは、ブラウザの動作する仕組みに関わる根本的な欠陥で、簡単なパッチでは修正することができない。
この攻撃方法を使った場合、ユーザーが悪意のあるウェブページを訪れると、攻撃者はそのページ上の
あらゆるリンク、ボタン、その他あらゆるものをユーザーには見せないままクリックすることができる。
(中略)
Hansen氏によれば、脅威のシナリオについてMicrosoftとMozillaの両方と議論し、両社はそれぞれ
個別にこれが難しい問題であり、すぐに実現できる簡単な解決方法はないことに同意したという。
Grossman氏はInternet Explorerの最新版（version 8を含む）とFirefox 3がこの問題の影響を受けることを認めた。
(後略)
http://japan.zdnet.com/sp/feature/07zeroday/story/0,3800083088,20381028,00.htm

Lynx最強伝説スレはさすがに初めて見たわ

Lynx

クリックジャギング：相手は死ぬ

w3m涙目

w3mは？
w3mはどうなの？

wineどうやってインスコすんだよできねーぞ

Lynxよりw3mのほうがすきなんだ（´・ω・｀）スマンかった

兄より優れた弟など存在しねぇ！！

チョロメは？

　　　　　　　　　　　　　　　　　　　　‐　￣￣￣　　ヽ
　　　　　　　　　　　　　　　　　／　　　　　　　　　　　　＼
　　　　　　　　　　　　　　　／　　　　　　　　　　　　　　　　ヽ
　　　　　　　　　　　　　　////(　　　　)＼　　　　　　)＼)＼ヽヽ
　　　　　　　　　　　　　（ししし⌒⌒⌒）　）⌒⌒⌒⌒） ）　） ）　|
　　　　　　　　　　　　　l＼　　 ,ー,、‐/　　|,ー,、―、／＼|/ヽ　|　　　　／￣￣￣￣￣￣￣
　　　　　　　　　　　　　l＼／￣￣￣　　　￣￣￣￣　　ノ　ノ ﾉ　　　　|　おい、おまえ！
　　　　　　　　　　　　　l＼　／了　| 了　/了　|了　）￣|　|　　|　　　.∠　おれクリックしてみろ！！
　　　　　　　　　　　　　＼　|　 |　 /　|　.|　|　 .| |　 |　　|　|　　|　　　　 |
　　　　　　　　　　　　　　/| |　.|　 |　 |　.L.」　/　|　 |　　|　|　　|　　　　.＼＿＿＿＿＿＿＿
　　　　　　　　　　　　　 ∧| |　 |　|　 .|　L .|　|　 .|　|　 |J　|　　|
　　　　　　　　　　　　　（　ヽ|　 .| |　　|　|　|　|　　| |　　＼|ヽ　|
　　　　　　　　　　　　　 ヽ／|ヽ .|_|　　|_|　 .|_|　　.|_|　　／　|
　　　　　　　　 ∧　/|　　　　|　＼＿＿＿＿＿＿＿　/　/　 ヽ
　　　　　　　　/ ヽ/ |＿＿＿|　　＼＿＿＿＿＿＿＿／|　　　|＿　　　 /　|　/|
　　　　　|＼ /＿.」T　　　 ／|　　　　|　　　　）　　　　　/　　　　＼＼＿/ .　|/　|/|
　　　 .ー|　.＼　　　　　　」　 >　　　　ヽ　　./　　　　　（　　　　　　）/　（　　」￣＼|＿＿
／￣　　＼_／　　　　 ／　　|＿＿＿＼　／＿＿＿＿／　　　　 | |　　　　　　　　　　　//
＼　　　|＼　　　　／／　　　　　　　　 ヽノ　　　　　　　　　　　　 .| |　　|＼　　　　　　／　＼
＼＼　 .|　）　　 / ./　　　　　　ι　　　 |　　　　μ　　　　　　　　 | |　　|＿」　 　　／/彡　　＼_
　.＼ ＼二＿＿.|　|　　　　　　)αζ　 .|　　　λρτ　　　　　　　>>＿＿＿＿／　|　　　　　　..＼

フラッシュ入れてないけど駄目なのか

>>10
Safariと同じくWebKitベースだから引っかかると思われる。

訪問するなという事か

黒目もダメ？

MOSAICは？MOSAICはどうなの」？？？！

ハイパーリンク機能を持つブラウザはすべてアウトか？。一見する限り。

w3mもいける?

w3m脂肪ｗ

>>1
LynxってなんだよLinuxだろ バカはスレたてんな

どういう原理なんだ（´・ω・｀）？

＞当面の間は、唯一の対策はブラウザのスクリプト機能と
＞プラグインを無効化することだ。

プラグインがない低機能なブラウザなら大丈夫ってことか

NECのトップページのが脅威だった

リンクスって、あの携帯ゲーム機かと思った。

w3mはダメなの
それとも存在忘れられたのか

やはりOpera最強か・・・

どういう仕組みなのか知りたい脳

例の病院のサイト

w3mでも株の売買できた

yahooo.jpとか紛らわしいリンク用意して踏ませるのとあんま変わんね

w3m　＞　Lynx

これはまるで山田オルタナティブだな

昔メインPCがぶっ壊れた時、ショボスペックのPCにLinux入れてLynx使ってたな。
えらく使いにくかった記憶しかない。
その後w3mに乗り換えたけど使いやすいし高機能だし今でもたまに使う。

よく分からんがIEの俺ができる事を
教えてくれ

lynxはいいよね

見えないままクリックされてしまうとどうなるの?

lynxｗ

リンクス最強伝説


ごめんぶっちゃけ確認ぐらいにしか使ってない

おとこならtelnetでgetだろ

CyberDogはどうなの

テキストブラウザ最強ってことですね

Lｙnxだったらしょうがないな。

proxomitronで対応するから公開してくれ

WebBoyは？

Emacs+Lynxこそ攻守最強。

なんだsleipnirは影響なしか

どういう仕組みなのか想像してもまったくわからん

＞しかもJavaScriptとは関係がないものだという

＞唯一の対策はブラウザのスクリプト機能とプラグインを無効化することだ

no scriptじゃだめなの？

説明読む限りFLASHでやるっぽいな

（参照：Adobe Flash ads launching clipboard hijack attack）
http://blogs.zdnet.com/security/?p=1733

これ応用すんのか？

Firefoxならアドオンである程度（つっても、自動読み込み分だけだが）予防出来るのか？
Flashblock
重くて目障りな Flash コンテンツの読み込みを完全にブロックします。コンテンツを見たい場合は、表示枠の中でクリックすれば、ダウンロードして見ることができます。
https://addons.mozilla.jp/firefox/details/433

これでクリック制のアフィ踏ませられるって事？

ハイドロ全部だめ？

ピピン@の出番だな

フォクすけ可愛いよフォクすけ

アフィ儲け放題、クリック誘発型のセキュリティーホール突き放題か
最近クリップボードの挙動おかしいことあったから、やられてたかもなぁ

>>49
flashゲームなどはクリックする回数が多いので
攻撃するやつにとっては便利ってことじゃね？

結局アドビが悪いことになりそう

GoogleChromeも？

前に話題になったDNSキャッシュポイズニングとこれ
組み合わせるとアフィの永久機関できそうすね

Lynxダウンロードすればいいの？

Lynx最強すぎる・・・

半角かなが化けるので挫折した思い出

タグ埋め込んで勝手にジャンプかリダイレクトするのとは違うのかな

zipを落としたら
知らない間に徳を積んでいた、
ということか

それでもアマヤなら・・・アマヤなら何とかしてくれる・・・！！

まじか！
w3m使いの俺にも影響ありか

ジャバスク切ってもFlashって動くもんなのか

さすが超最強ブラウザLynxさんや

あったねそういう携帯ゲーム機
サーフィンするやつ

Atari最強伝説

Dilloだけど糞サイト大嫌いだし、糞フラッシュ見たくないし
賢者の選択にFirefoxはないわｗ

>>71
Atari ショックでご臨終

それでも小林カツ代エクスプローラーなら、公明ブラウザならきっと何とか…できんか

普段IEで十分、わざわざOperaや火狐使う奴はアホと言っている俺だが
lynx持ってこられたらグの音も出ない

Dilloもアウト？

Lynx最強か

Lynxはコードがぐちゃぐちゃでもうメンテナンスは出来ないって昔聞いたような。
フレームに対応していないのがかなり痛い。
w3mはたまにバージョン上がるよな。タブに対応したのは良かった。
w3mは日本人が開発したんだっけか。

IEから換えようと思うんだが、ブラウザ毎の長所と短所、おまえらのオヌヌメ教えれ

これヤバイやん

日本人なら一度はLynxを使って

水墨画のような侘び寂びweb空間を体感すべきだな

GUIブラウザ使ってる奴全員涙目

Lynx、Lynxって言ってるおとこのひとは本当にLynx使ってるの(´・ω・｀)？
テキストブラウザならw3mのほうが使いやすいやん

>>83
w3mが無かった頃はLynxだった
w3mが出てからはLynxを使うメリットなんて無いに等しい

lynx入れた
いいなこれシンプルで

勝手にｶﾁｶﾁするページは芯でくれ

＞しかもJavaScriptとは関係がないものだという
＞唯一の対策はブラウザのスクリプト機能とプラグインを無効化することだ
矛盾してる

>>87
スクリプトはJavaScriptだけじゃないだろ…常考

要するに.txtでサイトを作れば良いってことだな！？

ドリパスオワタ＼(＾o＾)／

要するにクリックジャッキングやるなら今のつう事だな

>>88
JavaScript以外でウェブブラウザで実行できるスクリプト言語ってあるの？

Flashに対応していないCyberdog最強伝説

>>92
CGIとか違うの？

ああ、あれはサーバーでか？

>>92
IEならVBScript

漏れはバグを三段階に分類してる

レベル3 存亡に関わる重大なバグ

レベル2 重大なバグ

レベル1 軽微なもの、穴塞ぎ

これはレベル3に該当するバグのようだ

>>83
俺はwindowsなのでインストールが簡単なLynx使ってる

ActionScriptはFlashをオフにしてたら関係ない？

言ってる事が抽象的すぐるな

具体例プリーズ

要するに動的コンテンツがあるサイトはみんな死ねってことか？

なんかうさんくさいな

FireFox2は問題ないんでしょ

http://up2.viploader.net/pic/src/viploader797361.jpg

クリックジャギング：相手は死ぬ

http://mz1200.seesaa.net/image/mz1200-2005-03-11T01_07_02-15B15D.jpg

わからんなぁ、どういうことするんだろ。

HTML読み込んでる途中でリンク先をPOSTするとかか？

>>53
頭あげろー

Lynx使いの俺歓喜ｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗ

まさか２１世紀になってもなおLynxの名をこうしてニュースで目にするとは

Chromeは大丈夫なのか！

情報を探して発表者のblogまで見たけど何ものってないな
Firefoxだと"NoScript"っていうアドオンをインストールすれば
指定したサイト以外のjavascriptやiframeタグを制限できるから
安全だって情報もあったけど、切り替えとかどうなんだろうね

こんな記事もあった。企業のインフラ担当者向けっぽいけど
「Firefoxを使い続けるための“お勧め”設定」 ， NoScriptを組み込んでいないFirefoxは使用停止に
ttp://itpro.nikkeibp.co.jp/article/COLUMN/20080421/299675/

NoScript入れてみた
こりゃらくちんだ

w3mにfirefox3のブックマークを登録したいんだけど
上手い方法誰か知りませんか？

>>44
誰と闘っているんだ‥

>>112
パッチができるまでは緘口令敷くんだろうな。

情報探ってたらこんなのを見つけたんだが、結構それっぽい。

> これは、CSSを使って、透過したFlashをウィンドウの全面に貼付けて、クリックを奪ってしまう、ってことなんだろう。
> 実際に実行コードも書いてみたけど、見事にちゃんと、記事のとおりになった。
> （と、ここでかっこ良くサンプルページを貼付けたいんだけど、あまりにも単純すぎて、コピペでそのまま悪用できるのでやめた）
>
> 実際にスクリプトはFlashの中で動くので、JavaScriptが切ってあっても問題ない。
> JavaScript をターゲットのページに投げるのは一筋縄ではいかないけど、Flashになれてる人なら簡単だろう。
> 逆に考えると、Flashの中で生成できるので、例えば現在のURLにパラメタを追加して投げるとか、そのページ内に存在しない
> 何かをどこかに向かって投げるとかも簡単。

> これを防ぐには、ユーザーレベルでは、Flashを切る or CSS を切るかどちらか。
> Adobeが根本的に対応するには、Flashの背景（ステージ）の透過を出来ないようにするしか無い。

>>116
それの場合は ActiveXの実行を許可しなければ良いんだよね？

>>116
それ貼るの自重してたんだが
俺のせいでここに貼らせたみたいで正直すまん

>>116
Flashがだめなんじゃん
NoScriptは派手なFlash広告も無効にできるから便利

>>11
　　　　　　　　　　　　　（ししし⌒⌒⌒）　）⌒⌒⌒⌒） ）　） ）　|
　　　　　　　　　　　　　l＼　　 ,ー,、‐/　　|,ー,、―、／＼|/ヽ　|　　　　／￣￣￣￣￣￣￣
ここがかわいい

へー
これは面白そう
おまえらスーパーハカー大活躍

　　　　　　　　 　 　 　 　 　 r'''|´|
　　　　　　　 　 　 　 　 　 / 　│.!　　　　　　　　　　　 _, .y
　　　　　　　　 　 　 　 　 lﾞ　　 .ｌ ヽ___、　　　　　　..-'"　/
　　 ,i　､,,,　　　　　　　　ノ -.... ,,｝ .|　 ｀ﾞ''‐v,,,,./ ″　　/
　　　＼　｀ﾞ'''''-v..__　ｒ'"　　　　 ｀'"　　　　　 .ヽ,　　../
　　　　 ｀'x、　　　 .l"　　　　　　　　　　　　　＿,,｣_/゛
　　　　　　.｀'､_　 ./ 　._......_　　　 　 　 　 / ″　　.ｌ
　　　　　　　　｀'┤ i'"　　　 ｀'ｰ､　　　,i″　　　　 .|、
　　　　　　　　　 |　.!　　　　　　　｀'､,./ 　　　　　,,!ﾞ.|
　　　　　　　　　 |　 ｀-､　 　 　 　 　 ｌ　　　　,,／　 ﾞ! 　アクションスクリプトだゾぉ
　　　　　　　　　 |　　　 ~'-..,__　　　 .ﾉ---‐'´　　　 .|
　　　　　　　　　│　　　　　　｀^^^´　　　　,......―t'"゛
　　　　　　　　　 |　　　.,i―''''''''''''''''''''''''､.../ 　　　|
　　 　 　 　 　 　 ｌ　　　ヽ　　　　　　　　　　　　　|　　 　 　 　 　 ,
　　 　 　 　 　 　 ﾞヽ......,,..ﾕ　　　　,,......,,__　　　　　〕　　　　　　 i'"
　　　　　　　　　　　　　　　!､.　　 ｀'-,　 .｀ﾞﾞ７　　　|　　　　　 /
　　　　　　　　　　　　　　　! .ﾞ'､,　　　`'-.../ 　　　,/　　　　　.!
　　　　　　　　　　　　　　 /　　 ﾞ'-,,　　　　　　　/ . ,,,,,,.... -''''ﾞ‐'ｰ､
ヽ 　 　 　 　 _______ｒ'"￣´ﾞ!＿、　　.´"―----i-匸´
　ﾞ!y -''''"ﾞﾞ´ 　　　｀''-､,,,、　　¨^^'――――┘　 .ﾞ'i
　　ｌ　　　 　 　 　 　 　 　 ⌒'''''''''―------ ..,,......-'"

元々Windowsって、部屋の中から外を見る窓的な意味合いではなく
中の物を監視する監視窓覗き窓の事。

これってFLASHの脆弱性で、アドビが強制的に箝口令敷いてるんでしょ

ユーザー同士が喧嘩してるころ
作ってる側は普通に話し合いをして同意するレベルだった

別にFlash切ったからってそうそうＨＰ見るのに支障でることって少ないからな
自社にとって不利益になるってだけでユーザーの安全性は無視ですか

Flash切ったらYoutube見れなくなる？

>>127
もちろんアウト。ニコニコも

ページの自動ジャンプ的なものかと思った

つべもニコも見るときだけ有効にすればおｋ
プニルは１クリックで切り替えできるし

FlashとShockwaveの区別がつかん

昔はlynxで見れないから○○使うなとか言ってるやついたなぁ

何かFirefox3.0.3が来てるんだが

クリックかミニマルでお勧め教えてくれ