【話題】Lynxを除くほぼ全てのブラウザが影響を受ける脅威の攻撃「クリックジャッキング」

>>454
ググって今知ったｗ

ぶっちゃけネットだけなら古いパソコンに何も入れないでやって、
必要あるときだけ外部のメインパソコンを使うのが一番・・
と思いつつ新パソもネット用パソコンも買わずにはや二年。

わしはいつまで学生なんじゃ・・・

意外とw3m人気で安心した

『ZoneAlarm ForceField』
ttp://www.junglejapan.com/products/sec/zone/zaf/
これの出番かw
重いらしいけどww

なんでline mode無視したん？

gnome-terminalとxfce4-terminalでw3m-imgが動作しない
言及してるブログも少ないしあんまり需要無いのか…

>>420
変態新聞糾弾のスレで、オタセンス丸出しのAAつき煽りコピペばら撒いてるのはお前かw
いつもいつも、オタ趣味がない人間から見るとセンスがズレてるぞ。

最近、寒くなってきたわねえ。
>>445、ログイン操作はクリックを掌握するだけじゃできないわよ。
ブラウザ上のサブミットボタンは、上でレスしたコードである程度押せるけど。
Amazonのような会員制の所はパスワードやIDが必要だし、
そうでない所は住所や電話番号を入力しないとならないじゃないの。
　　　 ＿_
　　, ´,r== ､ヽ　
　　!くｌ人ﾉ从)ﾄ､ｶﾀ…
　　Wﾘ ﾟワ ﾟﾉiﾉ　　ｶﾀﾀﾀ…
＿ /つ/￣￣￣/＿
　　.＼/　　　　./

>>462
>>445ではないが、>>445は、既にログインしている（最後の操作からログアウトしていない）ことを前提にしているように読めるが。

>Amazonのような会員制の所はパスワードやIDが必要だし

要らないでしょう。

例えば、今
ttp://www.amazon.co.jp/gp/product/4167110075/
のリンクをクリックしたときに、一番上に「こんにちは、(個人名)さん」と書いてあれば、
キーボードからは何も入力せずとも既に「ログインしている状態」。
カートのボタンは、すでに「あなた個人のカート」のボタン。

最低でも、IDでログインするタイプのサイトは、途中で他のことをせずに用事は速やかに
終わらせ、用事が済んだらきちんとログアウトしておこう。まあこんなスレ覗いてる人には
常識なんだろうが。

amazonトラップはamazonドメインのページを踏んだだけで住所流出だった気がする

パスワードもIDもブラウザが勝手に入力するとこういうまずいことが起きるけど
出先でPCを使ってる自分は手の動きでパスワード丸見えなので
省略してくれた方がむしろありがたかったりする

　　　　　　　 ／　　　　 ヽ　, 　 -‐…- ヽ ／ >、　　 ＿＿＿___
　　　　　　／　　　　 　　／　　,　' "￣ ヽ＼二}ﾆﾆ!´　　　　　　ol丶、　　　　　>>646、なぜ探偵ガリレオなのか気になる
.　　　　　/ 　　　 , 　/／　 ／　　ヽ　ヽ ヽヽ ﾆ'ｬ- ､］｀ ' ¨￣ ~¨└ ､ヘ
　　　　 / 　　　　l 　|'　 ／,'　　　、 ヽ　| ,Xヽ ! |　 　,　, 　,'　　 ､　　`くヘ　　　 所だけどそれはいいわ。
　　　　/　　　　　ii　! / 　 !　　　 ﾊ　ハ!',z=| /.ﾘ　　,'　l　 !　 　　＼　　＼ヘ　
　　　 ,' ,'　,'　　　 l 　!/!　 |　　 / / /　 ″ ,|ﾊ　!　/ / |　 ! 　 | 　　ヽ　 ､ ヽ ヽ　前に入手が難しい古本を買った事があるから
　　　 |│ |　　　　!　 l | 　,ﾄ ｰ/- ﾚ' 　　　ｲ　 | | /|/ ,ムイ !　 !　 　 }　　|　|　!
　　　 |││　! ／ !　ヽ＼八/,z≠　　 　 _,! 　ﾚﾊl￣　 　 ﾚヽ ﾑ､　　|　l　l ﾘ　|　 アクセスしてみたけど、これって会員でも普通に
　　　 | |　 !　|く ム>、 ヽ ヽ ″　 　､_ r'´｀|＼| r=＝z　　 　 ヽ!''く. / 　!│ !　l
　　　 | |　 |　|l //l| |ヽ 　 へ ＿ __　.... ヽ.」 　!　.:::::::::..　　　 r=z ∨　 ﾊ/ﾚ'　,'　　 アクセスしただけではログインできないようね。
　　　 ﾚﾍ、|　|//　! !ヾ｀ｰ ... , 　>-､ ヽ、 │　|　　　 , - ､..　.:::::::. /}／ /! 　/
　　　　　 ヽ! /Vﾊ ! |　／／　　　　　　 ＼|___.! 　　 L　　　 ） 　 ﾉ　|　 | 　/
　　　　　　 ﾚ'　ﾘ　V|〃/|　　　　　　　　　　//.＼ 　　 ｀ ｰ'　,　'、　ヽ　レ'　　　ひゃはっ！す、涼宮さぁああ〜ん！
　　 　 　 　 　 　 　│/　!　　　　　　　　　/// 　 ＞ , ｰ＜¨　　丶　 !　!
　　　　　 　 　 　 　 |ﾊ 　ヽ. 　 rr､　　　　| /ｲ !ヽ　/　　　　　　　| 　|　ヽ　　　　　　yahooやexciteとか同じで、あくまでユーザーが
　　　 　 　 　　 　 　|　|　 　/l// /r､ 　 　r| |　ﾄ､ヽ|__r‐-､　　　ノレﾘ　　＼
　　 　 　 　 　 　 　│ |　　〈│!│| l　　　!ヽ＼ 　 　 ｀ 　 }−¨　 　 　 ヽ　　ヽ　　　一度手動でログインした状態にないと駄目なのよ。
　　　　　 　 　 　 　 |　ヽ 　 ヽ! | l　 ヽ --L`ﾆ- ､＿___　 / 　, '　　 　 　 !　　ヽヽ 　

　　　　　 ＿　─｀　　l　 　 　 　 　 ､　　`ｒ＜￣:::/
　　　 ／ 　 　 　 　 ,　〉.　､　　 　 　 ＼__j:::::::＼_|_
　　∠ -─ フ´　　 l ./|ヽ_ﾍ＼＿_＼　､＼:::::::::::::::::＼　　したがって、セキュリティ上の問題性は
　　　　　r'/　/　　｜|　!　ﾍl　 ＼_｀ヽ　＼ヽ、::::::::::::/
　　　　　〉　/　　-７l.!　l　　ヽ　 　＼ ヽ　ヽ､ヽ:::::::::人　さほど大きいとは言えないわ。
　　　 　.'　,'　 !　　i　l　　 　 　 ＿_,rz ヽ}　ヽl ｀::／　 ＼
　　　　 l /:l　 |　　|　 _,,z 　 　 ＝＝"　rへﾍｰ!´ヽ, ‐, 　＼　　IDはクッキーで自動入力される所も
　　　　 K__| 　ヽ　ﾊ彡"　　　 _　　　　 __,イ｀ rﾍ / /.　　 　＼
　　　　　　 l 　/入!､!　　 　 く 冫 　 ／　! !　 l　i' /っ､　 　 　 ＼　　多いでしょうけど、パスワードは
.　　　　　　 ∨/　/ .>､　＿＿___ ／l´ヽ､j/　 f　 {　｀l　ヽ　 　 　 ＼
.　　　　　　　 ,'　/　/　!　　| /:::;j_　/:::::::/　　A　そ_,ﾍ 　 ＼.　　　　＼　たいてい手入力だもの。
　　　　 　 　 l　/　/　 |　 イ:::::|´ ｀!:::::::/　　//::ヽ／　ﾊ､_ 　＼　 　 　 ＼
　　　　　　　 |/ 　,　　 |,ﾊ:ヽ::::|　 ,'::::::/　　//:;;／／'／ﾉ　l 　　＼.　　　　＼　シマンテックの更新を
　　　　　　　/　　,　 　 !ﾍ〉､ヽ:! .,':／//　/. ＼／／ ／ 　 ヽ 　 　＼　 　 　 ＼
　　　 　 　 /　　,'　 　 ﾉ///}_ﾍ!.!/´//　,'　＿ ｀l､／ 　 　 　 }　　 　 ＼　 　　　＼　してない方がまだ
　 　 　 　 ,'　　 ,　　 /k　 '　' ﾄV/'//　 l　　　 i､｀ヽ、　 　　/　　　　　　＼　＼ 　 ＼
.　　　　　 !　　 l　　ｲヽ、ヽ､△ヽｲ/!　　!　 　　 ＼ 　￣￣　　しも問題性が高いわよ。

Lynxってなんぞ？

w3mもアウト？

>>356
Preferenceツールバーとか

WebBoyも危険なのか？

>>467
＞IDはクッキーで自動入力される所も
＞多いでしょうけど、パスワードは
＞たいてい手入力だもの。

は？

>>472
稀にあるよ、そういうサイト。クッキー見てIDを送ってくるというのが。
>>466の書き方を見ると、詳しくなさそうだから、勘弁してあげて。

　 {:::::::: | /::::::::::::∨ /: : : : : : /: : : : :/:.:| !: : : : : : : : ＼:::ヽl
　 ヽ::::: |.!:::::::::::: /: :{: : : : : //: : : : ,ｲ: :/ |:ﾄ､ : : : i: : : : ヽ::::〉
　 　 ＼|l::::::::::::/: :,ｲ: : : : ィ7ｰ-､ / |: /　|:.! ,X: : :}: : : : : :.V
　 　 　/l､::::: / ／ |: : : :/ ｲ: : ／ 　!/　 l:.|´　∨ |: : :i、.: : !
.　　　 l: :ｌ￣ |/r‐､ｌ: : :./／|／　　　　　 |/__ ,ィ.: :|: : :|ヽ: : :!
　　　 l : :!: : :.:.{ ヽ.|:.:.:/ﾔ乍牙气　　 　 斤ァ/ハ:|: : :l 　＼|　　>>472-473、稀に？
.　　　| : :!: : :.! ﾄ､_.l／　　{:辷.ｿ 　 　 　 辷/{: :∧!: :/
.　 　 | : :ｌ: : :.l≦ミヽ ヽ　,,¨￣ 　 　　,.　　 　}/:.:!:.∨|　　　　　　クッキーでのID入力が稀に？
　　　l : : ! : /　 　 ＼＼＼ .____(^ｰｧ____,.　イヽ:.!: :.:.:|
　 　 | : : l:.:,'　　　　　,.ヘ_と}_}_}_]≧、 　｀ヽｰ┴‐-､:|　　　　　　例えば2chのハンドルネームも（ry
　 　 | : : ｌ:.|　　　 '"´　　 　 　 ヽヽヽヽ- ､　　　 　 ｝!
　 　 | : : l:.{　 　 　 　 　 　 　 　 {:.:{:.:{:.{　 〉　 　 　 {--―ｧ
　 　 |: : :.l:.|ヽ、　　 　 　 　 　 　 }:.:}.:.}.:}ｨﾉ＿＿＿_〉＜´
　 　 |: : :.:/　/＼_______,.　-‐一'¨´i￣¨´:.i:.:.:.:.:.:.:.:.:.:.:.:.:.:.ヽ
　 　 |: : /　/:.:.:./:.:.:./:.∧:.:./:.:.:.:,ｲ:.:.:.:.:.:.:.}:.:.:.丶:.:＼.:.:.:.:.:.:.＼
　 　 |: :.{　 {:.:.:/:.:.:./:.:（__）:!:.:.::./ |:.:.:.:.:.: ∧:.:.:.:.:.ヽ:.:.ヽー----ゝ
　 　 |: :.l/　!:.:.!:.:.:.:!:.:.:.:.:.:.､l:.:.:/　.!:.:.:.:. /　 ヽ／:.: i:.:.:.:ヽ
　 　 |:.:/　 .|:.:.!:.:.:.l:.:.:.:.:.:../「:ﾒ､__,|:.:.:.:/ ､_／ ヽ:.:.:.|:.:.:.:.:.i　　はいはい、exciteもその他のページも
　 　 l:/　　 |:.:.! :.:.!:.:.:.:.:/　|/＿　|:.:./　　＿___ ∨:|:.:.:.:.:.|
　 　 |{　　　|:.:.!:.:/!:.:.:./|≡≡≡ .!./　　 ≡≡=.ﾄ､ﾄ､:.:.:.:|　　みんなクッキーで自動入力ですよ。
　 　 |: >､___|:.:从_|:.:./: |　　　　　　　　　　　　’|:.:.|:∧:. |
　 　 |/　　/|:/:.:.:!|:/:.:.:.!　xxx　　　 __　 　 xx ノ:.:.l/　∨　　　パスワードはともかく。

殿様Lynx

このAA馬鹿が大好きそーなニコニコ動画なんかは
どう見てもパスワード手入力じゃないけどな。
ほかにgoogleも自動、amazonも自動、yahooも自動、
素人相手だといちいち手入力しないといけないようなログインシステムは逆に煩雑だと叩かれるから


まぁ詳しくないことはさておき身近な例も思いつかない池沼なんだろう

サイトによって色々あるでいいじゃん。
めんどくさ。

　　　　　　　＼_ー､ _f ヽ, ‐───-　､
　　　　　 ＿　─｀　　l　 　 　 　 　 ､　　`ｒ＜￣:::/
　　　 ／ 　 　 　 　 ,　〉.　､　　 　 　 ＼__j:::::::＼_|_
　　∠ -─ フ´　　 l ./|ヽ_ﾍ＼＿_＼　､＼:::::::::::::::::＼　　>>476、amazonは自動じゃなかったと思うわよ。
　　　　　r'/　/　　｜|　!　ﾍl　 ＼_｀ヽ　＼ヽ、::::::::::::/
　　　　　〉　/　　-７l.!　l　　ヽ　 　＼ ヽ　ヽ､ヽ:::::::::人　>>436もそう言ってるわ。
　　　 　.'　,'　 !　　i　l　　 　 　 ＿_,rz ヽ}　ヽl ｀::／　 ＼
　　　　 l /:l　 |　　|　 _,,z 　 　 ＝＝"　rへﾍｰ!´ヽ, ‐, 　＼　　ニコ動は基本無料なんだもの、それでいいじゃない。
　　　　 K__| 　ヽ　ﾊ彡"　　　 _　　　　 __,イ｀ rﾍ / /.　　 　＼
　　　　　　 l 　/入!､!　　 　 く 冫 　 ／　! !　 l　i' /っ､　 　 　 ＼　　つまり、料金が発生したり契約を交わしたり
.　　　　　　 ∨/　/ .>､　＿＿___ ／l´ヽ､j/　 f　 {　｀l　ヽ　 　 　 ＼
.　　　　　　　 ,'　/　/　!　　| /:::;j_　/:::::::/　　A　そ_,ﾍ 　 ＼.　　　　＼　するようなセッションは、大抵パスを
　　　　 　 　 l　/　/　 |　 イ:::::|´ ｀!:::::::/　　//::ヽ／　ﾊ､_ 　＼　 　 　 ＼
　　　　　　　 |/ 　,　　 |,ﾊ:ヽ::::|　 ,'::::::/　　//:;;／／'／ﾉ　l 　　＼.　　　　＼　クッキーで入力しない所が多いのよ。
　　　　　　　/　　,　 　 !ﾍ〉､ヽ:! .,':／//　/. ＼／／ ／ 　 ヽ 　 　＼　 　 　 ＼
　　　 　 　 /　　,'　 　 ﾉ///}_ﾍ!.!/´//　,'　＿ ｀l､／ 　 　 　 }　　 　 ＼　 　　　＼　お分かりかしら。
　 　 　 　 ,'　　 ,　　 /k　 '　' ﾄV/'//　 l　　　 i､｀ヽ、　 　　/　　　　　　＼　＼ 　 ＼

　　　　　　　 ／ : : ; : : /_.．-───-　._: :＼
.　　　　　 ／ : ; : :/: : /´　＿＿＿＿＿＿＼: ヽ
　　　　　/: : _/: :/: : 厶 '´: : : : : : : : : : : : : :｀ヽ: ﾍ　　　それから>>473は、クッキーによるID入力が稀だと
　　　　 /:／ ,.'７: : :/: : : :|: : : : : : : : : : : : : : : : ﾍ: ',
　　　　/'　, '/ i: : : :|: : : ∧ : : : : : : : : |: : : |: : : : i: |　　言ってるんだけど。
. 　 　 ハ厶i.　|: : : :|: :.|:.l　',: : | : : : : : |: : : レ': : :|: |
　　　 |:.７ /トr|: : : :?A」_|　 ＼|＼ : : : | x'´ﾊ: : : ;' ﾊ　　話がずれてるわ。
　　　 |:.' /: | r{ : : : |: ∧｢｀ヽ､.___,.＼: ｲ__V_,|: :rｆ:/| |
　　　 |:| |: :.| | |: : : :Ｎ　'Tに叮　　　 ヾ ｈィ}r〈 { 'j.ﾄ'|　　大体、クッキーでパスも入れるような商用サイトは
　　　 |:ヽ: :.| |､|: : : :|　　 ゞ-‐’　　　 　 ￣´l　| | l': :!
　　　 l: : : └ : ﾍ: : :|、　　　　　　 　 '　　　ﾉ　} リ : |　　あんまり無いって事よ。
　　　 ∨: : : : : :|ﾍ: :.l ＼　　 　 ｒ─ｬ _.　 '´　　 l: ,l: |
　　　,.、ﾍ＼ : : |　ﾄ: l　　｀　　 ._　 ,ｒ´ 　 　 　 ｲ､ j/　　悪意あるクライアント内プログラムや、席を離れた隙に
　　,〈　',　',　ヽ: }　| ヽ　　　　 /　｢|　　　 ィ ´|｜|',
　 /　',. ',　',　 V　 |　　　 　 　 　 ム -‐　´ } |｜| |　　　滅茶苦茶にされたらアレじゃない。

で、ぷにる派の俺はどうなるの

>>116
中国人が編み出したgoggleは有名だったなｗ

ハルヒのエロ同人が読みたくなった。
俺の脳が ID:A2Ir6I+W0にクリックジャックされている。

>>480
あれは標準だとIEのコンポーネントを使ってる
つまりアウト

>>480
Tridnet or Gecko
いわゆるIEとFirefox（有名どころでいく場合＠SleipnirのGeckoのバージョンは古いらしい）

×Tridnet
○Trident

どちらにしてもアウト

>>45
インターネット社ってあるよ

tube8には仕掛けねぇでくれよw

ようつべは何故firefoxを勧めてくるの？
IE危険なの(._.)？

>>477
そゆこと。判明した以上、今後はユーザも毎回ログアウトするなどの工夫は必要になるだろうけど、
特に個人情報共有のサイトなんかの公開/非公開設定の変更なんかはパスワードの再入力なんかの
ワンクッション置く工夫をしてほしい感じだ罠。実際myspaceの設定変更は簡単に出来てしまった。
mixiやPicasaの公開設定、Googleカレンダー共有なんかは確かめてないが。

漏れがよく使う買い物サイトは、ワンクリック注文可能でもパスワード入力のワンクッションが
要る感じだったが、他のサイトはどうなのかはわからんし。

>>488
FirefoxはIEと比べればセキュリティ対策が早いし、IEはHTML標準のチェックにクリアしていない（IE8で初めてクリア）ため、Firefoxに移行する人が増え始めた。
それが影響してFirefox専用のサイトが増えてきているんだよな。

ウェブ制作者の立場から言えばIEはバグだらけですごく鬱陶しい存在だし。

>>205
その前提条件ならこんな回りくどい方法を使わずもっと直接的に攻撃できるんじゃないか？
俺もニュースサイトの情報からは>>190あたりだと感じたが、
これだと攻撃の第一段階が成功した後の無数にある選択肢が
また一つ増えた程度のイメージでしかないなあ。

それにIEはレンダリングも遅いし、UIも使いにくいからな。
取り柄が今のところ過去の遺物であるActiveX()笑wだけ。
TraceMonkeyには期待してる。

>>490
そうなんだ。
一昔前はIE以外はバグ出るみたいなかんじだったよねぇ

w3m使い多いな
いいことだ

>>493
IEもネスケもぱくったmozaic由来のバグ満載だった。
ネスケはfirefoxになる過程でそれらとおさらば済みという歴史。
IEは独自機能と一緒に独自バグを作り込むという歴史。

lynxは便利だ

>>493
IEはHTMLの許容度が高すぎて、文法的におかしいHTMLもそれっぽく表示できた。
IEより正確に解釈する他のブラウザではバグありのHTMLを、製作者の意図通りに描画できなかった。

結局はまともなHTMLも書けないコーダーが悪い

IEは3はマトモだったんだよな。まぁ買って来ただけだったからなんだけど。
4以降はofficeとの連携と、インターフェースとしてのFrontpageの煮詰めの甘さで
W3Cもへったくれもないブラウザになってしまった。Windows Meもとばっちりで
デスクトップリソース確保との都合でクソOSになってもーたし。

どのくらい大変なことなのかよくわからないんだが、結局ターゲットとなるサイトを何らかの方法で改竄することが前提なんだよな？
ようするに、ブラウザの脆弱性ってよりはサイトの脆弱性の問題なんでしょ？
ちがうのかな。

たとえばさ、yahoo のトップページで検索ボタンを押したらおれのサイトの掲示板に書き込みが行われるように仕掛けるには、
結局 yahoo のトップページを改竄する方法がわからなけりゃいけないんだよな？

>>1
Linuxだから安全
Windows wwwwwwwwwwww

>>500
ちょｗｗ

昨日火狐がUPdateしたんだけど、こいつに対処したのか。

Atari Lynx始まったな

>>499
yahoo のトップページを改竄できる奴なら、直接お前のページを改竄するだろうよ。
今回の件で、危ないのは、お前のページじゃなく、お前のパソコン。
危険なサイトでやられる可能性があるということ。

yahooを使っていないときは、yahooからログアウトすることを心がけろ。
それと、ログインするときは、yahooのページであることを確認する。
変なサイトを同時に見ないようにする。