はまやんはまやんはまやん

hamayanhamayan's blog

Japan Tech News #019 2020/04/29

JapanTechNews

hamayanhamayanがインターネットを巡回して得た情報まとめ。 "Japan"と言うには主語が大きすぎる。

Hottest

  • オーディオプラグインの動的ポートに関する覚書 - ものがたり
    • 正直半分も深く理解できなかったが、だが、開発全般のエッセンスとして学ぶことが沢山あった
    • プラグインとプロセス分離モデル
      • ブラウザもプロセス分離モデルを採用しているが、外部のものを使う前提であればプロセスを分けておくのは安全な手段となる
    • ポートは外部とのインターフェイスとして定義されているのだろうが、その情報がマニフェストに書かれている
      • でも、それが動的になるということで、マニフェストも動的に変わるようだ
      • マニフェストにはポートの型情報も入っているみたい？
      • 友達んちでSonerがよく落ちるのを見ていたが、これが原因だろうか（単にメモリ不足とかかもしれんけど）
    • しかもオーディオプラグインってGUIもあるから大変
    • GUIの方はどういう感じでやってるんだろう。大変そう

競技プログラミング

セキュリティ / CTF

  • 「Microsoft Teams」にGIF画像を見るだけで機密情報を抜き取られる脆弱性 - 窓の杜
    • teams.microsoft.comまたはteams.microsoft.com以下のサブドメインを不正に取得できれば、そこにアクセスさせることで、不正にクッキーを送信させることができ、そのクッキーで色々不正なことをされちゃうという流れ
    • フィッシングメールとかでそのサブドメインのURLを踏ませるということもできるが、GIF画像を見るだけでも、アクセスさせることができるみたい
    • CyberArkの記事では、Evil Gifとしてドナルドがミッキーを駆逐する動画が紹介されている（まあ、内容は関係ないのだが）
    • PoCを見ると、不正なリクエストとして不正なURL（悪意のあるサブドメインのやつ）をimgタグのsrcに入れて送ると、正式な投稿と認識されて、相手に送ってしまう
    • 送られた側は画像を自動で取ってくるので、見た目上は画像が送られてきただけなのだが、実際は不正なURLを踏まされている
    • 題名を見た感じ悪意のある動画GIFをネットから取って、貼ったら発動するのかと思ったけど、そういうわけじゃないみたい。なので、送られてきたGIFをダウンロードして誰かに送り返してもそれは問題なさそう
  • ほぼすべてのウイルス対策ソフトにOSを破壊可能な脆弱性 ～現在は多くのソフトで修正済み - PC Watch
    • 自身を悪意のあるプログラムに見せかけて削除させるが、検知から削除までの間に自分を任意の削除したいものに置き換えることでウイルス対策ソフトに正規のファイルを削除させるテク
    • ついこの前かな？競合状態がセキュリティ問題になるCTFの問題を解いたな

☕ 技術 / 雑多

[emoji:813] 音楽 / エンタメ / デザイン

[emoji:190] 流し見