【話題】Lynxを除くほぼ全てのブラウザが影響を受ける脅威の攻撃「クリックジャッキング」

セキュリティ研究者が、すべての主要なデスクトッププラットフォームに影響のある、新たな
恐ろしいブラウザに対する脅威に対する警告を発している。
その対象となるのは、Microsoft Internet Explorer、Mozilla Firefox、Apple Safari、Opera、そしてAdobe Flashだ。

この脅威は「クリックジャッキング」と呼ばれるもので、OWASP NYC AppSec 2008カンファレンスで
議論されるはずだったものだが、Adobeやその他の影響を受けるベンダーの要望で、包括的な修正が
準備されるまではこの話題を公にすることが取りやめられていたものだ。
(中略)
参加者が限定されていたOWASPの発表に参加していた人物によれば、この問題は確かに
ゼロデイ脆弱性で、すべてのブラウザに影響があり、しかもJavaScriptとは関係がないものだという。
一言で言えば、悪意のあるウェブサイトに訪れた際、攻撃者はブラウザ上のリンクを
コントロールできるというものだ。この問題は、lynxなどを除いて、ほぼすべてのブラウザに影響がある。
この問題はJavaScriptとは関係がないため、JavaScriptをオフにしても問題は解決しない。
これは、ブラウザの動作する仕組みに関わる根本的な欠陥で、簡単なパッチでは修正することができない。
この攻撃方法を使った場合、ユーザーが悪意のあるウェブページを訪れると、攻撃者はそのページ上の
あらゆるリンク、ボタン、その他あらゆるものをユーザーには見せないままクリックすることができる。
(中略)
Hansen氏によれば、脅威のシナリオについてMicrosoftとMozillaの両方と議論し、両社はそれぞれ
個別にこれが難しい問題であり、すぐに実現できる簡単な解決方法はないことに同意したという。
Grossman氏はInternet Explorerの最新版（version 8を含む）とFirefox 3がこの問題の影響を受けることを認めた。
(後略)
*+*+ ZDNET Japan 2008/09/27[**:**] +*+*
http://japan.zdnet.com/sp/feature/07zeroday/story/0,3800083088,20381028,00.htm

なんでw3m無視したん？

おら、わくわくしてきたぞ

3なら宝クジ300万円当たる

僕の肛門もセキュリティホールです。

どうせろと

>>1
3行で

問題はなに

おいそれよりウィルスバスターの最新版がパソコンに
及ぼす影響を何とかしろ

早く踏みたいな

「同意する」ボタンや「購入」ボタンが、自動的にクリックされかねないということか？

ようするに
俺が知らない間に荒らしてても俺の所為じゃない？

NCSA Mosaic 使いの俺には関係ないな

専ﾌﾞﾗはおｋってことか

Lynxって何だ。山猫か
アッシュ・リンクスか

lynxってこんなのかよ・・・。インターネットオワタ

http://ja.wikipedia.org/wiki/%E7%94%BB%E5%83%8F:Lynxwin32.png

何か都市伝説っぽいな．

>>6
ブラウザにコード読ませる前に遮断するしかないな
いかにフィルターの精度を高めるかが鍵になる

>>13
テキストブラウザ以外全部アウトっぽいからダメなんじゃね？

>この問題は、lynxなどを除いて、ほぼすべてのブラウザに影響がある

ttp://upload.wikimedia.org/wikipedia/commons/9/9b/Atari-lynx-1-1000.jpeg
LYNX最強！ｨﾔﾌｰ！

広告踏ませるぐらいしか思いつかないんだが

w3mは？

これは酷いインターネッツですね

クリッククリックジャッキング！

デマウイルス乙

どのブラウザ使っても同じならもう気にしてもしょうがなくね？(´･ω･`)

ウィンドウシステムレベルの問題だったりして

>>5

ブラックホール

そもそも実際被害にあった人はいるのか？

き…脆弱性

どういう仕組みなんだろうね？
よくわからない

よくわかんないけど
WebページのGUIにまったく反映させずバックグラウンドで
スクリプト実行用のプラグインを使わずにブラウザの内部コマンドを
自由に実行できるつーこと？

> ページ上のあらゆるリンク、ボタン、その他あらゆるものをユーザーには見せないままクリックする

分かりやすい例えのつもりっぽい↑が逆に分かりにくい元凶のような。。。

アスラン・カーレンリースか

クリック操作くらい乗っ取られてもそのサイト内だけだろ
大したことねーじゃん

>>11
けど、個人情報が無い状態で、
それをクリックしても、分かるのはIPアドレスくらいだろ？

それよりもアクティブ�]とかの許諾ボタンも触れるなら、
そっちのが問題っぽい気がする

も…脆弱性

いきなりHDDのデータが吹っ飛ぶの？

よもや今頃になってLynx最強伝説が始まろうとは・・・

>>20
なつかしいいいいいいい！！！
存在忘れてたわ

白地に白のリンク文字書いて、うっかり踏ませるとかいうツマラン事じゃないよな？

俺はインターネットなんてやったことないから関係ないよ

予告.inにアクセスすると警視庁爆破予告スレをVIPに自動で立ち上げる
ってウイルスみたいなのがあったがそれか？

ネットオワタ

ここは怖いインターネッツですね

おれの兄貴がインターネットの幹部だから
おれは大丈夫だよ
お前らザマァw

キーロガーとかインストールされたらどうすんだよ低脳どもが

マック派の多数派潰し工作の涙ぐましい努力もついにここまで来たか

で具体的にどんな被害が出るの？
ｵﾚ様秘蔵のｴﾛ画像と動画が流出？

>>6
専用ブラウザで2chだけ読んでればいい

見た覚えが無いのにリンクが訪問済みの色に変わってることがたまにあるな

>>28
アーッｗ

ネットバンキングや株取引してる連中には怖いなｗ

Lynx始まったな。

>>50
それダム板への誘導リンク

>>15
バナナマン乙

Lynxか。X68K最強か？

クルックシャンクス？

絶対安全なリンクをクリックしようとすると、ページが切り替わって
変なとこ踏ませるとか？

リンクをクリックできるということは
なんか勝手にダウンロードさせたりとかもできるんじゃないかな

>>50
それ君の中にいるもう一人の君

超ミラクルスーパーハイパーブラウザ:Lynx
http://pc11.2ch.net/test/read.cgi/software/1036309725/

あー、なるほど、大体わかった

>32
ああ、まったくわからん
↓これ
> ページ上のあらゆるリンク、ボタン、その他あらゆるものをユーザーには見せないままクリックする

安全なＩＥ７に切り替えろってこった。

ブラウザつかわないで、
MSDOSの画面でコマンド打ち込んでインターネットってできるものなの。

俺のOpenJaneもだめなん？

>>32が何を言ってるのかサッパリわからんあたしはもうLynxを使う以外ないかもしれんね

バカだなお前らは

＞ユーザーが悪意のあるウェブページを訪れると
って書いてあるじゃないか。ヘンなリンク踏んで知らないサイトとか行かなければ
いいだけだよ

逆に言うと本当に気をつけるなら覚えてないURLは一切踏めないってことだがな

Windowsはスタンドアローンで使用し、ネットはKnoppixで繋げということか。

>>16
コマンドラインから使えるんだぜ？
linuxとかでは結構便利

Lynx for Win32 つかえばおｋ？

w3m使いやすいよ

Konquerorは？
BBBは？
情報が足らんぞ。

簡単に言うと、危険なスクリプトやアクティブ�]が実行可能って事だろ？

どうしろって言うんだよ？

>>9
ひでぇよな、結局CMOSクリアさせられたよ。
あれこそウィルスそのものじゃん。

俺operaだから大丈夫だ

>>74
今すぐケーブルを引っこ抜け

具体的な例がないからイメージしにくいな・・・わざとなのかな。
っつーかどんな被害が想定されんのか全くわからん。

対策不可能なセキュリティホールとか数学者が考えそうだな

>>当面の間は、唯一の対策はブラウザのスクリプト機能とプラグインを無効化することだ。
>>この情報では技術的な情報は伝わらないだろうが、これがわれわれに今できる最善のことだ。

このスクリプト機能ってJavaScriptじゃないの？

この技術はロシアと中国がすごい研究してるね
実用化できれば1兆円規模の収益になるって話だね

htmlのレンダリングの最中に任意のURIにリクエストヘッダ送信できちゃうとかそういう問題があるってこと？

w3mはおkなのかそうでないのか明言してくれ

Internet Explorerの最新版（version 8を含む）とFirefox 3がこの問題の影響を受けることを認めた。

Firefox2は大丈夫なん？

これで飛ばすだけってことじゃないよな？まさか？
確かにLynxでは確認画面が出るが、他のブラウザは黙って飛んでしまう。

<meta http-equiv="refresh"content="0; url=ほげほげ

lynxに乗り換えようかな

>>68
俺は行った事無いけど2ｃｈとかいう匿名掲示板のスレには
危険なサイトのURL貼られたりするらしいから危険じゃね？
専ブラもこれの影響あるのかこれ？

なんか知らんがnortonが勝手にインストールされててひどい目に遭ってるんだけど・・

アンインストールした後もパソコンがおかしい

Gekkoは？

googleのやつはﾀﾞｲｼﾞｮﾌﾞ？

テキストブラウザ最強ということだな。

エロサイトに仕掛けられまくりそうな悪寒

>>63
ページ上のあらゆるボタンっつーことは、そのページを作った「悪意のある製作者が」
その「悪意のあるボタン」を、勝手に押してしまうっつー？
ってか、そんなの、最初から押した状態で作ればいいんでね？みたいな。

ひょっとしてアレか。自分の作ったページの中に、「他所のサイトの」ボタンとか引用
して貼り付けといて、それ勝手に押させるみたいなことが出来るってか？
WebベースのメールとかSNSサイトとかで、パスワード設定されてても自動ログオンに
しておいたら「ログオン状態で出来る操作」が、悪意のある他人にされてしまう可能性
があるとかか？

わからんな。

対策ないの・・・

俺のカシオワープロにモジュラージャックがない！
これも感染の疑いがあるやもしれん

>>80
これは原文に書いてるけど、後略じゃなくて、
>>１にちゃんと載せないと、ページ上のリンクやボタンをクリックされて、
なにが問題なの？って思う人がほとんどだろ

記者の能力の低さに失望だね

この一文があれば、基本的にほぼ何でも出来るって、
ほとんどの人がすぐに分かるはずだからね

またLinux最強伝説か

Amaya 使いの俺はどうすれば？
っつーか、勝手にリンク踏んだとしてもその先のセキュリティがしっかりしてれば問題なさそうなんだが。
どうなんでしょ

元記事よく読んだら 攻撃にはDHTMLが必要で
>当面の間は、唯一の対策はブラウザのスクリプト機能とプラグインを無効化することだ。
なんだから JavaScriptおおいに関係ありじゃんかw
信頼できないサイトにアクセスするのに スクリプトonにしてるやつなんていないだろ

桂様のアレもこのキジャクセイがあるんだろうか？

lynxが除外されるという事はimgタグ関連だな

>>16
むかし時々使ったなあ。
懐かしい。

>>1　GoogleChromeが無いけど…もしかして…

おれの兄貴がインターネットの幹部だから
おれは大丈夫だよ
お前らザマァw

>>76
>>1

セキュリティー対策に
アクティブＸとJAVAスクリプトを動作しないようにしているのだがそれでも危険なの？

要は、プラグインかスクリプト機能にセキュリティホールが見つかったって話で、
その使い方の一つがクリックジャックなだけなんだろ?

だけど、実はただ単に refresh メタタグで飛ぶだけだったりしてな。

マウスが悪いのか？
lynxでもエンターキーでリンクに飛ぶが
なんでそれなら安全なんだ？

勝手に　[同意します]　ってこと？

最悪の場合、小汚いオッサンとのホモ契約をされてしまうかも？

他人のマシンを使えばおｋ

Lynxを使っている男の人って
童貞のアニメお宅なんでしょ

悪意あるサイト行かなきゃいいだけじゃん俺大丈夫だ

そうだったのか俺もうw3mやめてlynxにするわorz

>>103
（-人-）　ﾅﾑﾅﾑ･･

えー、マジで？

こういう事やるのは大抵DQN外人だから、外国サイトっぽいURL踏まなかったら余裕だな

>>106
>>1

>>16
クローラは未だみんなこのレベル。

>>95
それ、腐ってますよ？

>>101
天才。ちょっと調べてくる！

>>103
クロームは Safari と同意だよ。

いやいや、元記事でも矛盾してんじゃん。
> この問題はJavaScriptとは関係がないため、JavaScriptをオフにしても問題は解決しない。
と書いておいて
> 当面の間は、唯一の対策はブラウザのスクリプト機能とプラグインを無効化することだ。

>>106
>JavaScriptをオフにしても問題は解決しない
だって

今北
どういう仕組みか分からんことには、
「またFUDか」扱いしかできんぞ(´･ω･`)

このクリックジャッキング自体には JavaScript が必要ない。
ただ、クリックジャッキングを利用し悪意のあるい JavaScript コードを実行させられてしまう可能性がある。

よって、当面の間は JavaScript とプラグイン機能をオフにしとけってことだろ。

履歴をしらべられてその人の特性とかわかりそうだな。
ピットが使いそうだ。

OSX用Lynx
http://www.apple.com/downloads/macosx/unix_open_source/lynxtextwebbrowser.html

ちゃんとあるんだねえ

>>85 のurlのとこにurlだけじゃなくて、パラメタつけとけば
getしたように(つまり、リンクをクリックするとか、method=get
のフォームでボタンをクリックしたように)偽装できるね。
これでページを次々につなげていけば、利用者の意志で複数ページ
を次々にナビゲーションしたようにみせかけられるな。

> Adobeやその他の影響を受けるベンダーの要望で、包括的な修正が準備されるまでは
> この話題を公にすることが取りやめられていた

今元ニュース読んできたら>>80が出てた
Adobeが隠蔽要望て酷くね？Flashとかセキュリティ的にブロックもんだろｗ

推測だがFlashのプラグインが元凶なんじゃないだろうか。
まず連絡とった会社がMicrosoftとAdobeということだし。

自動でスパイプログラムのダウンロード・実行が承諾されるならかなり危険じゃね？

Lynx以外であるw3mでも対象となると、imgかframeか。
とりあえずw3mのimgとframeの自動処理のオプションはoffにして情報収集といったところかね。

>>104
＞おれの兄貴がインターネットの幹部だから

インターネットの幹部ってなにモン？
インターネットって悪の秘密結社か？

> この情報では技術的な情報は伝わらないだろう

圧力があって技術的な情報は出せませんという情報ｗ

なにこれ…怖すぎ

パケットの構造に脆弱性があったりして

ﾄﾞﾘｰﾑｷｬｽﾄの俺に隙はなかった

文字だけ表示でも駄目なの？

いやもうすでに使ってるとみるべきかw
記事がでるのは大抵使われた後だからな。

恩恵を受けるのはただ一人
そいつが犯人だ

元記事に書いてあった

> この攻撃にはDHTMLを必要とする

ということは、アレとかアレですね。
なんだ、このお騒がせ記事はｗｗ

スレタイ直せ

元記事より
lynx”など”を除いて、ほぼすべてのブラウザに影響がある。

一時期こういうテキストベース？なソフトがかっこいいと思って色々使ってたなぁｗ
ファイラやランチャは未だにそれを引きずってる

クリキング（栗王）
デカクリともいふ

NetFrontもだめ？

またLynx使い出すか

>>1

Lynx　ってwww

Lynaxだろ、はよ削除しろや

flash程度なら、youtubeとかを例外にして、その他の全てのレスポンスをproxyで殺しているから、どうでもいい問題なんだがなぁ。
imgやframeだと一括防御が難しいので困ったことだ。

ほぼテキストブラウザーもきっと大丈夫

>>144
>>144
>>144
>>144
>>144

>>147
>>147
>>147
>>147
>>147

じゃ　新しいインターネットを作ればいいじゃん

>>138
てことはw3mの画像ありありで問題なし？
今日は帰宅してから設定変えるのを忘れないようにしようと気を付けていたのだが、そんなことは忘れて朝まで飲み歩いても許されるのか。

>>147-148
遊ぶなお前らw

>>148
>>148
>>148
>>148
>>148

いやこれはやっぱ、
>>144
>>144
>>144
>>144
>>144

さっそくｲﾝｽｺしたけど画像でねーのか・・・
どうやってしこしこすんだお！

Lynxを除くってことは、w3mは引っかかっちゃうのか。
emacsのw3-modeは?

>>104
「インターネッツ」が正しい。

w3m for win32 ってないの？

もしかして、これってボディタグの中を１個のアンカータグで全部込むってことじゃないの？

表示されてHTMLページのどこをクリックしても悪意あるURLへ飛ばせる。
lynxだったら全ての文字がリンク状態になっているからこうなっていることがわかるとかいうオチだったりして

つまりCSSの問題てこと？

え？frameがなんだって？

>>152
>>152
>>152
>>152
>>152

lynxハジマッタ＼(^o^)／

>>80
vbscriptとcobolscript

脅威の内容は悪意のあるページにアクセスすると、ユーザがしならないうちに、
ブラウザに任意のＵＲＬを読み込ませる事ができるってことかな。
ＪａｖａＳｃｒｉｐｔを使わず、ブラウザが動作する根本的な仕組みを利用するってことは
レンダリング絡みかな。
ほとんどのブラウザが影響を受ける一方、テキストブラウザが影響を受けないってことは、
画像とかスタイルシートとか、そっち方面かな。
ブラウザがＭＩＭＥ−ＴＹＰＥなどから、コンテンツの内容を自動認識して
それに応じた動作をするあたりも影響してるのかも。

スクリプトやプラグインをＯＦＦにしとけっていうのは、知らないうちに
知らないＵＲＬから悪意あるスクリプトやプラグイン読み込まされたときのため
ってことこか。

>>16
便利なのに……

また　　 　 .l l ＼　この問題の危険性 は　 ／/U　ヽ＿＿＿/
きじゃくせい 　　＼ 【緊急】 レベルです　／／　　　U　　　　:::U:
か！ 　　（＿_） 　　＼　　早急に…　　／　/／ ＿__　　　＼　　:::
　　　　　（＿＿） 　　　＼∧∧∧∧ ／　　 |　　|　　 |　　　　U ::::
　　　　 （`Д´＃）　　　＜　　　き　＞　 　 .|U　|　　　|　　　　　::U:
　　 ＿|￣￣||＿）＿　 ＜　の　じ　＞　　　 |　├―-┤　U.....::::
　／旦|――||/／ ／| .＜　予　ゃ　＞　　　　ヽ　　　　　.....:::::::::
─────────＜　感　く　 ＞──────────
<　　 ＿,ノ , 、ヽ､＿　ノ＜　！ せ　＞　　　　　　　　　　∬∬
　（y○'）｀ヽ) ( ´（y○'）＜　　　い　＞ ﾓﾛﾖﾜｾｲかよ…＿＿＿
　　⌒　/　　　　ヽ⌒.　／∨∨∨∨＼　　　∧＿∧ 　 |｜＼
うわあ |~￣￣~.|ぁぁ／ぜいじゃく？　＼　（ ；´Д｀）　 |｜　｜
ぁぁ|　|||! i: |||! !|ぁ／どこの文盲だよ(ﾌﾟ＼（ 　 つ／￣|｜／
ぁぁ| |||| !! !!||| :|／小学生からやり直せｗ ＼ヽ　|二二二」

中途半端な方法では被害を防げない。今すぐ粉々に破壊すべきだ。

こういうニュースが出るたびに思うけどなんで対策とれる前に公表するの？
こういうやり方があるからやってくださいと言ってるようなもんじゃないの？

>>158
それならlocationやframeやimgにURLを書けば済むんだよなぁ。

>>20
リンクスｶﾜｲｿｽ

>>163
>>vbscriptとcobolscript

これってIEだけじゃなくて、FireFoxとかでも使えるスクリプト？

悪意のあるウェブページがあるのだったら、善意のあるウェブページがあってもいいと思うのに。

ユーザが意識することなく、ブラウザが勝手に読み込むものといえば
フレームとかファビコンもそうか。結構色々あるな。

画面上のあらゆるボタンを表示しないようにしたらどうかな。

>>172
例えばどういう？

Lynx for Win32

「気づいたら手遅れ」
そんな事態を避けるためにも
ぜひともリンクスに

レイヴンは時代遅れの遺物です

ttp://lynx-win32-pata.sourceforge.jp/index-ja.html

>>174
むしろこの脆弱性はそれに近いんじゃないかな？
リンクをリンクに見せずに表示して、知らないうちに悪意あるサイトへと飛ばされる・・みたいな。

>>168
セキュリティ関係で対策前に発表されるのは大体次のパターン。

セキュリティ専門家が脆弱性を発見　→　関連各組織に連絡　→　
対策取るまで待ってください　→　長時間放置　→　専門家ブチ切れて暴露

>>119
>例えばEbayはこの攻撃に弱い。なぜなら、この攻撃にはJavaScriptを必要としないが、
>ウェブページにJavaScriptを組み込むこともできるためだ。

>>150
朝までおｋ

たぶん設定変えてもダメっぽ。うーんどうすりゃいいんだろうなぁ。
まぁ、そういうサイトが出てきたら一緒に人柱を待とうぜｗ

スレタイを見た瞬間にw3mが頭に浮かんだ。
同じ事思ってるやつが多くてちょっとびっくり。

>>175
アクセスすると、色んな有益な情報が得られるとか

うーんと、
cromeが入ってないのは故意？

>>179
で？
スクリプト無効にすると解決するの？しないの？

あ、普通のブラウザのことね＜ダメっぽ。

>>172
…ユニセフ？

そういうサイト開いたら強制終了するようにしたらいいじゃん

>>182
まるでgooglleｗ

グーグルのチャロメはだめなのけ

これってCSSでレイヤーをかぶせるんじゃねーの？
奥のレイヤーにはゲーム画面を置いて、手前のレイヤーには他人のサイト、例えばオークションサイトの何かの確定画面をiframeで突っ込んで、それを透明で表示させておくとか。
情報集まって対処できるまで、w3mオンリーにしておけば安心ってとこだな。

対策法が無いって恐いんだけど…。

要するに、知らないサイトや変なサイトに行かなきゃ大丈夫なんだよね…？

>>182
google先生ですね。わかります

バックグラウンドの色と文字や画像の色が同じで見えないところをクリックしてしまう
てこと？

>>190
ああ、だから「Flashのゲームなどが」云々書いてあるのか。

lynxおｋっていうことで差別化したときに他のブラウザとの違いは画像の表示かな
imgタグのsrc属性に悪意あるURL仕込んどけば読みに行っちゃうよねっていう話では？
それを防ぐっていっても外部呼び出し禁止にされても困るんだけど
バナーとかの実装がめんどくさくなる

>>189
チャロメはすでに穴が発見されてるだろ。
これよか前に発見されてるから、悪意あるサイトもこれより多いはず。

>>178
長時間放置されて何故専門家がブチ切れるのかがわからんな。

>>184
「当面行える唯一の対策≠完全に防げる方法」
勘違いしないようにね。
スクリプトを無効にしておけば、少なくともJavaScript差し込まれて変なことされるようなことはない、ってだけ。

>>195
画像表示が問題なのであれば
どのブラウザでも画像を表示しないようにしたら回避できるのでは？

こうしていらぬ推測をさせることで、新たな手段が余計に発明されていくのでした。

スレタイだけ見てw3mスレになっていると予想

ぽまえらよほどLynxて名前が気に入ったんだなｗｗｗ
正式名称で呼んでるやつ一人もいねーの

つまりあれだ。
ブラウズせずに、ソースを講読しろと？

おまえら！lynx馬鹿にすんなよ！
あれ会社でネットするときは最高だぞ

Operaも仲間に入れていただけて光栄です。

>>191
「運良くその仕掛けがされたサイトに行かなければ大丈夫」でしかない。
例えばXSS脆弱性があるサイトに仕込まれていたり
……これは>>190が言うようなCSSを使った攻撃であれば簡単にできる……
どうみても信頼できるサイトのURLなんだけどそっくりな別のURLだったり
実際に信頼できるサイトのドメインなんだけど、リダイレクトで別のサイトに
飛ばされたり……で、はっきり言って、仕掛けられたら防ぐ方法はない。
例えば、Yahoo!にだってXSS脆弱性はある。
音楽作品の紹介のフリをして貼られた仕掛けアリのURLなんかが
いっぱい出て来たら、全部避けるのは難しそうだ。

>>190
CSSってそんなことまできるの？ あぶないね
CSSの透明にする機能だけブロックすればokなのかな

>>195
それは悪意あるサイトがUAに対して、指定するURLへのアクセスをさせるだけの話だな。
それは穴ではない。
クリックをジャックするってことは、さらにそこから進んで、指定されたページ(契約の確認ページ)に置かれるリンク先(契約の確定処理)へ、ブラウザーが保持するクッキーと共にアクセスさせるってことになる。

じゃあ、逆にボタンだらけにしてわけがわからなくしたらどうだろう。

ブラウザを使わなければいいんじゃね？

ｉｍｇ　ｓｒｃ＝“危険なサイト”　ｗｉｔｄｈ＝０　ｈｅｉｇｈｔ＝０

こうですか？わかりません＞＜

えーと、よくわからないんだが、簡単に言うと
勝手にクリックされる
ってこと？

ついにAmayaの出番が来た？

【話題】Lynxを除くほぼ全てのブラウザが影響を受ける脅威の攻撃「クリックジャ. (p1 of 33)

無料アクセスカウンターofuda.cc「全世界カウント計画」

__________ 2ch検索

２ちゃんねる ■掲示板に戻る■ 全部 1- 最新50 [PR]萌え犬写真館も復活。[PR]
___________________________________________________________________________

【話題】Lynxを除くほぼ全てのブラウザが影響を受ける脅威の攻撃「クリックジャッキング」

1 ： ◆SCHearTCPU ＠説教部屋に来なさい→胸のときめきφ ★：2008/09/27(土)
18:00:48 ID:???0 ?2BP(111)
セキュリティ研究者が、すべての主要なデスクトッププラットフォームに影響の
ある、新たな
恐ろしいブラウザに対する脅威に対する警告を発している。
その対象となるのは、Microsoft Internet Explorer、Mozilla Firefox、Apple
Safari、Opera、そしてAdobe Flashだ。
この脅
(通常リンク) [→] かリターンキーで選択
矢印キー: [↑][↓]で移動 [→]でリンクを辿る [←]で一つ戻る
[H]ヘルプ[o]設定[p]印刷[g]移動[m]メイン画面[q]終了 /=検索 [Delete]=履歴

今日からlynxしか使わない

でさぁPDFのウィルスの件なんだけどね

mailto:でやるんだよね？

firefoxはCSSをoffにすることが容易だから、もしcss原因ならゼロデイ攻撃でもユーザーはゼロデイ対処できる。
adblockやjavascript規制アドオンみたいに、許可したサイト以外のcssを無効化できるアドオンがあればいいんだが。

　 ,j;;;;;j,. ---一、 ｀ 　―--‐、_ l;;;;;;
　｛;;;;;;ゝ T辷iフ i 　 　f'辷jァ　 !i;;;;;　　Lynxでまともに表示されないサイトは糞
　 ヾ;;;ハ　　　　ノ　　　　　　　.::!lリ;;r゛
　　 `Z;i　　　〈.,_..,.　　　　　　ノ;;;;;;;;>　　そんなふうに考えていた時期が
　 　,;ぇハ、　、_,.ー-、_',. 　 　,ｆ゛: Y;;f.　　　俺にもありました
　 　 ~''戈ヽ　　 ｀二´ 　　 r'´:::.　`!

会社でほぼテキストブラウザ使ってるけど
管理者にはどこ見てるとか筒抜けなんだよな
今んところ何も言われないけど
いちいちそんな全員のチェックなんてしないか

ほんとにどうしたらいいか、誰か教えてよ。
マウス壊しちゃえばいいのかな。
壊しちゃうよ？

>>175
あれだ、あれ
電車の中で女子高生がどうたらでクリック募金の

んなサイト行かなきゃいい。

>>217
どこを見てるとか細かくは調査しないけど、２ちゃんねるとか大手掲示板へのアクセス回数をリスト化して上位陣見張ってたり
勤務中の私的アクセスを禁止してるとこなら時間別社外アクセス数を同様にリスト化して上位陣見張ってたりとか。

要するにCSRF攻撃の新しい効果的な手法が発見されたので
サイトじゃなくてブラウザで対応しろやゴルァと言っているだけ

ためしにできるだけプラグインを切ってみた。
ブラウザが軽いｗ

これを危険だと言ってしまうとサーバーサイドプッシュプルとかも
危ないって事にならないか？

そういえば、踊る大捜査線 THE MOVIE で小泉今日子が lynx 使ってたな
http://www.hirax.net/dekirukana/odorulinux/index.html

スーパーハカーぶりを強調しようとしたんだろうけど
画面をよく見ると User Mode が "Novice （初心者）" のままだったので
lynx User 達から m9（＾Д＾）プギャー されてたなぁ……

とリ合えず、社内はPROXYでimgを遮断すればいいのか？

つまるところ、例によってJavaScriptが悪いの？
何が原因なのか>>1がごちゃごちゃしててようわからん

脆弱性自体はjavascriptの脆弱性じゃないんだけど、
脆弱性を利用してjavascriptのまずいやつを実行できるからjavascript切っとけってことじゃない?

>>227
詳細が公開されてないんだからそりゃ判らないだろ
公表する予定だったんだがAdobeにお願いされたから発表はキャンセルされた
このことから致命的なのはFlash使ったときだけとわかる
大騒ぎするほどのことはなさそうだ

Mosaic は？

Hidemarnet Explorerは？

こないだのDNS cache poisoningみたいに
大口叩いてまたフカしてるだけだろと思ってたら本物だった
なんてこともあるから詳細が公表されるまで油断しちゃだめだけどな

PSブラウザがこんなとこで役に立つとは

包括的な修正が準備されるまではこの話題を公にすることが取りやめられていたものだ。

ZDNet がこの話題を公にしてしまったわけだが...

lynx (´･ω･`)ｼｮﾎﾞｰﾝ
ＥＲＲＯＲ：referer情報が変です。(ref1)

おまいら、firefoxでなら防げる方法があるぞ！


教えて欲しかったらモリタポ払え

インターネットに安全とか期待する方がおかしいと気がつくべき

ケータイのブラウザはどうなるんだろう？

UA
Lynx/2.8.6rel.4TH libwww-FM/2.14FM SSL-MM/1.4.1 GNUTLS/1.7.8

モザイクの事も思い出してあげてください。

w3mユーザがちらほらいて安心したｗ

悪意のあるサイトって２ちゃん？

>>242
毎日変態新聞の英語版サイトのことじゃね？

lolifoxユーザーの俺は問題ないな

ブラウザの問題っつーよりDHTMLの問題だろ

UA/braindirect

「樹海のおとしもの」を
Lynxで制覇したぜ！

関係ないけど誰かｉアプリ版のLynx作ってくれ。
標準でフルブラウザのかわりにLynx搭載したスリムな携帯でたら買うんだけどなぁ。

Lynxなんて聞いたこと無い

＞ユーザーが悪意のあるウェブページを訪れると、攻撃者はそのページ上のあらゆるリンク、ボタン、その他あらゆるものをユーザーには見せないままクリックすることができる。

悪意有るサイト内で攻撃が起こっても、何が問題なのって感じで意味がよくわからなんだ。
だれかモット砕いて教えて

w3mは?

>>235
昔はUser-Agent騙れば桶だったんだけど、
それだけじゃ書き込めませんなorz

自分のサイトに誘導して、バナーを裏でクリックさせまくってｳﾏｰ

悪意あるページ上のあらゆるリンク、ボタンを押せるといっても
悪意あるページで直接悪意あるコードを実行するのと変わらないんじゃ？

別のページにあるボタンを押せるとかならともかく。

これって label を使ってフォームの内容を JavaScriput を使わずにコントロールする話じゃなくて？

なんと、w3mでも無理と申すか。
あなおそろしや。

『クリックジャッキング』
『クリックジャキガン』
………あれ？

携帯とかＰＳＰはへーきなんだろ？

なるほど、グーグルはこれ利用して成り上がったんだな

Lynx最強伝説

Lynxはフレームに対応してないのがミソじゃあないの？

フレームで同一画面にサブのhtmlを表示させる機能を逆利用して、
外部のやばいリンクをフレームとしてドンドン仕込むとか

lynxとかw3mとか仕事中に２ｃｈとかﾈｯﾄｻｰﾋﾝすんのに凄く便利。

問題は現状防げないと言っているだろうがｗｗ

ワクワクしながらスレに飛びついたマカー涙目

"Lynx"って名前、「こんな凄いブラウザ発見した！」みたいな厨ネタでしか見たことなかったんだがなw

http://bakera.jp/ebi/topic/3235

こういうこと？

UFOくらい嘘くせ

アメ公の新しいオカルトビジネスだろ

仕事中のネットサーフィンは、なんだっけな、FirefoxのプラグインだったかFirefox改変版だったかで、
ワンタッチで全て白黒(文字も写真も)にしたり、文字の大きさ全て同じにしたり、画像なくしてテキスト
だけにしたり、っての重宝したな。その描画部分だけをnotepadとかWordとかExcelの描画部分に
填め込んで使ったりもできた。

今は仕事がないので(r

telnetでアクセスして、
自前でHTML解釈するのが最強だろ。

ＩＥ使ってたときどっかのページでかってにカーソルが動いてクリックしてなんかインストールされそうだったけど
タスクマネージャー呼んで助かったけど、見えないんじゃなー。

そういえば昔、何だっけか周辺機器のドライバをインストールするとき、インストーラ起動したら
ドライバインストールの確認(MSに認証されていないドライバをインストールしてもいいですか？
みたいな)のボタンが勝手にポチポチ押されてどんどん自動で進行してびびったことがあったな。

>>252
っ monoview

>>261
それだとファイルアップロードボタンは偽装できないかな？
つか、できんの？

バイナリエディタで開いて脳内HTMLレンダリングしてるから
ブラウザなんて使わん

>>274
ふつうのテキストエディタでいいじゃん

おれは光ファイバーの点滅を目視して脳内展開してる

>>276
それはただの病気です

ＩＥ６だったらセーフ？

Lynxすげー

ハッカージャパンが詳細載せないかなｗ

>262
ネットワークの管理者にもろバレだろw

>>15
>>33
バナナ・フィッシュ乙

なるほど。meta の http-equiv="refresh" や img の src や frame とかの url を記述するタグで、
悪意あるサイトの url に get メソッドで引数つけて渡せばいいのか。

>>276
目に頼るでない！穴のあいた紙カードを指で読め

今はゴルフメーカーでもブラウザ作ってるんだ・・・
恐るべしIT

>>276
おれはLANケーブルを伝わってくる波動を脳内変換し
目から照射するビームでエロ動画を映写してｒｆｔｇｙふじこｌ

>>285
公明党ですら昔ブラウザを…

>>254
俺の灰色の脳細胞をふりしぼって推測してみるに、
単に、JavaScriptオフで対応できないってところが新しいポイントなんじゃない？
知らない間に他サイト攻撃してしまうとか。

ユーザ側には割と別に平気な問題なんじゃないかと予想。
あ、JavaScriptオフで対応できないブラクラはやーね。

サーバと直接テレパシーでやりとりするんだ！

ついにATARI　LYNXの時代が到来したか
http://bb.watch.impress.co.jp/stapa_blog/archives/2006/09/atarilynx_1.html

アイパスをブラウザに覚えこませてるタイプの人は危険だな

Abone使ってるから問題ないよ

>>283
それは単純なCSRF攻撃
ハマチちゃんトラップやAmazonウィッシュリストの脆弱性と同じで
サイト側で防ぐべき問題

根本的な欠陥だと？ふざけるな。
インターネットの社長を連れてこい。

http://www10.plala.or.jp/nig/monooki/exploit_.html
こーゆーこと？

>>293
「悪意あるサイト」にリクエストを送るのに、「サイト側で防ぐべき問題」って……？

>>294
http://www.ssw.co.jp/office/index.html

公明ブラウザの俺は関係ないな

>>281
つssh

>>297
え、そんな名前の会社マジであったのかｗ
変なこと書かなくてよかったわ。

>>294
ポテチが喉に引っかかったではないか

>299
自宅のPCとかに繋げてんのか
納得w

>>295
それだとAdobeとか関係ないから多分違う。
俺が検証したわけじゃないし詳細が出ていないから確認できないけど
スラドにはCSSで背景を透過にしたFlashを上かぶせすると言うような書き込みがあった。
基本的には同じようなものだけどさ。

最近は無駄にFlashを使うサイトが多いから良い警告になればいいな。

またマイクロソフト社の陰謀ですね

XMLHttpRequest（）でもつかうのか？

>>283
それってwebビーコンの事だよね。

風俗に行ったら自分の意志とは無関係に選んじゃってて、ハッと我に返り、こんなデブいらんわ！
とか言ってたら、マトリックスのスミスよろしく、まわりを893に囲まれてて、もうオワタ＼(^o^)／ｵﾃｱｹﾞ

状態になるってこと？

lynxだけのけものか

山猫だけねむっちゃった

ジャイアンのやってた詐欺を思い出した
「この50円玉は表の模様が裏に、裏の模様が表についた珍しいものだ」つって
のび太に高額で売りつけようとする話

>>306
に限らない。例えば「何らかの方法」で、
そのユーザーがそのページを開いている時にしか
得られない情報をgetのパラメータに含ませる事ができたら、
リクエスト先ではその情報を得る事なんかもできる。

四の五の言わずにこうすりゃいいんだよ。
http://ranobe.com/up/src/up303746.png

>>299
ｓｓｈで毎日同じところにアクセスしてたら余計に怪しく思われないのだろうか？

最近、アホかと思うほどフラッシュや画像をトップに置くサイトが増えてきた。

なんか各方面からの情報を総合するとほぼ全貌が見えちゃったな
とりあえずnoscript入れとくのが吉か

>>313
すぐさまSkipを探すな

lynx使って募金したらクラックと見なされて捕まったとかいう英国のニュースを思い出した

>>311
ふざけんなボケ

ブラクラはるな死ね

全盲でLynx使いの俺が勝ちですか?

ジャストシステムの作っていたブラウザはマイナーすぎで誰も話題にしない名ｗ

>>311
wikiかお？

>>205
遅くなっちゃったけど、ありがとう。

とりあえず、２ちゃんねる以外には行かないでおくことにするよ…。

ふははは
Vimperator使いがクリック？
ご冗談を

っていうボケは通じないんでしょうか

「ところがどっこいwin7では問題ありません、VISTAにも後に対応します、XP？何それ？」
なMS発表マダー？

ああ、webサイト作った時の参考書に
どのブラウザでも閲覧できるようにと
書いてあったからインストールしてチェックしてたな。

vista64bitと同時に使ったらシュールだろうなあ。

Ajaxコンテンツが窮地におっ立ったのか。

ぐーぐるアナリシスみたいなもん？

>>276
ポケモンショック懐かしい

>>9
何かあったのか？

>>233
同感

X68のLynxで巡回してる俺は勝ち組という事か

いまだにネスケ4.7とOpenJaneだからfile:///c:/con/con/con位しか驚いたことはない。↓にも反応せず。

【IT】 HDDをフォーマットしちゃうWebサイトが登場。ご注意を！★６
http://mamono.2ch.net/test/read.cgi/newsplus/1199120031/

>>330 古いＰＣでインターネットしてみるスレ ttp://gimpo.2ch.net/test/read.cgi/i4004/1062287755/

LynxOSを使ってる俺、最強だな

ブラウザーのマウス操作を完全に無効にすれば
完全に解決できる。

Security researchers warn of new 'clickjacking' browser bugs
http://www.computerworld.com/action/article.do?command=viewArticleBasic&taxonomyName=Spam%2C+Malware+and+Vulnerabilities&articleId=9115700&taxonomyId=85&pageNumber=1
"Think of any button on any Web site, internal or external, that you can get
to appear between the browser walls," Grossman said in an e-mail on Friday.
"Wire transfers on banks, Digg buttons, CPC advertising banners, Netflix queue, etc.
The list is virtually endless and these are relatively harmless examples.
Next, consider that an attack can invisibly hover these buttons below the users' mouse,
so that when they click on something they visually see, they actually are clicking
on something the attacker wants them to."

>>190
の説が一番近いかも。
ネットバンクや、内部のファイヤーオール設定ボタンも自在にクリックさせられるとしている。
対処法は、Firefox の　NoScript アドオンのみだと。

noscriptはデフォルトではiframeを禁止してない
設定変更してiframeを禁止しないと防げない
そしてiframeを禁止してもobjectを禁止してないので結局防げない

またWtermの時代に戻ればいいじゃん

>Grossman氏はInternet Explorerの最新版（version 8を含む）とFirefox 3がこの問題の影響を受けることを認めた。

Firefoxを２のままにしてたVineちゃんはただものではないな。

Ms-Dos

いつの間にかエロサイトにアクセスしてる謎が氷解した
そういうことか…

>>65
> ブラウザつかわないで、
> MSDOSの画面でコマンド打ち込んでインターネットってできるものなの。

できる。

最近はこの手のことをやってないから詳しい文法覚えてないが、
たとえばこのスレッドだったら

telnet mamono.2ch.net 80
GET /test/read.cgi/newsplus/1222506048/ HTTP/1.1 (改行x2)

とかやると、このスレッドのHTMLが落ちてくる。

>>300
> え、そんな名前の会社マジであったのかｗ
> 変なこと書かなくてよかったわ。

よくある厨房系コピペで「俺の親父はインターネットの幹部」ってのがあるけど、
ひょっとしたらその会社の幹部ってことにもなりかねんなｗ

モザイクユーザーのオレは完全に勝利。

>>215
> firefoxはCSSをoffにすることが容易だから、もしcss原因ならゼロデイ攻撃でもユーザーはゼロデイ対処できる。

Operaも確かそれができるんじゃなかったか。

Lynxのフルートはヨーロッパでも評判が良い

epiphany使ってるんだが・・・やばい？

カウボーイ願望の工学系キモヲタが、
（自分は理解したいと強く思ってるのに）理解することができない物を見たときに、
どういう反応をするのかが、よく分かるスレですね、ここは (^^)

>>343
> >>215
> > firefoxはCSSをoffにすることが容易だから、もしcss原因ならゼロデイ攻撃でもユーザーはゼロデイ対処できる。
> Operaも確かそれができるんじゃなかったか。

スタイルオプションのことかね。
http://ranobe.com/up/src/up303896.png

CSSで透明レイヤー？
どどど、どうやるの？実験してみたい！！

つかどの機能が困ったちゃんって分ったら
proxomitoron使えばよくない？

>>349
その通りだね。そりゃ使ってるけどな。

投票ランキング系でさ、最近ヘンなのがあるんだ
OUT（閲覧）よりIN（投票）が上回って第一位
それまでがせいぜい2桁だったのに、400とか500のINなんだよ

こういうのに、使われてたりする可能性アリ？

ここにきて携帯電話のﾍﾎﾞﾌﾞﾗｳｻﾞ最強

モザイクは？

w3m使いの俺もｵﾜﾀの?

iframe?

firefoxでcss切るってどうやるの

嫌なもん出てきたなぁ。
携帯なので、実害なさそうだが、安心できないか。

何て事だ…OS2使ってる俺はどうしたらいい？

>>1
日本語でOk
フレームとかDHTMLとか基本的なHTMLの仕様にあるものを組み合わせたもんかね？
画像タグかな？

スクリプトとプラグイン止めたら、ほとんど見れないのと、同義な希ガス。

Justview が話題にも上らない件について

>>361

ATOKや一太郎、花子にシュリケンは、見たり、使った事があるが…Justview ってなぁに？
ジャストシステム謹製のブラウザ？

バカみたいなブラウザ使ってても自慢にはならんぞ

よく分からないんだがSlepinirは？

アウト

>>362
なんでもいいから、先ず『謹製』の意味と用法を
辞書で調べてから書き込め。

lynxって何よ？　携帯ゲーム機？

w3mも？

Amayaのことを忘れないでください・・・

> lynx
>>16

何これ？大昔に死滅したテキストブラウザってやつ？

昔はLynx使ってたな
2ちゃんねる見るのにも結構都合が良かったんだが

随分懐かしい名前があったのできました。

最強のウイルス来たｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗ

いつの話だよ。俺は気が付いたときからすでにカチューシャがあったわ。
それでも閉鎖騒動まではオミトロンとMDIBrowserに自作スクリプロ入れて使ってたが。

今でも、結構軽いから、コマンドラインでcronで動かす時に使っている例は多いな。

>>1
もっと技術的解説ｷﾎﾞﾝﾇ

>>2
真っ先にそれが来るかｗ

「セキュリティ・ゼロ」使ってればセーフ

ヤヴェ。勝手に洋ロリ動画とかＤＬさせられちゃったりするのか！

どうでもいいことだが
「きじゃくせい」と打って「脆弱性（ぜいじゃくせいの誤り）」と出るＡＴＯＫに怒りを覚えた

マジで間違える奴なんかいねえ・・・・・・はず

2009では「ていぞう」も注意されるな

>>1
DHTMLか

も…脆弱性

意味わかんねけどネットで見られたくない情報パソコンにいれなきゃいいんじゃね

XP、IE6で某大手ﾆｭｰｽｻｲﾄ(○○24)のﾆｭｰｽ動画見ようとしたら、
読み込み画面が動きがおかしくなり直後からﾉｰﾄﾝ君とｳｨﾙｽの激しい攻防が始まった。

ほかの作業が出来なくなるくらいの勢いで、ようやく隙を見てｳｨﾙｽの情報見たら9/18くらいに見つかったばかりの危険度高のもの。
ﾊﾟｯﾁを入れて再起動したら収まったけど、エロｻｲﾄ見たわけでもないのにこういうｱﾝﾁｳｲﾙｽソフト入れてなかったり、
ブラウザ自体の脆弱性なんか意味が分からない一般人からしたら怖すぎ。

どおりで。


俺のＰＣにエロサイトが200件も登録されたわけがやっとわかった。

>>385が面白すぎて吹く

危なさそうなのは、
・危ないショップで勝手に購入ボタンが押される。
・スパイウェアへのリンクがあって、勝手にクリックされて、パソコンが乗っ取られる。

前者は、ログインしていなければ個人情報は取れないから、使い終わったらログアウトを心がける（というより、危ないショップへは行かない）で自衛できそう。

後者は、Firefoxは警告がでるけど、IEはどうなのよ？

インターネットはバーチャルマシン上でやれってことですね。

Google Chromeなどが採用しているKHTMLはどうなのよ。
まあDHTMLがどうやら書いてあることから駄目だと思うけど。

とりあえずNoScriptでIFRAME禁止にした

てことは犯人は、
唯一影響を受けないブラウザを作った・・・

>>2
俺もw3mがメインなので、安全なのか知りたい。

今どきLynx使ってないやつなんているのかよ。

Google Chromeを使ってる俺は勝ち組

勝手にクリックさせるってつまりリクエストを出すってことでしょ
出来るに決まってるじゃん
自動ジャンプ機能がある時点で。

問題は利用規約の同意ページとかをこれで勝手に経由させて契約させるようなことかな？

なにいってんの？ばか？ばかなんだな？

クリックをさせるってのが脅威になる理由がよく分からない
サイト運営者が広告を自動クリックさせるとか？
ユーザーが気付かずにって書いてあるのはつまり描画領域０のフレームを作ってそこで表示させるとかか

ＣＳＳ+ＦＬＡＳＨで裏に置かれたリンクをクリックさせるなんてのが今頃問題になるのか。
でもクリックさせてその先に何を置けば攻撃になるのか？
単にリクエスト送るだけなら>>398の方法でも出来る。

でもGoogleが広告システムに困るだけで一般ユーザにとって攻撃じゃないし。

あー、ダウンロードや実行の許可も含めて勝手にやってしまえるのか。
でもそれFlash動作させてる時点で出来るし。

クリックジャッキングで商品買わせられないだろ
情報打ち込みあるのに

２ｃｈしかしないおまえらには関係ない話題だなｗ

さっきからキジャクセイって・・・
ゼイジャクセイじゃないのかっ

Lynxっていう携帯ゲーム機があったよね

カラーがウリだったね。

>>5
イエローホールw

>>400
カートに入れる→いつもの住所を使う→確定

>>401
リンクをブラウザで開くくらいはするだろｗ

脆弱性
もろよわいぜ

OmniWebの俺は勝ち組

今まで気になってたが風博士でも入れてみるかな。

あれ

パッチいつでんのー。

フラッシュのゲームをやっていて、色んなところの敵をクリックしてると、
実は「透明にして被せられた」mixiやgoogle calendarなんかの自分のアカウント
の設定画面の「情報を公開にする」のチェックをクリックしていたりする。
銀行サイトなんかはログオン状態にしとくってことは無いだろうけど、ショッピング
サイトなんかは、透明に被せられたら、「自分のアカウントでいつの間にか
変なものを沢山買っていた」ことになる。
クリックで用事が済むようなモノは、全てコントロールされてしまう可能性が
あるっつーことで。

この攻撃での大問題は「怪しいサイトのボタンやリンクが押される危険」ではなく
「普通のサイトで自分のアカウントを使って勝手なボタンが押される危険」なので。

what you see is what you get

＞しかしそこに危険はないとMichiel氏はこう反論した「普通のサイトなら大丈夫だろう」

　　　　　　　　　　　　　　　　　　　 ｨ　‐―- ､__
　　　　　　　　　　　　　　　 ,-‐ｧ´/　 ∠-―‐-､‐ ､　　　　 クリックジャッキング・・・？
　　　　　　　　　　　　　　 〃 ＿,':　 /-―――-＼ ヽ
　 　 　 〃　 ￣￣＼　　入{≧ 7:　/::../:/: 　　,ｲ}ﾊ:＼l　 　これって、要するにリンクを操れるって事なのかしら。
　　　　 |　　　　　ヾヽｰく<ﾞ{:ﾅ./.::..,'::/厶!:.　／l:: i:::}:!:バ―――― --　 、
　　　　 |　　　　　　 !l 　 ¨ヽYl:::::::l:ハ{八Ｘ_ ,　l:;!ィﾘ:: } }´　　　　　　　　　ヽ　　そんなの、ポップアップやら表示した
.　　　　 l　　　　　　　l　　　}=l:::::::ｌ:{ ｬtr-ｭﾐ　 jﾉtrｧﾙリ!　　　 ∠彡　　　 /
　　　　　l　　　　　　　l　ノ人fl:::::::ｌ　　`ｰ'　　　､｀' {´ｲ::|　　／　　 　 　 ./　　　途端に別のURLに移動したりやら、
　　　　　 l　　　　　　　k≠＾ヽ|:::::::l 　　　 　 ＿ ,　 八i ::|'／　　　　　　 /
　　　　　　l　　　　　　　ﾍ＼::ハ :::ﾊ.　 　 '´‐,‐'　ｲ::::l|::l　　　　　　　／　　　　　極めてごく普通に遭遇するトラップ
　　　　　　 ヽ　　　　　　　{ハ､::ヽ::::i＞ , ､.. _／:/:: / ﾘ　　　　　 .／
　　　　　　　　ヽ　　　　　　　|ﾍ:::jヽ::! fﾍ　ヽ::::/{::./　　　　　　／　　ページじゃないの。
　　　　　　　 　 丶　　 　 　 !| |lV j/|>‐<ﾍ　ヽ{ﾊ:{　　　　　／
　　　　　　　　　 |~＼　　　 i | |l　　 |ﾆ二ﾆ!　|| !　　　　／　　ニコ動で別の動画に飛ばされる釣り動画みたいなものね。
　　　　　　　　　 |　 | ヽ　 ./ | |l　　 |　　　ｌ.　|| !　 ＞'´
　　 　 　 　 　 　 ヽ_|　ﾍメ 　| |l　　 |　　　ｌ.　|| !／　　　　例えば、ある動作を了承するはいorいいえのダイアログの
　　　　　　 _ ＿＿__l　　　　　l ｌl　　 |　 　/　/ｲ
.　　　　　〃〃　　　l　　　　　＼＼　l{{T}/／ /　　　　　　存在意義を無くせるなら、大変な問題だけど。

絵のうまい漏れが　どこにいるか当ててみろお！
http://www.id.yamagata-u.ac.jp/Urology/sutaff06.html

クリックさせたいページを自由に踏ませることでSEO的にどうにかなっていくとかそういうこともあるんだろうかね？

　　　　　　 ／:::／:::ヽ-､
　　　　　／:::::::::::::::::::::::::}￣`ｰ､.,_　　,,　　　　 ・・・・・・。
.　　　　/::::::::::::::::::::::::::::/::::::::::::::ﾍ,＼く
　　　 /:::/:::::::::::::::::::::::/::::::::::::::::::::ﾄ､ i:::ヽ､　　 ニュースサイトにリンクしてあった概念実証
.　　　i:::/:::::::::::::::::;:::::/::::::::::::::::::::::i:::i .|:::ヽ:i
　　　|:::i:::::::::::::::::/:::::i:::::::::::::::::::::;;ｨ､:ﾚ:::::::::ii|　　コード、すなわちクリックジャッキングの例
.　　　|::|:::::::::;::::/:::::i:|::::::::::::::::::<ｨif.i::|:::/::::} |
　　　 i:|i:::::::::i:/:::::/ﾘ:::::::::::::::::::/i.|Y::|:/::::/　　　のソースを見たけど、こんなのただのタグ
　　　　i|ﾔ ﾄ::i::::::/:::::::::::::::､,ｨ<./.|_|::|'.i／
.　　　　　〉ﾄ}:}::::/'"'’`ｰ".,..,ィｰｧ,､::|　　　　　　じゃない。
　　　　,.ｲ　ﾉﾊﾘ ＼ .,ｨｰ/ .ソ / i ﾄ,i
　　 ／　　　,,.ｨ,.ﾆ=´ヽ, {＿,__.,.,.ィ´　　　　　　 これのためにnoPluginとか、大袈裟過ぎるわ。
.　 /　　　／／　　　　 ＼-ーｷ
ZD Net Japan↓
http://japan.zdnet.com/sp/feature/07zeroday/story/0,3800083088,20381029,00.htm?ref=rss
研究者が示したクリックジャッキングの例↓
http://www.breakingpointsystems.com/community/blog/clickjacking

我が家に今ピザの配達がきた
L１０枚
やられたあああ

これって、カーソルをリンク先に乗せたときに左下などに表示されるURLを見て、
クリックするか否かを判断することで回避できないものかね？
とはいえ、フラッシュなどで表示されないサイトも多い訳だけど。

　 |l､{　 　j}　/,,ｨ//｜　　　　　／￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣
　 i|:!ヾ､_ﾉ／ u {:}//ﾍ　　　　　|　あ…ありのまま 今　起こった事を話すぜ！
　 |ﾘ u' }　 ,ﾉ　_,!V,ﾊ |　　 　 ＜　『おれは○○のリンクをクリックしたと
　 fト､_{ﾙ{,ィ'ｅﾗ　, ﾀ人.　　　　|　　思ったらいつのまにかエロサイトに飛ばされた』
　ヾ|宀| {´,)⌒`/ |<ヽﾄiゝ　　　|　催眠術だとか超スピードだとか
　　ヽ iLﾚ 　u' |　| ヾｌﾄﾊ〉. 　　|　そんなチャチなもんじゃあ　断じてねえ
　　 ﾊ !ニ⊇　'／:} 　V:::::ヽ.　│　もっと恐ろしいものの片鱗を味わったぜ…
　 /:::丶'T'' ／u'　__ /:::::::/｀ヽ ＼＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿

仮想PCとかいう次元の話じゃないんだ？汗

>>421分けてよ(*´∀`)

　　　　　　　　　　　　　　　　　　　　　　　　　　　　　 /＼
　　　　　　　　　　　　　　　　　　　　　　　　 '" ￣￣ {　　 ￣￣｀丶､
　　　　カチャカチャ・・・　　　　　　　 ／／: : : : : : : j: : : : : : : : : : : :＼
＿＿＿＿＿＿＿＿＿＿　　　　　／' 7: : : : : / : : ∧: l: : : : ＼: :＼-=ﾍ＿
三三三三三三三三三ミ∧　　　　　 /: : : /: /: : :/: ハ:ヽ : : : : l: : : ∨:7（_厂＼　　　>>423、おめでとう、罠リンクよ。
　　　　　　　　　　　　　　|lll|.　　　　 /: :/ /.: :|: :⌒:/　 ヽ {＼⌒:| : : : ∨　│　　〉
　　　　　　　　　　　　　　|lll|　　　　/: ;ｲ:│.:.:.| :/∨　　　 ヾ　＼j: : :ヽ:ﾊ.　 |l　 /　　　みなさい。
　　　　　　　　　　　　　　|lll|　　　　�W│ |.: : :!fて汽　　　 ｲう汽ｽ: : : ｌ: |　 |:∨
　　　　　　　　　　　　　　|lll| 　 　 　 　 V:! : :ﾊ! V:rﾘ　　　 {ﾄ:::rﾘ　ﾍ : | :ﾄ､ﾉ! :!　　　　 htmlのソースを表示してみなさい。
　　　　　　　　　　　　　　|lll|　　　　　　 ﾍl :.:{小. ゞ''　 ,　　 ''ヾ'　　＾∨Ｎ : ,'.:│
__, 　　　　　　　　　 　 　 |lll|　　　　　　　∧ : ｊ:人xx　　rっ　 xｘｘﾍー/: : :/: : |　　　　　っていうか、普通にエロいサイト
l│　　　　　　 　 　 　 　 |lll|　　　　　　　|: ∨:|: : :`ｰr-ｚr　 ｧ＜. /／: : :/: : : |
l│　　　　　　 　 　 　 　 |lll|　　　　　　　|: : : :|＼:_;斗'　>‐く　　〃: : : :/l : : : |　　　　　巡りとかしてれば経験するわよね。
l│　　　　　　 　 　 　 　 |lll|　　　　　　　|: : : :l /-―|o/ O∧o/: : : : :∧|.: : :│
l│　　　　　　 　 　 　 　 |lll|　　　　　　　|: : : :|' {　　 ｀| 　 |　7: : : : :/　│: : :.|　　　　　巨乳美女の画像にマウスを乗せると
l│　　　　　　 　 　 　 　 |lll|　　　　　　　|: : : :|　Ｖ￣| | O | /: : : ／ 　　!: : : :|
l│　　　　　　 　 　 　 　 |lll|　　　　　　　ヽ: : :|　{____,| | 　 |,' : ／　　　 │: : :.|　　　　　ガチホモページへ飛ばされたりとか。

>>104
先輩を狙っていたら、いつの間にか幼なじみとできていたのかお前は・・・

みなさい・・・。
まあ、これはアレよ（ry
>>421、C.C.がいれば良かったんでしょうけど、
確か最萌トーナメントではアレだったわ、多分。
　　　 ＿_
　　, ´,r== ､ヽ　
　　!くｌ人ﾉ从)ﾄ､ｶﾀ…
　　Wﾘ ﾟдﾟﾉiﾉ　　ｶﾀﾀﾀ…
＿ /つ/￣￣￣/＿
　　.＼/　　　　./

ん〜、たとえばスタイルシートでもページ内の任意の場所にリンクとかボタンを持ってこれるんだよね。
それを使うのかな〜。
あるいは、最近、広告が拡大するフラッシュなんかあるけど、
見えない広告が拡大する感じなのかな。

もしそうだとしたら、対策たてるのが難しそうだね。ページ内のリンクやボタンの範囲が
「表示されるべき領域」以外に表示されているかチェックしないといけない・・・。
正規のサイトでも、スタイルシートを使って任意の場所にオブジェクト移動したりしているから、
もしこの対策がうまくいったら、正規のサイトでもきちんと表示されないってことが起こるかも...。

ただ、「表示されるべき領域」以外に表示されているかのチェックはウィルス対策ソフトでもできるかもね。
動作がめちゃくちゃ重くなりそうだけど・・・。

こういうこと(うっすらと見えるのは本当は透明だが、クリックはそのまま反映される)
ttp://wktk.vip2ch.com/vipper104543.jpg

きじゃくせい（←なぜか変換できない）
どうやんの？

これって、>>414の言うように登録制サイトで悪用する以外、特に被害はなくね?
偽名登録がデフォのねらーの方々なら問題ないな。
やったとしても、ランキングサイトのリンク踏んですぐ戻る、とかそんな感じでしょ。
クリック広告とかでやったらすぐにアカ停止だし。

なんで「きじゃく」と読むんだか…
>>430
コピペして再変換

iモードなんて初期には＜img src="tel:110"＞なんてタグ埋め込んだページ開くと
確認もなしに勝手に１１０通報するセキュリティホールがあったんだぞｗｗｗ

>>432
ふいんき（←何故か変換できない）を壊す人って言われない？

　　　　　　　 ／　　　　 ヽ　, 　 -‐…- ヽ ／ >、　　 ＿＿＿___
　　　　　　／　　　　 　　／　　,　' "￣ ヽ＼二}ﾆﾆ!´　　　　　　ol丶、　　　　　特に何の変哲も無いリンクタグね。
.　　　　　/ 　　　 , 　/／　 ／　　ヽ　ヽ ヽヽ ﾆ'ｬ- ､］｀ ' ¨￣ ~¨└ ､ヘ
　　　　 / 　　　　l 　|'　 ／,'　　　、 ヽ　| ,Xヽ ! |　 　,　, 　,'　　 ､　　`くヘ　　　 SOS団のホームページからみくる
　　　　/　　　　　ii　! / 　 !　　　 ﾊ　ハ!',z=| /.ﾘ　　,'　l　 !　 　　＼　　＼ヘ　
　　　 ,' ,'　,'　　　 l 　!/!　 |　　 / / /　 ″ ,|ﾊ　!　/ / |　 ! 　 | 　　ヽ　 ､ ヽ ヽ　ちゃんの画像満載のページに飛ぶ
　　　 |│ |　　　　!　 l | 　,ﾄ ｰ/- ﾚ' 　　　ｲ　 | | /|/ ,ムイ !　 !　 　 }　　|　|　!
　　　 |││　! ／ !　ヽ＼八/,z≠　　 　 _,! 　ﾚﾊl￣　 　 ﾚヽ ﾑ､　　|　l　l ﾘ　|　 クリックジャッキングを配置しようしら！
　　　 | |　 !　|く ム>、 ヽ ヽ ″　 　､_ r'´｀|＼| r=＝z　　 　 ヽ!''く. / 　!│ !　l
　　　 | |　 |　|l //l| |ヽ 　 へ ＿ __　.... ヽ.」 　!　.:::::::::..　　　 r=z ∨　 ﾊ/ﾚ'　,'　　ねー、みくるちゃん。
　　　 ﾚﾍ、|　|//　! !ヾ｀ｰ ... , 　>-､ ヽ、 │　|　　　 , - ､..　.:::::::. /}／ /! 　/
　　　　　 ヽ! /Vﾊ ! |　／／　　　　　　 ＼|___.! 　　 L　　　 ） 　 ﾉ　|　 | 　/
　　　　　　 ﾚ'　ﾘ　V|〃/|　　　　　　　　　　//.＼ 　　 ｀ ｰ'　,　'、　ヽ　レ'　　　ひぁあああ〜！
　　 　 　 　 　 　 　│/　!　　　　　　　　　/// 　 ＞ , ｰ＜¨　　丶　 !　!
　　　　　 　 　 　 　 |ﾊ 　ヽ. 　 rr､　　　　| /ｲ !ヽ　/　　　　　　　| 　|　ヽ　　　　　　>>433、画像を表示するタグで電話が
　　　 　 　 　　 　 　|　|　 　/l// /r､ 　 　r| |　ﾄ､ヽ|__r‐-､　　　ノレﾘ　　＼
　　 　 　 　 　 　 　│ |　　〈│!│| l　　　!ヽ＼ 　 　 ｀ 　 }−¨　 　 　 ヽ　　ヽ　　　掛かるのは恐ろしいわね。
　　　　　 　 　 　 　 |　ヽ 　 ヽ! | l　 ヽ --L`ﾆ- ､＿___　 / 　, '　　 　 　 !　　ヽヽ
　　　　　　　　　　　 ヽ/ ゝ　　＼　　　＼　 ,' 　　 |　　　/ 　/　 　　　　/ 　 i　ﾊ |　ダイヤルQ2で儲け放題じゃない。

>>431
Amazonなんかだと、カートに入れるとこまではいくがその後の「注文する」時に
再度パスワード要求されて、何とかセーフかな。カートの中身くらい注文前にチェック
するだろうし。

あと、説明ではなんか「本体のセキュリティ設定まで云々」ってのをどっかで読んだが
まさか、なんでそんなことが可能なのか、って感じだわ。

ただ、WebベースでGUI設定するようなソフトなら、ありうるのかね。パスワード入力
して放置、なんてことはあまり無いだろうし、普通は一定時間で期限切れるだろうが・・。

クリックジャンクス知ってる知ってる。
ハリポタに出てきた猫の名前だよな。
従兄の娘に教えてもらった。

　　　　　　　　─=＝フ¨´　 　　　￣|　　｀`'ー- ､
　　　　　　　　　　／,　 　 　 　 / ,ィ'|　 ヽ　　　　 ヽ、
　　　　　　　　 ／／ /　　/　 /〃 | | | 　 ヽ　　　　ヾYニヽ、　　>>436、それもクラッカーがAmazonのサーバーに
　　　 　 　 　 /,ｲ　 / 　 /　〃/, 　|│!、 　 ',.　 　ヽ　|:.:.:ﾍ:.:.＼
　　　　　　　/ /　 ,'　　/　孑|'" 　 l　!|　＼　}　　　 ∨:.:.:.:.:',:.:./　アクセスできる前提の話じゃないの。
　　　　　　　 /　　i　　,'' /　 j　　　ｌ　||　 ヽ |`ｉ　　　 }:.:.:.:.:.:.∨
　　　　 　 　 | 　 /　　|/{!7メﾐ、　　　 | _　_土 l|　 |　|:.:.:.:.:.:.:.|　　 そんなんだったら、もっと致命的な攻撃方法が五万
　　　　　　　 |　/ |　 ｌﾑ　{:::::::}　　　　 'fて::;;;}７}　 ﾄ､|:.:.:.:.:. 丿
　　　　　　　 |/　 |　│il　ﾋ辷　　　　　{::::::::ｿ　|　 |　|￣￣ |　　　とあるわよ。
　　　　　　　　　　|ヽ∧}　'　　　,　　　　` ｰ'′ |　/）　　,'　 |
　　　　　　　　　　|　| | `　､　　 r‐┐　　　　 　|/ノ　　/　　|　　　Amazonのページがいつのまにか楽天へ飛ばされる
　　　　　　　　　　|　| l　 　 |＞.､`___ .. 　 -‐'ア 　 　 /l　　 |
　　　 　 r‐‐'"¨¨V　| |　 　 |　　|　 ／　＼／　　　 /　|　　 |　　　ようになってるとか、注文単位を100倍にして異常な
　　　　　 ≧=　　 �Y |　 　│　/-<　　 〃 　 　 ／ 　 |　　 |
　　　　と´r─'　 _,イヽ、　 ,レ'|::::::∧　/　　　 イ　　　 |　　 |　　　取引を行わせるとか。
　　　　　 `ー┬´　　　|　 /　 厂::|　∨　 　 / │　　 │　　|
　　　　　　　　|　　 　丿 /　 /:::::::|　/　 　 / 　 |　　　 |　　│　　 まあ、後者はクリックジャック有りの方が面白いけど。

あぁワンピースの北米版のシャンクスのことだろ？

で、せっかく影響のﾃﾞｶｻからアナウンスを控えてたのに
解決策なしのまま公表する意味は何?

ネットスケープ使いのおいらは大丈夫でつか？

>>420
一気に危機感がなくなったｗｗｗｗｗｗ

Lynxってアタリのゲーム機だっけ？

テキストブラウザ以外全滅ってことで？

>>438
被害者がログインしたままにしてると、「そのページを透明にして上のレイヤーに表示」させられる。
クラッカーがAmazonにアクセス出来るのではなく、形の上では被害者がアクセスし、その時の
マウスのクリック意図をクラッカーが乗っ取るという形になる。だから「クリックジャッキング」。

あくまでも、被害者がAmazonにログオンし、被害者がクリック操作をしてボタンを押してしまう。
クラッカーは、被害者が「自分がログインしたAmazonのページで操作している」と知らないままに
特定の「場所」をクリックさせるような「仕掛け」を提供するだけ。

amazonにアクセスして「こんにちは、○○さん」と自分の名前が出てきている人は、ログインした
ままになってるので、そういう仕掛けで要らぬものをカートに放り込まれる可能性はある。

洩れのw3mは？('A`)

operaで解決

＊＊＊恐らく多くのデスクトップが影響を受ける脅威の攻撃＊＊＊
ttp://moech.net/imgboard777/src/1222420418143.jpg
ttp://moech.net/imgboard777/src/1222420432878.jpg
ttp://moech.net/imgboard777/src/1222452716739.jpg
ttp://media.tumblr.com/tRmwSzfAceabi0r32JRsU2Qro1_500.jpg
ttp://sylphys.ddo.jp/upld2nd/neta2/src/1222395355252.jpg
ttp://media.tumblr.com/5sJJNNDxldzmtglvd1d35ToIo1_500.jpg

>>447
しないよ

言いたいことを>>2に言われてしまった

そういえばもしかしてw3mのローカルCGIでp2使えたりする？

悪意のあるWebサイトなら何でもできるんじゃね？

arachneは？

対象スレ：【話題】Lynxを除くほぼ全てのブラウザが影響を受ける脅威の攻撃「クリックジャッキング」
キーワード：w3c


抽出レス数：0

>>453
Amayaですね。わかります。

>>454
ググって今知ったｗ

ぶっちゃけネットだけなら古いパソコンに何も入れないでやって、
必要あるときだけ外部のメインパソコンを使うのが一番・・
と思いつつ新パソもネット用パソコンも買わずにはや二年。

わしはいつまで学生なんじゃ・・・

意外とw3m人気で安心した

『ZoneAlarm ForceField』
ttp://www.junglejapan.com/products/sec/zone/zaf/
これの出番かw
重いらしいけどww

なんでline mode無視したん？

gnome-terminalとxfce4-terminalでw3m-imgが動作しない
言及してるブログも少ないしあんまり需要無いのか…

>>420
変態新聞糾弾のスレで、オタセンス丸出しのAAつき煽りコピペばら撒いてるのはお前かw
いつもいつも、オタ趣味がない人間から見るとセンスがズレてるぞ。

最近、寒くなってきたわねえ。
>>445、ログイン操作はクリックを掌握するだけじゃできないわよ。
ブラウザ上のサブミットボタンは、上でレスしたコードである程度押せるけど。
Amazonのような会員制の所はパスワードやIDが必要だし、
そうでない所は住所や電話番号を入力しないとならないじゃないの。
　　　 ＿_
　　, ´,r== ､ヽ　
　　!くｌ人ﾉ从)ﾄ､ｶﾀ…
　　Wﾘ ﾟワ ﾟﾉiﾉ　　ｶﾀﾀﾀ…
＿ /つ/￣￣￣/＿
　　.＼/　　　　./

>>462
>>445ではないが、>>445は、既にログインしている（最後の操作からログアウトしていない）ことを前提にしているように読めるが。

>Amazonのような会員制の所はパスワードやIDが必要だし

要らないでしょう。

例えば、今
ttp://www.amazon.co.jp/gp/product/4167110075/
のリンクをクリックしたときに、一番上に「こんにちは、(個人名)さん」と書いてあれば、
キーボードからは何も入力せずとも既に「ログインしている状態」。
カートのボタンは、すでに「あなた個人のカート」のボタン。

最低でも、IDでログインするタイプのサイトは、途中で他のことをせずに用事は速やかに
終わらせ、用事が済んだらきちんとログアウトしておこう。まあこんなスレ覗いてる人には
常識なんだろうが。

amazonトラップはamazonドメインのページを踏んだだけで住所流出だった気がする

パスワードもIDもブラウザが勝手に入力するとこういうまずいことが起きるけど
出先でPCを使ってる自分は手の動きでパスワード丸見えなので
省略してくれた方がむしろありがたかったりする

　　　　　　　 ／　　　　 ヽ　, 　 -‐…- ヽ ／ >、　　 ＿＿＿___
　　　　　　／　　　　 　　／　　,　' "￣ ヽ＼二}ﾆﾆ!´　　　　　　ol丶、　　　　　>>646、なぜ探偵ガリレオなのか気になる
.　　　　　/ 　　　 , 　/／　 ／　　ヽ　ヽ ヽヽ ﾆ'ｬ- ､］｀ ' ¨￣ ~¨└ ､ヘ
　　　　 / 　　　　l 　|'　 ／,'　　　、 ヽ　| ,Xヽ ! |　 　,　, 　,'　　 ､　　`くヘ　　　 所だけどそれはいいわ。
　　　　/　　　　　ii　! / 　 !　　　 ﾊ　ハ!',z=| /.ﾘ　　,'　l　 !　 　　＼　　＼ヘ　
　　　 ,' ,'　,'　　　 l 　!/!　 |　　 / / /　 ″ ,|ﾊ　!　/ / |　 ! 　 | 　　ヽ　 ､ ヽ ヽ　前に入手が難しい古本を買った事があるから
　　　 |│ |　　　　!　 l | 　,ﾄ ｰ/- ﾚ' 　　　ｲ　 | | /|/ ,ムイ !　 !　 　 }　　|　|　!
　　　 |││　! ／ !　ヽ＼八/,z≠　　 　 _,! 　ﾚﾊl￣　 　 ﾚヽ ﾑ､　　|　l　l ﾘ　|　 アクセスしてみたけど、これって会員でも普通に
　　　 | |　 !　|く ム>、 ヽ ヽ ″　 　､_ r'´｀|＼| r=＝z　　 　 ヽ!''く. / 　!│ !　l
　　　 | |　 |　|l //l| |ヽ 　 へ ＿ __　.... ヽ.」 　!　.:::::::::..　　　 r=z ∨　 ﾊ/ﾚ'　,'　　 アクセスしただけではログインできないようね。
　　　 ﾚﾍ、|　|//　! !ヾ｀ｰ ... , 　>-､ ヽ、 │　|　　　 , - ､..　.:::::::. /}／ /! 　/
　　　　　 ヽ! /Vﾊ ! |　／／　　　　　　 ＼|___.! 　　 L　　　 ） 　 ﾉ　|　 | 　/
　　　　　　 ﾚ'　ﾘ　V|〃/|　　　　　　　　　　//.＼ 　　 ｀ ｰ'　,　'、　ヽ　レ'　　　ひゃはっ！す、涼宮さぁああ〜ん！
　　 　 　 　 　 　 　│/　!　　　　　　　　　/// 　 ＞ , ｰ＜¨　　丶　 !　!
　　　　　 　 　 　 　 |ﾊ 　ヽ. 　 rr､　　　　| /ｲ !ヽ　/　　　　　　　| 　|　ヽ　　　　　　yahooやexciteとか同じで、あくまでユーザーが
　　　 　 　 　　 　 　|　|　 　/l// /r､ 　 　r| |　ﾄ､ヽ|__r‐-､　　　ノレﾘ　　＼
　　 　 　 　 　 　 　│ |　　〈│!│| l　　　!ヽ＼ 　 　 ｀ 　 }−¨　 　 　 ヽ　　ヽ　　　一度手動でログインした状態にないと駄目なのよ。
　　　　　 　 　 　 　 |　ヽ 　 ヽ! | l　 ヽ --L`ﾆ- ､＿___　 / 　, '　　 　 　 !　　ヽヽ 　

　　　　　 ＿　─｀　　l　 　 　 　 　 ､　　`ｒ＜￣:::/
　　　 ／ 　 　 　 　 ,　〉.　､　　 　 　 ＼__j:::::::＼_|_
　　∠ -─ フ´　　 l ./|ヽ_ﾍ＼＿_＼　､＼:::::::::::::::::＼　　したがって、セキュリティ上の問題性は
　　　　　r'/　/　　｜|　!　ﾍl　 ＼_｀ヽ　＼ヽ、::::::::::::/
　　　　　〉　/　　-７l.!　l　　ヽ　 　＼ ヽ　ヽ､ヽ:::::::::人　さほど大きいとは言えないわ。
　　　 　.'　,'　 !　　i　l　　 　 　 ＿_,rz ヽ}　ヽl ｀::／　 ＼
　　　　 l /:l　 |　　|　 _,,z 　 　 ＝＝"　rへﾍｰ!´ヽ, ‐, 　＼　　IDはクッキーで自動入力される所も
　　　　 K__| 　ヽ　ﾊ彡"　　　 _　　　　 __,イ｀ rﾍ / /.　　 　＼
　　　　　　 l 　/入!､!　　 　 く 冫 　 ／　! !　 l　i' /っ､　 　 　 ＼　　多いでしょうけど、パスワードは
.　　　　　　 ∨/　/ .>､　＿＿___ ／l´ヽ､j/　 f　 {　｀l　ヽ　 　 　 ＼
.　　　　　　　 ,'　/　/　!　　| /:::;j_　/:::::::/　　A　そ_,ﾍ 　 ＼.　　　　＼　たいてい手入力だもの。
　　　　 　 　 l　/　/　 |　 イ:::::|´ ｀!:::::::/　　//::ヽ／　ﾊ､_ 　＼　 　 　 ＼
　　　　　　　 |/ 　,　　 |,ﾊ:ヽ::::|　 ,'::::::/　　//:;;／／'／ﾉ　l 　　＼.　　　　＼　シマンテックの更新を
　　　　　　　/　　,　 　 !ﾍ〉､ヽ:! .,':／//　/. ＼／／ ／ 　 ヽ 　 　＼　 　 　 ＼
　　　 　 　 /　　,'　 　 ﾉ///}_ﾍ!.!/´//　,'　＿ ｀l､／ 　 　 　 }　　 　 ＼　 　　　＼　してない方がまだ
　 　 　 　 ,'　　 ,　　 /k　 '　' ﾄV/'//　 l　　　 i､｀ヽ、　 　　/　　　　　　＼　＼ 　 ＼
.　　　　　 !　　 l　　ｲヽ、ヽ､△ヽｲ/!　　!　 　　 ＼ 　￣￣　　しも問題性が高いわよ。

Lynxってなんぞ？

w3mもアウト？

>>356
Preferenceツールバーとか

WebBoyも危険なのか？

>>467
＞IDはクッキーで自動入力される所も
＞多いでしょうけど、パスワードは
＞たいてい手入力だもの。

は？

>>472
稀にあるよ、そういうサイト。クッキー見てIDを送ってくるというのが。
>>466の書き方を見ると、詳しくなさそうだから、勘弁してあげて。

　 {:::::::: | /::::::::::::∨ /: : : : : : /: : : : :/:.:| !: : : : : : : : ＼:::ヽl
　 ヽ::::: |.!:::::::::::: /: :{: : : : : //: : : : ,ｲ: :/ |:ﾄ､ : : : i: : : : ヽ::::〉
　 　 ＼|l::::::::::::/: :,ｲ: : : : ィ7ｰ-､ / |: /　|:.! ,X: : :}: : : : : :.V
　 　 　/l､::::: / ／ |: : : :/ ｲ: : ／ 　!/　 l:.|´　∨ |: : :i、.: : !
.　　　 l: :ｌ￣ |/r‐､ｌ: : :./／|／　　　　　 |/__ ,ィ.: :|: : :|ヽ: : :!
　　　 l : :!: : :.:.{ ヽ.|:.:.:/ﾔ乍牙气　　 　 斤ァ/ハ:|: : :l 　＼|　　>>472-473、稀に？
.　　　| : :!: : :.! ﾄ､_.l／　　{:辷.ｿ 　 　 　 辷/{: :∧!: :/
.　 　 | : :ｌ: : :.l≦ミヽ ヽ　,,¨￣ 　 　　,.　　 　}/:.:!:.∨|　　　　　　クッキーでのID入力が稀に？
　　　l : : ! : /　 　 ＼＼＼ .____(^ｰｧ____,.　イヽ:.!: :.:.:|
　 　 | : : l:.:,'　　　　　,.ヘ_と}_}_}_]≧、 　｀ヽｰ┴‐-､:|　　　　　　例えば2chのハンドルネームも（ry
　 　 | : : ｌ:.|　　　 '"´　　 　 　 ヽヽヽヽ- ､　　　 　 ｝!
　 　 | : : l:.{　 　 　 　 　 　 　 　 {:.:{:.:{:.{　 〉　 　 　 {--―ｧ
　 　 |: : :.l:.|ヽ、　　 　 　 　 　 　 }:.:}.:.}.:}ｨﾉ＿＿＿_〉＜´
　 　 |: : :.:/　/＼_______,.　-‐一'¨´i￣¨´:.i:.:.:.:.:.:.:.:.:.:.:.:.:.:.ヽ
　 　 |: : /　/:.:.:./:.:.:./:.∧:.:./:.:.:.:,ｲ:.:.:.:.:.:.:.}:.:.:.丶:.:＼.:.:.:.:.:.:.＼
　 　 |: :.{　 {:.:.:/:.:.:./:.:（__）:!:.:.::./ |:.:.:.:.:.: ∧:.:.:.:.:.ヽ:.:.ヽー----ゝ
　 　 |: :.l/　!:.:.!:.:.:.:!:.:.:.:.:.:.､l:.:.:/　.!:.:.:.:. /　 ヽ／:.: i:.:.:.:ヽ
　 　 |:.:/　 .|:.:.!:.:.:.l:.:.:.:.:.:../「:ﾒ､__,|:.:.:.:/ ､_／ ヽ:.:.:.|:.:.:.:.:.i　　はいはい、exciteもその他のページも
　 　 l:/　　 |:.:.! :.:.!:.:.:.:.:/　|/＿　|:.:./　　＿___ ∨:|:.:.:.:.:.|
　 　 |{　　　|:.:.!:.:/!:.:.:./|≡≡≡ .!./　　 ≡≡=.ﾄ､ﾄ､:.:.:.:|　　みんなクッキーで自動入力ですよ。
　 　 |: >､___|:.:从_|:.:./: |　　　　　　　　　　　　’|:.:.|:∧:. |
　 　 |/　　/|:/:.:.:!|:/:.:.:.!　xxx　　　 __　 　 xx ノ:.:.l/　∨　　　パスワードはともかく。

殿様Lynx

このAA馬鹿が大好きそーなニコニコ動画なんかは
どう見てもパスワード手入力じゃないけどな。
ほかにgoogleも自動、amazonも自動、yahooも自動、
素人相手だといちいち手入力しないといけないようなログインシステムは逆に煩雑だと叩かれるから


まぁ詳しくないことはさておき身近な例も思いつかない池沼なんだろう

サイトによって色々あるでいいじゃん。
めんどくさ。

　　　　　　　＼_ー､ _f ヽ, ‐───-　､
　　　　　 ＿　─｀　　l　 　 　 　 　 ､　　`ｒ＜￣:::/
　　　 ／ 　 　 　 　 ,　〉.　､　　 　 　 ＼__j:::::::＼_|_
　　∠ -─ フ´　　 l ./|ヽ_ﾍ＼＿_＼　､＼:::::::::::::::::＼　　>>476、amazonは自動じゃなかったと思うわよ。
　　　　　r'/　/　　｜|　!　ﾍl　 ＼_｀ヽ　＼ヽ、::::::::::::/
　　　　　〉　/　　-７l.!　l　　ヽ　 　＼ ヽ　ヽ､ヽ:::::::::人　>>436もそう言ってるわ。
　　　 　.'　,'　 !　　i　l　　 　 　 ＿_,rz ヽ}　ヽl ｀::／　 ＼
　　　　 l /:l　 |　　|　 _,,z 　 　 ＝＝"　rへﾍｰ!´ヽ, ‐, 　＼　　ニコ動は基本無料なんだもの、それでいいじゃない。
　　　　 K__| 　ヽ　ﾊ彡"　　　 _　　　　 __,イ｀ rﾍ / /.　　 　＼
　　　　　　 l 　/入!､!　　 　 く 冫 　 ／　! !　 l　i' /っ､　 　 　 ＼　　つまり、料金が発生したり契約を交わしたり
.　　　　　　 ∨/　/ .>､　＿＿___ ／l´ヽ､j/　 f　 {　｀l　ヽ　 　 　 ＼
.　　　　　　　 ,'　/　/　!　　| /:::;j_　/:::::::/　　A　そ_,ﾍ 　 ＼.　　　　＼　するようなセッションは、大抵パスを
　　　　 　 　 l　/　/　 |　 イ:::::|´ ｀!:::::::/　　//::ヽ／　ﾊ､_ 　＼　 　 　 ＼
　　　　　　　 |/ 　,　　 |,ﾊ:ヽ::::|　 ,'::::::/　　//:;;／／'／ﾉ　l 　　＼.　　　　＼　クッキーで入力しない所が多いのよ。
　　　　　　　/　　,　 　 !ﾍ〉､ヽ:! .,':／//　/. ＼／／ ／ 　 ヽ 　 　＼　 　 　 ＼
　　　 　 　 /　　,'　 　 ﾉ///}_ﾍ!.!/´//　,'　＿ ｀l､／ 　 　 　 }　　 　 ＼　 　　　＼　お分かりかしら。
　 　 　 　 ,'　　 ,　　 /k　 '　' ﾄV/'//　 l　　　 i､｀ヽ、　 　　/　　　　　　＼　＼ 　 ＼

　　　　　　　 ／ : : ; : : /_.．-───-　._: :＼
.　　　　　 ／ : ; : :/: : /´　＿＿＿＿＿＿＼: ヽ
　　　　　/: : _/: :/: : 厶 '´: : : : : : : : : : : : : :｀ヽ: ﾍ　　　それから>>473は、クッキーによるID入力が稀だと
　　　　 /:／ ,.'７: : :/: : : :|: : : : : : : : : : : : : : : : ﾍ: ',
　　　　/'　, '/ i: : : :|: : : ∧ : : : : : : : : |: : : |: : : : i: |　　言ってるんだけど。
. 　 　 ハ厶i.　|: : : :|: :.|:.l　',: : | : : : : : |: : : レ': : :|: |
　　　 |:.７ /トr|: : : :?A」_|　 ＼|＼ : : : | x'´ﾊ: : : ;' ﾊ　　話がずれてるわ。
　　　 |:.' /: | r{ : : : |: ∧｢｀ヽ､.___,.＼: ｲ__V_,|: :rｆ:/| |
　　　 |:| |: :.| | |: : : :Ｎ　'Tに叮　　　 ヾ ｈィ}r〈 { 'j.ﾄ'|　　大体、クッキーでパスも入れるような商用サイトは
　　　 |:ヽ: :.| |､|: : : :|　　 ゞ-‐’　　　 　 ￣´l　| | l': :!
　　　 l: : : └ : ﾍ: : :|、　　　　　　 　 '　　　ﾉ　} リ : |　　あんまり無いって事よ。
　　　 ∨: : : : : :|ﾍ: :.l ＼　　 　 ｒ─ｬ _.　 '´　　 l: ,l: |
　　　,.、ﾍ＼ : : |　ﾄ: l　　｀　　 ._　 ,ｒ´ 　 　 　 ｲ､ j/　　悪意あるクライアント内プログラムや、席を離れた隙に
　　,〈　',　',　ヽ: }　| ヽ　　　　 /　｢|　　　 ィ ´|｜|',
　 /　',. ',　',　 V　 |　　　 　 　 　 ム -‐　´ } |｜| |　　　滅茶苦茶にされたらアレじゃない。

で、ぷにる派の俺はどうなるの

>>116
中国人が編み出したgoggleは有名だったなｗ

ハルヒのエロ同人が読みたくなった。
俺の脳が ID:A2Ir6I+W0にクリックジャックされている。

>>480
あれは標準だとIEのコンポーネントを使ってる
つまりアウト

>>480
Tridnet or Gecko
いわゆるIEとFirefox（有名どころでいく場合＠SleipnirのGeckoのバージョンは古いらしい）

×Tridnet
○Trident

どちらにしてもアウト

>>45
インターネット社ってあるよ

tube8には仕掛けねぇでくれよw

ようつべは何故firefoxを勧めてくるの？
IE危険なの(._.)？

>>477
そゆこと。判明した以上、今後はユーザも毎回ログアウトするなどの工夫は必要になるだろうけど、
特に個人情報共有のサイトなんかの公開/非公開設定の変更なんかはパスワードの再入力なんかの
ワンクッション置く工夫をしてほしい感じだ罠。実際myspaceの設定変更は簡単に出来てしまった。
mixiやPicasaの公開設定、Googleカレンダー共有なんかは確かめてないが。

漏れがよく使う買い物サイトは、ワンクリック注文可能でもパスワード入力のワンクッションが
要る感じだったが、他のサイトはどうなのかはわからんし。

>>488
FirefoxはIEと比べればセキュリティ対策が早いし、IEはHTML標準のチェックにクリアしていない（IE8で初めてクリア）ため、Firefoxに移行する人が増え始めた。
それが影響してFirefox専用のサイトが増えてきているんだよな。

ウェブ制作者の立場から言えばIEはバグだらけですごく鬱陶しい存在だし。

>>205
その前提条件ならこんな回りくどい方法を使わずもっと直接的に攻撃できるんじゃないか？
俺もニュースサイトの情報からは>>190あたりだと感じたが、
これだと攻撃の第一段階が成功した後の無数にある選択肢が
また一つ増えた程度のイメージでしかないなあ。

それにIEはレンダリングも遅いし、UIも使いにくいからな。
取り柄が今のところ過去の遺物であるActiveX()笑wだけ。
TraceMonkeyには期待してる。

>>490
そうなんだ。
一昔前はIE以外はバグ出るみたいなかんじだったよねぇ

w3m使い多いな
いいことだ

>>493
IEもネスケもぱくったmozaic由来のバグ満載だった。
ネスケはfirefoxになる過程でそれらとおさらば済みという歴史。
IEは独自機能と一緒に独自バグを作り込むという歴史。

lynxは便利だ

>>493
IEはHTMLの許容度が高すぎて、文法的におかしいHTMLもそれっぽく表示できた。
IEより正確に解釈する他のブラウザではバグありのHTMLを、製作者の意図通りに描画できなかった。

結局はまともなHTMLも書けないコーダーが悪い

IEは3はマトモだったんだよな。まぁ買って来ただけだったからなんだけど。
4以降はofficeとの連携と、インターフェースとしてのFrontpageの煮詰めの甘さで
W3Cもへったくれもないブラウザになってしまった。Windows Meもとばっちりで
デスクトップリソース確保との都合でクソOSになってもーたし。

どのくらい大変なことなのかよくわからないんだが、結局ターゲットとなるサイトを何らかの方法で改竄することが前提なんだよな？
ようするに、ブラウザの脆弱性ってよりはサイトの脆弱性の問題なんでしょ？
ちがうのかな。

たとえばさ、yahoo のトップページで検索ボタンを押したらおれのサイトの掲示板に書き込みが行われるように仕掛けるには、
結局 yahoo のトップページを改竄する方法がわからなけりゃいけないんだよな？

>>1
Linuxだから安全
Windows wwwwwwwwwwww

>>500
ちょｗｗ

昨日火狐がUPdateしたんだけど、こいつに対処したのか。

Atari Lynx始まったな

>>499
yahoo のトップページを改竄できる奴なら、直接お前のページを改竄するだろうよ。
今回の件で、危ないのは、お前のページじゃなく、お前のパソコン。
危険なサイトでやられる可能性があるということ。

yahooを使っていないときは、yahooからログアウトすることを心がけろ。
それと、ログインするときは、yahooのページであることを確認する。
変なサイトを同時に見ないようにする。