2005-12-03

CSSXSS

Security

来年ものすごく流行りそうな手法が公開された。
これは痛い。
Google Desktop Exposed: Exploiting an Internet Explorer Vulnerability to Phish User Information
関連：

I call this attack CSSXSS or Cascading Style Sheets Cross Site Scripting.

うまいこと名前を付けたもんだなぁ……
記事ではGoogle DesktopからHDDの情報を抜けることが問題視されるような書き方になっているが、CSSXSS自体はGDSとは関係がない。
一言で言うと、cssのimport文で任意のWebサイトの情報を抜き出せることを利用した攻撃だ。ログインして利用するWebサイトのHTMLが、ほかのWebサイトで利用できてしまうわけである。
JavaScriptでdocument.styleSheets[0].imports[1].cssTextから、CSSに正規化されていないテキストが取得できてしまう阿呆なブラウザ（Safari、Geckoではこのメソッド自体が存在しないのか、nullしか帰ってこない）に対して有効である。まずいことにWin IEでは、取得したHTMLがHTMLとしてパースされてしまい、getElementByIdなどで情報抜き放題となってしまっている。生のテキスト抜けるようじゃ正規表現でいくらでも情報は抜き取れるからHTMLパース自体も問題ではない。ちなみに、同様のメソッドを持つMac IEは正規化されたCSSしか取得できない。セキュアな動作である。
JavaScriptはAjaxなどを考えると「切っとけ」じゃすまない機能なので頭痛い問題だ。グループウェアやWebメールなどの情報は好き放題に抜かれてしまうことだろう。
この攻撃をまともに食らってしまうWin IEユーザへCSSXSSの攻撃から身を守る手法として提案できるのは「すべてのサービスを利用したらログアウトしてキャッシュは確実に消せ」ということぐらいか。グループウェアなんかだと難しいよな。
ヒマを見てWindwosのIEで実行コードの検証してみようかな。

2005-12-03

書籍購入。

book

買い物に行くと、必ず書店に寄ってしまう。書店に行って本を買わないことは稀だ。
書店では、最近SFが元気な印象を受ける。今日も創現の復刊フェアからバラードを一冊（70年初版で12刷か）。帯に入手困難な古今東西の名作を復刊!あるんだが、本当に手に入らないんだよ。バラードみたいな名作はこうやって復刊されることもあるけど、ちょっと古い本は見つからない。まず買えない。
「レックス・ムンデ」は帯の『ダ・ヴィンチ・コード』の興奮を超える！！がとてもイヤんな気持ちにさせたが、どうせ出版社か流通が考えたコピーだろう、と踏んで購入。