9/16(月)週 読んだ記事まとめ

adguard.com

  • AdBlockとuBlockの偽物がChromeウェブストアに公開されていた
    → 現時点では既に削除されている
  • 偽物のアドオンにはそれぞれユーザ数が80万以上もいた
  • 偽物のAdBlockは本物のAdBlockのコードを流用しているので実際に広告をブロックするが、インストールして約55時間後に挙動が変わり、Cookie stuffing*1を行うようになる
  • 隠ぺい機能があり、例えばDeveloperコンソールが開いていると一時的に悪意ある挙動を停止する
  • Googleの規約上、正規ツールと混同させるような名前を使用することに問題はない
  • 今回のケースではユーザ数も多く、ユーザレビューの評価も高かったため、悪意のあるツールと気づくのが難しい

 

www.atmarkit.co.jp

  • 脆弱性を見つけたときの報告談
  • 実際にIPAに通報した際の流れや、公表の仕方に関する考察・注意点など興味深い

 

www.openbugbounty.org

  • SSRFの脆弱性を利用してサーバ上のローカルファイルにアクセスする方法を解説
  • URLを入力すると、サービスが稼働しているかを監視してくれる機能
  • http以外のスキーム(file, ldap, gopher, ftp, ssh)だと上手く動かない
  • 制限をBypassする方法として、Locationヘッダーを使ったリダイレクトを使用することでローカルファイルにアクセスすることができた