サマリ ISO-2022-JPという文字エンコーディングの自動判定を悪用したクロスサイト・スクリプティング(XSS)攻撃について説明する。これは、文字エンコーディングを適切に指定していないウェブコンテンツに対して、文字エンコーディングをISO-2022-JPと誤認させることでバックスラッシュが円記号と解釈されることによりエスケープ処理を回避する攻撃である。本稿で紹介する攻撃は、従来からのセキュリティベストプラクティスである「文字エンコーディングの明示」に従っていれば影響を受けることはない。 はじめに クロスサイト・スクリプティング対策として、記号文字のエスケープ処理に加えて、コンテンツの文字エンコーディングをレスポンスヘッダやmetaタグで明示しましょうと言われてきました（参照）。その背景として、UTF-7という文字エンコーディングを悪用したXSSの存在がありました。この攻撃については以下
WebサイトやスマホアプリのUIデザイン用にかわいくて楽しいアニメーションで動くアイコン素材を紹介します。 ハンバーガー用の×に変化するアニメーション、＠を一筆書きで描くアニメーション、時計の針がくるくる回るアニメーションなど、ReactのモーションライブラリFramerを使用した動くアイコンがたくさん揃っています。 beautifully crafted animated icons pqoqubbw/icons -GitHub pqoqubbw/iconsは、Webサイトやスマホアプリのプロジェクト用に美しいアニメーションで動くアイコンのコレクションです。MITライセンスで、個人でも商用のプロジェクトでも無料で利用できます。 アニメーションで動くアイコンは、下記ページから。
読売新聞は、「サポートを装った怪しい警告にご注意を」との記事を7月19日に掲載しました。 これは読売新聞オンラインによく表示されるとSNSで話題となっている「サポート詐欺」と呼ばれる類型の詐欺をめぐる対応。 （速報）読売新聞のサイトを見ていたらこれが出た。サイトを見ていただけでボタン等は押していません。これが出た当初はフルスクリーンでないですが、サイト内をクリック等すると、フルスクリーンになります。 pic.twitter.com/7yL8puRFcN — 徳丸 浩 (@ockeghem) July 18, 2024 具体的には、ファイアウォール更新・スパイウェア感染などの虚偽の警告が表示され、サポートセンターを装った詐欺の窓口に誘導されるという悪質な手口です。クリックを伴わずとも突然、このような警告画面が表示されるそうです。おそらく広告のJavaScriptを悪用して詐欺を行っている業者
Pluralistic 驚くべきことに、かつてAltavistaやYahooをふっと飛ばし、魔法の検索ツールで世界を驚かせたGoogleが、突如クソの山になってしまった。 Googleの検索結果はひどいものだ。ページの上部はスパム、詐欺、広告だらけだ。始末に終えないのは、その広告も詐欺だらけなのだ。時には、資金力のある敵対者がGoogleを出し抜いて大金を稼ごうと大掛かりな詐欺が試みることもある。 https://www.nbcnews.com/tech/tech-news/phone-numbers-airlines-listed-google-directed-scammers-rcna94766 しかし通常、こうした詐欺を働くのは有象無象の、小銭稼ぎの詐欺師たちだ。彼らは資金力があるわけでもないし、洗練された攻撃者でもない。さらに言えばSEO業界の初心者である。その彼らでさえ、Goo
このアンカータグはブラウザーに次のように指示します： ユーザーがこのリンクをクリックしたら、'/blog'にHTTP GETリクエストを発行し、レスポンスの内容をブラウザーのウィンドウに読み込みます。 これを踏まえて、次のようなHTMLの例を考えてみましょう： これはhtmxに次のように指示します： ユーザーがこのボタンをクリックしたら、'/clicked' にHTTP POSTリクエストを発行し、レスポンスの内容を使ってDOM内のid parent-div の要素を置き換える。 htmxは、ハイパーテキストとしてのHTMLの核となる考え方を拡張・一般化し、言語内で直接多くの可能性を開きます： アンカーやフォームだけでなく、どんな要素でもHTTPリクエストを発行できるようになります クリックやフォーム送信だけでなく、どのようなイベントでもリクエストをトリガーできるようになります GET や
この記事の概要 ユーザーから嫌われている広告の1つに「スワイプ広告」というものがある。 誤タップをしやすいことが理由だが、あまりにもこの広告だけ誤タップするため調べたところ 実は誤タップしたように見せかけて意図的に広告先に遷移させる広告であるということがわかった。 スワイプ広告とは、左右にスワイプすると画像がついてくるタイプの広告である。 スワイプ広告とは スワイプ広告とは、主にアフィリエイトサイトで見られる広告形式の一つである。 ユーザーは指で画面上の広告を左右にスワイプすることで、広告画像を切り替えることができる。 スワイプによるインタラクティブ性を活かし、複数のメッセージやメディアを使い、魅力的な広告体験を提供することが特徴である。 なぜ悪名高いのか しかし、スワイプ広告はユーザーから嫌われている。その理由は、誤タップを誘発しやすいからである。 誤って広告をタップして画面が遷移してし
警視庁ホームページで遊ぶことのできるリズムゲーム『ポリズム(Porhythm)』の難易度の高さがSNS上で話題を呼んでいる。本作は2022年8月17日までにアップされたと推測され（Wayback Machine）、約1年後の6月2日、Twitterユーザーのひんこ氏のツイートによって話題となった。話題を呼んでいる理由として、その難易度の高さがあるようだ。 『ポリズム』は警視庁ホームページ内にある「ピーポくんタウン」で遊ぶことのできるWebゲームだ。内容はリズムゲームとなっており、警視庁音楽隊の楽曲に合わせ流れてくるノーツをタップしていく。難易度は3つ存在し、「巡査（やさしい）」、「巡査部長（ふつう）」、「警部（むずかしい）」となっていて、難易度に応じて曲が変わる仕組みとなっている。 本作の難易度が高く感じられる点として挙げられているのが、ノーツに対する判定がシビアというところだ。本作は多く
❌ This "color wheel" arrangement is a compact and visual way to represent a whole range of colors. I was reminded of the named/web colors by a recent Hacker News comment thread, and thought again of arranging them into a color wheel. So here it is: a color wheel, with only "web colors" on it. Each color is placed on the wheel, then grown to a polygon to fill the wheel with a Voronoi diagram. Hover
ほとんどのWebページの見栄えをよくするたった58バイトのCSSを紹介します。 3つのプロパティだけですが、Webページを実装する時の最初のスタイルとして用意しておくとよいかもしれません。 また、ボーナスの100バイト版とオプションのさらに100バイト版も合わせて紹介します。 58 bytes of CSS to look great nearly everywhere by @JoeyBurzynski 下記は各ポイントを意訳したものです。 ※当ブログでの翻訳記事は、元サイト様にライセンスを得て翻訳しています。 Webページの見栄えをよくする58バイトのCSS 58バイトのCSSの解説 Webページの見栄えをよくする100バイトのCSS 100バイトのCSSの解説 オプションでさらに100バイト Webページの見栄えをよくする58バイトのCSS 58 bytes of CSS -Code
東大卒、TNK出身の勝俣社長と、慶應卒の金田氏が主要経営陣とのこと。 株主にもエアトリやトレンダーズなど上場企業が並びます。 こちらのアルゴリズム社が、年商40億円、利益率はキーエンス超えしているとのこと。。その一方で、このインタビュー記事の中身を読んでも事業は全く不明。 ベギラマくんからも、「事業内容を話さないという強い意志を感じる」と指摘されています。 話題になっていたアルゴリズムさん面白い。スポンサードで2本記事出しているけど、絶対に事業内容を話さないという強い意思を感じる。Wantedly見てもほぼ事業内容は記載がない。でも人手は欲しい。M&Aも積極的。 つまり事業モデルは一定カネがある企業であれば真似ができるので早めにEXITしたいのか。 pic.twitter.com/nkMxQ5DuT2 — ベギラマくん (@cogitopp) October 13, 2022 今回はこちら
Chromeに実装された疑似クラス「:has()」がjQueryの「:has()」に悪影響、一定の条件下でWebサイトが壊れる可能性 最近リリースされたSafariとChromeで、CSSのSelectors Level 4（現時点でドラフト）仕様にある疑似クラス「:has()」が相次いで実装されました。 疑似クラス「:has()」は、カッコ内に要素を書くと、その要素を持つ親要素にのみ指定したスタイルを設定できる、という便利な機能を提供してくれます。 ところがこの「:has()」のChromeにおける実装は、jQueryで似たような機能（カッコ内の要素を持つ親要素を選択する）を提供する「:has()」に悪影響を及ぼし、このjQueryの「:has()」を使っているWebサイトでは、Chromeを利用した場合に一定の条件下でWebサイトが壊れるなどの問題を引き起こすことが分かりました（同じエ
I'd like to take the web back a little bit, into the wonderful days where knowing how to get your little mouse arrow to dance and sway was the most of your worries. Each of the cursor effects below are built for your modern browser (fast, efficient, mobile friendly), and are super easy to add to your site! To get started adding a cursor effect to your site, check out the documentation on GitHub.
悲劇は起こった… ある日のLINE A氏「IPアドレスについて教えて欲しい！」 B氏「IPアドレスっていうのは xxx.xxx.xxx.xxx っていうフォーマットの…」 A氏「このリンクなに？」ﾎﾟﾁｰ ＼ﾌﾜｰｵ♡／ B氏（YABE） 何が起こったのか LINE や Twitter などの SNS は投稿されたリンクを自動的に飛べるようにしてくれます。 今回不幸なことに、この .xxx というドメインは存在し、xxx.xxx というドメインは登録されていました。 参考： ドメイン (domain)とは |「分かりそう」で「分からない」でも「分かった」気になれるIT用語辞典 ドメイン名の種類 JPNIC そして .xxx ドメインの用途はよりによって… 用途 登録対象 > アダルトエンタテイメント業界用 < >> アダルトエンタテイメント業界用 << >>> アダルトエンタテイメント業界
たくさんのショッピングサイト、オンラインショップがあります。良心的なサイトもたくさんありますが、意図しない購入や申込に誘導・欺くサイトもあります。利用者として、そして制作者として、気をつけたいダークパターンを紹介します。 料金に手数料が加えられていたり、メール配信が知らない間に申し込まれていたり、登録は簡単なのに退会が難しかったり、キャンセルがクリックできないみたいに表示されてたり、さまざまなダークパターンが存在します。 Dark Patterns at Scale by プリンストン大学とシカゴ大学の研究者によるレポート 下記は各ポイントを意訳したものです。 ※当ブログでの翻訳記事は、元サイト様にライセンスを得て翻訳しています。 はじめに Sneaking -スニーキング Urgency -アージェンシー Misdirection -ミスディレクション Social proof -ソーシ
6月4日、民主化を求める学生らを武力で鎮圧した天安門事件から32年になります。事件の節目となる日、多くの関連報道が世界中で行われる中、Googleの脅威分析グループに所属するShane Huntley氏の次のツイートが波紋を広げています。 マイクロソフトが提供するサーチエンジンのMicrosoft Bingで"tank man"と検索しても、画像検索で画像が一切表示されないことを示すスクリーンショットを提示し、マイクロソフトのBrad Smith社長に説明を求めています。 "tank man"と言えば、「戦車男」、「無名の反逆者」とも呼ばれる、天安門事件の最中に戦車の隊列を1人で遮った男性のことで、天安門事件を伝える写真・映像の中でも最も知られているものです。それが何故かBingの画像検索で表示されません。中国で検閲が行われていることは周知のことですが、Shane Huntley氏はアメリ
Intro Public Suffix List (PSL) は、現在の Web プラットフォームの一端を支えている非常に重要な要素だ。 実はこれが、少数のボランティアにより GitHub でメンテナンスされた、単なるテキストリストであることは、あまり知られていないかもしれない。 最近、このリストへの追加リクエストがあとを絶たず、問題になっている。 そもそも PSL とは何であり、今どのような問題が起こっているのかについて解説する。 Public Suffix List とは何か PSL を解説するには、まず関連する用語について整理する。 Top Level Domain (TLD) 例えば、このブログのドメインは blog.jxck.io であり、これは筆者が取得したドメイン jxck.io のサブドメインだ。 jxck.io は、 .io という TLD のサブドメインを販売しているレ
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く