KDDI、沖縄セルラーは2012年5月上旬より、auのEメール (～@ezweb.ne.jp) /SMSの絵文字デザインをリニューアルします。 今回の絵文字リニューアルでは、株式会社エヌ・ティ・ティ・ドコモ (以下ドコモ) のiモード® メールおよびspモード® メールで使用している絵文字をベースとしたデザインに統一します。ドコモの絵文字を採用することにより、ドコモ、イー・アクセス株式会社 (以下イー・アクセス) が提供する携帯電話との絵文字の共通化を図ります。また、ドコモの絵文字にないau絵文字については、ドコモ絵文字のデザインを基調に新たに制作します。 ご好評いただいていたこれまでのau絵文字につきましては、デコレーション絵文字としてご利用いただけます。 今回のリニューアルは、インターネット上でのコミュニケーションが多様化する中、利用頻度の高いキャリアメールによるコミュニケーションをよ
mobileに関するhasegawayosukeのブックマーク (16)
-
hasegawayosuke 2012/04/18
-
au の F001 に存在した EZ 番号詐称の脆弱性について - co3k.org
このエントリでは、海老原が 11/11 に発見した、「F001 の PC サイトビューアを利用して EZ 番号の作業がおこなえる」という脆弱性について説明します。 この脆弱性を利用されると、たとえば、「かんたんログイン」などの機能を提供する勝手サイトにおいて、 au 端末を利用したユーザになりすまされてしまうといった被害が発生しえます。 本問題の解決に向けてご協力いただいた 徳丸さんのブログエントリ にも詳しく触れられていますのでそちらもご一読ください。 おさらい 徳丸浩さんの以下のエントリで説明されているとおり、 au の 2011 年秋冬モデルの端末でおこなわれる（と宣言されている）変更が、「かんたんログイン」等の用途で使われている EZ 番号の詐称を許す可能性があるのではないかと多くの方々の間で懸念されていました。 IPアドレスについてはKDDI au: 技術情報 > IPアドレス帯
-
KDDIの新GWで「かんたんログイン」なりすましの危険性あり直ちに対策された
au/KDDIの2011年秋冬モデル（現時点ではF001のみ）にてEZwebとPCサイトビューア（以下PCSV）のゲートウェイが統合されたことに伴い、かんたんログインを実装しているサイトに対して、F001のPCSVからJavaScriptを用いた「なりすまし」攻撃ができる状態でした。この問題をKDDIに通報したところ、直ちに対策が取られ、現在は安全な状態です。以下、詳しく報告します。 目次概要 経緯 何が問題か 経緯説明(1)基本的なチェックは対処済みだった 経緯説明(2)ハイフンをアンダースコアに変えるトリックは対策済み 経緯説明(3)海老原氏が発見したトリックとは 経緯説明(4)KDDIに連絡→翌日に対処 実証例 外部からJavaScriptを実行できる条件 影響を受けるサイトの条件 影響 対策 今回の問題は、端末あるいはau設備の脆弱性なのか まとめ 概要以前、「EZwebの2011
-
auのPCサイトビューアーで脆弱性が発覚か？ – 続:auのEZWebがそろそろ終了しそうな件 | [ bROOM.LOG ! ]
ニコニコPodder iPhone/iPod/iPad対応ニコニコ動画簡単インポートツール aggregateGithubCommits GitHubレポジトリでのコミット数をAuthor/期間別に集計します probeCOCOATek 新型コロナ接触確認アプリCOCOAが配布するTEKを表示・集計 この記事はauのEZWebがそろそろ終了しそうな件の続編です。 当該記事では「EZブラウザとPCサイトビューアーのIPアドレス帯域が統一される」ことから場合によってはEZWebの課金システムや一部認証が脆弱性に晒され得るのではないかと危惧したのだが、もしかすると本当に現在それが起きていた(いる)かも知れない。 F001のHTTPヘッダ F001（PCサイトビューアー）※一部伏せ字 あれ？REMOTE_ADDRが111.87.241.##？ これ、2011年秋冬モデル以降の一部機種のEZブラウザ
-
携帯電話向けWebにおけるセッション管理の脆弱性
1 Web Session Management Vulnerabilities in Mobile Web Application * Hiromitsu Takagi Web HTTP ID ID ID 1 1999 NTT i i Web ID ID URL URL ID i EZaccess KDDI EZweb HTTP X-UP-Subno ID EZweb Web ID Web ID EZweb [1] * , 101-0021 1-18-13 1003 , National Institute of Advanced Industrial Science and Technology, Akihabara-Daibiru Room 1003, 1-18-13, Sotokanda, Chiyoda-ku, Tokyo 101-0021 JAPAN X-JPhone-UID
-
-
携帯電話関連のセキュリティ DNS Rebinding まとめ [IIS/5.0のHRSにより携帯から任意のHTTPリクエストを送信可能] - KENJI’S BLOG
マイナーかもしれないけど、HTTP Request Smuggling（通称HRS）という攻撃手法があります。詳しくはWizardBible vol.19の金床氏のHRS記事を参照。そして、それに関連して、IIS/5.0の48kbバグ（仕様?）というものがありまして、簡単に言うと、IIS/5.0は、Content-Typeヘッダが無い48kb以上のボディ部を持つHTTPリクエストに対して、無条件にボディ部を48kbに決めつけるというものです（以下、WizardBible vol.19のHRS記事から引用）。 IIS/5.0にはとてもわけのわからないバグがあるようで、48kb以上のボディ部を持ち、かつContent-Typeヘッダーフィールドが無いHTTPリクエストは、無条件にボディ部を48kbちょうどと決めつけてしまうようです。 ちなみにIIS/5.1も5.0同様48kb決めうちを行います
-
携帯電話関連のセキュリティ DNS Rebinding まとめ [iアプリで試してみた] - KENJI’S BLOG
JavaScriptのXMLHttpRequestでのクロスドメイン制限を回避できるなら、iアプリはどうなんだろう？ ということで試してみた。ちなみにDocomoのiアプリは「制限したHTTP通信」をサポートしており、一応HTTPが扱えるが、携帯電話にダウンロードされたiアプリは、ダウンロード元のサーバへしかHTTP通信できない、また、HTTP以外の通信をサポートしない、という制限がある。 参考：Doja HttpConnection 「ダウンロード元のサーバへしかHTTP通信できない」という点においてJavaScript（Ajax?）と似ている。結果から言うと、iアプリもDNS Rebindingでダウンロード元以外のサーバへアクセス可能だと判明。 mydomain.comのIPアドレスを1.2.3.4にセット（1.2.3.4は自分が管理するサーバ） mydomain.com(1.2.3
-
ソフトバンク携帯の端末シリアル番号リサイクル問題 - Narusaseの日記 -ハニポってどうよ？(仮)-
ソフトバンクの携帯には端末自体に紐付く端末シリアル番号と契約に紐付くUID(x-jphone-uid)が存在しています。 このうち端末シリアル番号は「SN************」の様なフォーマットで表され、固有の値であり同一の値は存在しないと言われています。 しかし、この端末シリアル番号は「あくまでユニークな値」ではありますが、「再利用されない」ものではないらしいと言うことが最近解りました。 端末シリアル番号は実例として修理前後で端末シリアル番号が異なる場合があることが確認されています。 これは推測になるのですが、その際、修理済みの同型携帯(あるいは端末シリアル番号がリサイクルされた新品)をバックするような仕組みになっているようです。(あるいは、修理不可能な携帯の再利用可能な部分のみ再利用している可能性もあります) これによって、以前ほかの誰かが使っていた端末シリアル番号が割り当てられた
-
セキュリティ情報 - iモードIDを用いた「かんたんログイン」のDNS Rebinding脆弱性
iモードIDを用いた「かんたんログイン」のDNS Rebinding脆弱性 HASHコンサルティング株式会社 公開日:2009年11月24日 概要 iモードブラウザ2.0のJavaScriptとDNS Rebinding問題の組み合わせにより、iモードIDを利用した認証機能（以下かんたんログイン）に対する不正アクセスが可能となる場合があることを確認したので報告する。危険度の高い攻撃手法であるので、サイト運営者には至急の対策を推奨する。 背景携帯電話のかんたんログインとは、ケータイブラウザ（たとえばiモードブラウザ）に用意された契約者固有IDを利用した簡易的な認証であり、ユーザがIDやパスワードを入力しなくても認証が可能となる。iモードIDは、NTTドコモの提供する契約者固有IDの一種で、URLにguid=ONというクエリストリングを含めることにより、端末固有の7桁のIDがWebサーバに送
-
はてなブックマーク開発ブログ
はてなブックマークのブックマーク数が多い順に記事を紹介する「はてなブックマーク数ランキング」。2024年2月のトップ50です*1。 順位 タイトル 1位 マンションリフォーム虎の巻 2位 死ぬほど嫌でした｜佐藤秀峰 3位 「面倒なことはChatGPTにやらせよう」の全プロンプトを実行した配信のリンクを整理しました｜カレーちゃん 4位 管理職必読 順番に読むと理解が深まる「マネジメントの名著」11冊 | 日経BOOKプラス 5位 メルカリで値段の「¥マーク」を小さくしたら購入率が伸びた理由、ペイディがサービス名を「カタカナ表記」にする理由など、プロダクトのマーケ施策まとめ30(2023)｜アプリマーケティング研究所 6位 7年適当に自炊してきて調味料について思ったことを書く 7位 ウクライナ軍に入隊したアジャイルコーチが、さまざまなメソッドを駆使して中隊長としてのリーダーシップを実現した話（
-
i-mode2.0セキュリティの検討: 携帯JavaScriptとXSSの組み合わせによる「かんたんログイン」なりすましの可能性 - 徳丸浩の日記(2009-08-05)
_携帯JavaScriptとXSSの組み合わせによる「かんたんログイン」なりすましの可能性 このエントリでは、携帯電話のブラウザに搭載されたJavaScriptと、WebサイトのXSSの組み合わせにより、いわゆる「かんたんログイン」に対する不正ログインの可能性について検討する。 5月28にはてなダイアリーに書いた日記「i-mode2.0は前途多難」にて、今年のNTTドコモの夏モデルP-07AにてJavaScript機能が利用停止されたことを指摘した。同日付のNTTドコモ社のリリースによると、「ソフトウェア更新に伴い、高度化した機能の一部をご利用いただけなくなっていますが、再びご利用いただけるよう速やかに対処いたします」とあったが、それ以来2ヶ月以上が経つものの、未だにJavaScript機能は利用できない状態のままだ。 実は、NTTドコモ社が慌てふためいてJavaScript機能を急遽停止
-
-
-
-
memokami :: 約500機種の携帯端末を網羅するケータイテストエミューレーター「P1 Emulator」を使ってみました
NetFarmさんが携帯端末500機種以上を網羅した「P1エミュレーター」のベータ版が無料で公開されました。 いままで携帯でテストするときに、まともに利用できるエミュレーターといえば、i-modeシミュレータしかなく、結局実機でのテストに頼っていました。 この「P1 Emulator」はケータイサイトのテストの救世主となるのでしょうか。 早速試してみました。 ■まずはダウンロード http://p1.netfarm.ne.jp/ ※ダウンロードには会員登録/ログインが必要です。 ■エミュレーターインストール インストールがめちゃくちゃ重かったです。 うちの環境だけかな。固まったかと思うほど。 気長に待ちましょう ■インストール完了 かなり時間かかりました。 ■ライセンス登録画面 最初に起動するとベータ版のライセンスキーを取得するように言われます。サイトに行って取得しましょう。登録したメール
-
1
公式Twitter
- @HatenaBookmark
リリース、障害情報などのサービスのお知らせ
- @hatebu
最新の人気エントリーの配信
キーボードショートカット一覧
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Copyright © 2005-2024 Hatena. All Rights Reserved.
設定を変更しました