Jikto
http://japan.zdnet.com/news/sec/story/0,2000056194,20345550,00.htm
んー。手段としては目新しいものではないな。たとえば、JavaScript を使ってポートスキャン*1をしてその結果をどこぞに Post するとか、そういった手法は昔からある。大規模には利用されてないと思うけど。
Ajax とかよくわかんねえのでアレだけど、JavaScript でセキュリティスキャンしようとしたらポートスキャンの手法の延長でやれると思われる。ので、Jikto のすごいところは「できるとわかっていても誰もやらなかったこと」を「できるように作り上げた」こと、だろうな。理論だけだったのを実装しちゃったと。
名前からして Perl で書かれた Nikto を JavaScript に移植したのか Ajax にしたのか、まあそういうところなんだろうけど、低機能で制限の多い JavaScript によく乗せたもんだ。
ActiveX を併用してるのかな。モノ見てみないとわかんないけど、要するにこれで何が大変だっつうと、いちいちエージェントを埋めなくてもボットを作れるってこと。
なんせブラウザがエージェントになるわけだ。とかちつくちて。
CSRF の上位版ってところかなあ。操作をさせるだけでなく、結果を直接持ち出せるってとこがポイント。このノウハウが広まったら厄介だろうな。
一般の人はブラウザの設定を変えたりしないだろうから。人気サイトに穴があったら大変なことになる。
どんなソースなんだろ。
今気づいた。そういや IE って相変わらず MIME 無視すんだよな。ってことは jpg に偽装したナニを参照させるようにしてナニすればいいわけか。なつかしのフシアナサントラップみたいな感じでボットが大量発生する可能性がある。ほかにもやりようはいくらでもあるな。キンタマのかわりにそれっぽいインターネットショートカットを潜ませておいてブラウザで開いたらナニするとか。
うわー対策考えるの面倒だなこりゃ。パターンマッチで逃げようとしても難読化されてたらキツかろう。逆に難読化の部分でひっかけると既存の難読化ツールが使えなくなってつらそうだ。
とりあえず ActiveScript オフにしとけってとこか。
