- Google Chrome Extensions（拡張機能） Part9
161 ：名無しさん＠お腹いっぱい。[sage]：2011/08/27(土) 18:11:27.95 ID:QPp9/bycP - >>157
http://www.smoothgesturesapp.com/tracking/tracking_ss.gif?events=
でgif画像を取得してるじゃんね。さらにpostでデータを送信してる。
そのgifが本当に画像でサーバサイドスクリプトでないという確証はないわけで。
↓例えばこんな感じ。phpのreadfileでサーバ上の画像をサーバサイドスクリプトで送り返す
>PHP で画像を読み込んで、ブラウザに表示させる
>http://d.hatena.ne.jp/littlebuddha/20100217/1266421016
拡張子の設定はどうにでもなるから.gifでサーバサイド仕込むなんて余裕
他にもapacheのログ設定でそれらの情報が記録されるようにしといて、
apacheのアクセスログから目的の画像へアクセスしたログだけを抜き出すなんてことも可能
|
- Google Chrome Extensions（拡張機能） Part9
166 ：名無しさん＠お腹いっぱい。[sage]：2011/08/27(土) 18:32:44.09 ID:QPp9/bycP - >>162
はじめからそうかいてるじゃんｗ
>153 ：名無しさん＠お腹いっぱい。 ：sage ：2011/08/27(土) 17:28:11.30 (p)ID:wKPMf+BVP(3)
>実は.phpとか.cgiにアクセスしているのと同じことなので、
>ブラウザ情報、OSバージョン、IPアドレス、画面解像度とかアクセスログで取得可能な
>データはすべてサーバ上のファイルかデータベースにアクセスしたURLとともに
>記録させることも可能ってこと。
|
- Google Chrome Extensions（拡張機能） Part9
175 ：名無しさん＠お腹いっぱい。[sage]：2011/08/27(土) 19:21:48.62 ID:QPp9/bycP - >>168
>>>153の書き方だと、サーバーサイドで何か特別な事をしてるから、データを取られるんだって誤解を招きそうじゃん
だからその可能性があるっていってるのｗ
実際に.htmlとかでサーバサイドスクリプトを動かすことが可能
.gifでも可能。例のリンクの.gifの中身がスクリプトで無いなんて確証ある？
ないでしょ。だから可能性はあるっていってる。
>でも実際の所は画像を埋め込んでるだけなら、サーバ側でなにしてようが通常の画像ファイルへのアクセスのログで取れる情報以上の物は取れないよね
それが画像である保証はないでしょ？
画像に見せかけたスクリプトで実際はスクリプトがバイナリを吐いてるだけの可能性はある。
>例えば解像度とかは、パラメータに載せない限り送られないよね
とれるってのｗ
一番下の欄のディスプレイのところ。解像度、カラー数まで取得できる
http://phpjavascriptroom.com/?t=topic&p=analize
例えば、.htmlの拡張子でphpやaspを動かしているサイトとかあるでしょ
それが.gifでサーバサイドを動かしているという保証はないでしょうよ
|
- Google Chrome Extensions（拡張機能） Part9
177 ：名無しさん＠お腹いっぱい。[sage]：2011/08/27(土) 19:38:50.22 ID:QPp9/bycP - >>176
↓ちゃんとこの中身よんだかい？
http://d.hatena.ne.jp/littlebuddha/20100217/1266421016
<?php
$image_path = 'images/sample.jpg';
//**ここで様々な情報を取得してデータベース等に保存**
if (file_exists($image_path)) {
header('Content-Type: image/jpeg');
readfile($image_path);
}
?>
これを.gifで保存してapache側でgifもサーバサイドスクリプトで動作させるようにすれば
imgタグの中でこのファイルを読んで**〜**で様々な情報を保存可能でしょうが。
|
- Google Chrome Extensions（拡張機能） Part9
179 ：名無しさん＠お腹いっぱい。[sage]：2011/08/27(土) 20:02:33.49 ID:QPp9/bycP - >>178
思慮が足りないなぁ。。。。
サーバサイドスクリプトならリダイレクトが自由でしょうが。
詳しくは明かせないが、これだけ言えばわかるよな？
|
- Google Chrome Extensions（拡張機能） Part9
181 ：名無しさん＠お腹いっぱい。[sage]：2011/08/27(土) 20:08:19.20 ID:QPp9/bycP - ちょっと古いけど、こんなやり口かな。
似てるけど、それそのものじゃない。後は自分で調査してくれ。
>この脆弱性では、悪質な Web サイトが訪問しているユーザーのコンピュータ上のファイル
>システムにウインドウを開き、ファイルを表示します。次に悪質な Web サイトはそのドメインの中で
>新しいウインドウに移動します。この移動はリダイレクトとも呼ばれているものです。
>これらの 2 つの動作ができます。しかし、<IMG SRC> HTML タグを介してリダイレクトが行われた特定の方法によって、
>新しいウインドウが新しいドメインに分類されていない間、短いウインドウを表示し、その間は前のウインドウにあるデータにアクセスできます。
>これにより Web サイトが表示されているファイルのコンテンツを取得できるようになります。
>http://technet.microsoft.com/ja-jp/security/bulletin/ms00-009
|
- Google Chrome Extensions（拡張機能） Part9
185 ：名無しさん＠お腹いっぱい。[sage]：2011/08/27(土) 20:14:19.82 ID:QPp9/bycP - >>184
脆弱性じゃなくて、普通にできるってだけ。
報告する義務すらない
|
- Google Chrome Extensions（拡張機能） Part9
189 ：名無しさん＠お腹いっぱい。[sage]：2011/08/27(土) 20:24:28.12 ID:QPp9/bycP - >>186
あんましいいたくないよね。.gifも中身はスクリプトかもしれないとか。
あ、そういや、.gifがスクリプトの可能性は認めてくれたんだよね？
それならいいよ。痛み分けってことでｗ
|
- Google Chrome Extensions（拡張機能） Part9
192 ：名無しさん＠お腹いっぱい。[sage]：2011/08/27(土) 20:35:16.64 ID:QPp9/bycP - >>191
そうか、お前はID:owyGfyrl0じゃなかったのか。それは失礼した。
だとしても今回のスムースジェスチャーがやったように.gifにpostクエリを入れてたら解像度情報は取得できるけどね。
>157 ：名無しさん＠お腹いっぱい。 ：sage ：2011/08/27(土) 17:51:02.60 (p)ID:owyGfyrl0(3)
>>>153
>img利用タイプなら生ログ以上の事は取れないでしょ
>phpとかcgiの下りは完全に蛇足だし、解像度も取れないんじゃないの？
>しかも>>149のコードだと、送信されてるのはURLじゃなくてドメインだけだろ
>適当な事ばっか言うんじゃないよ
|
- Google Chrome Extensions（拡張機能） Part9
196 ：名無しさん＠お腹いっぱい。[sage]：2011/08/27(土) 20:53:06.33 ID:QPp9/bycP - >>194
ｗ
今回のアップデートの内容わからないんだけど、それ関連のアップデートだったんじゃね？
UserScriptで異なるドメインの画像を勝手に取得できる状態になっていて、
その中身が実はScriptだったときに対処したとかだと想像してるんだが。
同じサイトの同じ画像を取得しにいく仕様なら、普通はキャッシュされてるから
そのサイトにアクセスしにいったりしない。
しかし、postでクエリを記述しておけば、そのサイトごとに異なるURLになるから
必ずサーバにアクセスするようになる。
だから、サイトのホスト名＋ランダムの数字になっていた。
それをできないようにしたんじゃないのかな？これが俺の推測。
スムースジェスチャーが画面解像度をクエリでgetしていたら、当然画像解像度も送られている、
そんな流れだったんじゃないのか？
まぁ、別にいいけど。義理立てする必要もないしな。
あとはどの情報を信じるかは自分で判断してくれ。俺を痛い人と判断するのも自由だ。
|
- Google Chrome Extensions（拡張機能） Part9
197 ：名無しさん＠お腹いっぱい。[sage]：2011/08/27(土) 20:55:51.13 ID:QPp9/bycP - >>195
だから.gifがサーバサイドスクリプトで、そこにgetすれば抜けるｗ
これが最も確実だろｗ
|
- Google Chrome Extensions（拡張機能） Part9
199 ：名無しさん＠お腹いっぱい。[sage]：2011/08/27(土) 21:14:25.09 ID:QPp9/bycP - >>198
かわるかわる。
・実際にただの画像
→httpdサーバのログだけ
・画像偽装のスクリプト
→自分で自由に設定できる
→クライアントスクリスプトが自由に利用できる範囲内ならスクリプトが可能な範囲で自由
→それらのデータを加工してデータベースに保存するなどが可能
→クッキーの発行もできるんでは？
まったく違う。クッキーが発行できるかどうかはやったことないな。
|
- Google Chrome Extensions（拡張機能） Part9
203 ：名無しさん＠お腹いっぱい。[sage]：2011/08/27(土) 21:44:47.73 ID:QPp9/bycP - >>200
それはあくまで可能性だな。
可能性はあるが、見込みのない主張しても意味ないよ。
リアルタイムが無理だから日に一度とかのバッチ処理→リアルタイム性が犠牲
サーバに集計ソフトをインストールする必要→セキュリティでレンサバ側が拒否
というわけで、結局、クライアントサイドスクリプトを利用するのが最も合理的ってこと。
localStrageはいいアイデアだが、だからなんだ？
スムースジェスチャー側がそれを採用しなかったんだから、別に関係あるまいて。
|
- Google Chrome Extensions（拡張機能） Part9
204 ：名無しさん＠お腹いっぱい。[sage]：2011/08/27(土) 21:52:27.60 ID:QPp9/bycP - >>201
いや、だからそれでできるんなら、俺の主張通りでいいんだよ。
ただ、サーバサイドスクリプトでできるなら、それが最もハードルが低いだろ？
だから、具体例としてそういってるわけ。
だとしても、普通はログをバッチで漁ったり、フィルタかましたりとかはしないだろ？
レンサバ側がそれを認めているかどうかすら怪しい。
|
- Google Chrome Extensions（拡張機能） Part9
208 ：名無しさん＠お腹いっぱい。[sage]：2011/08/27(土) 22:43:01.22 ID:QPp9/bycP - >>206
だから、その手段としてサーバサイドでこうこうできますよって説明しただけなんだが、
もうむなしいわ。
|
- Google Chrome Extensions（拡張機能） Part9
210 ：名無しさん＠お腹いっぱい。[sage]：2011/08/27(土) 22:47:50.95 ID:QPp9/bycP - なんつーの、apacheのログとか説明してもわかりにくいけど、アクセスログとかは一般的だから、
そういう観点で説明すりゃわかりやすいだろ？
で、いってることは同じ。
むしろ、.gifのスクリプト偽造のことしらなかった臭いのに、いまさらしってるみたいなふうな顔して
むしろ特殊な方法なのに、同じことができますって主張されてもね。
電気やガスで炊飯できるようにって意味でわかりやすいよう説明したら、
炭でも炊飯できますが？みたいに主張されても、なんだかなって感じ。
挙げ句の果てにログ解析に専門ソフトは必要ないって、そうだけど何万リクエストもあるのに
手動で計算するってか？あーあ、むなしいね。
|
- Google Chrome Extensions（拡張機能） Part9
212 ：名無しさん＠お腹いっぱい。[sage]：2011/08/27(土) 23:03:13.70 ID:QPp9/bycP - >>211
はあ？再読してみろよ
最初のレスにサーバサイドに入れる必要無いなんて書いて無いだろ。
153 ：名無しさん＠お腹いっぱい。 ：sage ：2011/08/27(土) 17:28:11.30 (p)ID:wKPMf+BVP(3)
>>150
ブラウザが「画像として取得」ね
ユーザの使用画面をキャプチャーしてサーバが取得って意味じゃあないお
サーバ上にサーバサイドスクリプトを設置して画像としておいてある
そのスクリプトではmimeタイプをimage/gifにしてデータをバイナリでブラウザに送ってる
画像に接続しているようで、実は.phpとか.cgiにアクセスしているのと同じことなので、
ブラウザ情報、OSバージョン、IPアドレス、画面解像度とかアクセスログで取得可能な
データはすべてサーバ上のファイルかデータベースにアクセスしたURLとともに
記録させることも可能ってこと。
157 ：名無しさん＠お腹いっぱい。 ：sage ：2011/08/27(土) 17:51:02.60 (p)ID:owyGfyrl0(3)
>>153
img利用タイプなら生ログ以上の事は取れないでしょ
phpとかcgiの下りは完全に蛇足だし、解像度も取れないんじゃないの？
|
- Google Chrome Extensions（拡張機能） Part9
213 ：名無しさん＠お腹いっぱい。[sage]：2011/08/27(土) 23:06:05.41 ID:QPp9/bycP - サーバサイドとかを利用して、こうこうこういうことも可能だ
↓
imgタイプなら生ログ以上は取れない（実際はgetで可能）
phpとかcgiの下りは完全に蛇足（>>153見てそう思うか？）
|