「IEの素敵なクリップボード傍受機能」記事へのコメント

無効にするしかない

[hanetsuki (4035)]

チャットとか複数回submitが当然のところに仕込まれたら怪しいと気付く術もありませんね。(^^;

ああ、こんなところがMicrosoftだなと思いつつ「ダイアログを表示する」にして高木さんのデモを再び試しました。

すると…、実装がタコなことに「関数を呼ぶ度に」ダイアログを表示するので、1秒おきに60回ダイアログが呼ばれることに。
JScriptはESCキーで止められませんから、1秒よりも短い間隔だった日にはプロセス単位でしか止められません。

で、結局「無効にする」しかないと。
…申し訳程度の「ダイアログ」だなぁ。

Re:無効にするしかない

[kei100 (5854)]

submitが発生しなくてもデータは送信できますよ。
ええ、チョコチョコっと弄れば裏で送信できます。
# 定期的にeのマークが回りますが、IEは送信と
# 認識しないのでダイアログを表示では防げません・・・
# ネスケでもこの送信機能だけは使えると思いますが・・・

ちなみに、実際に1秒間隔以内でやってるページが実際にあります。
なんでも、PrintScreen抑制のためにかなり短い間隔で
クリップボードにNullを代入するという(苦笑)
# すでに、この脆弱性のヤバさに気づいてた私は
# ダイアログが止まらず強制終了させられました(爆死)

このコマンドを呼び出したページのスクリプトを停止
とかいうボタンがあってもいいよなぁ・・・

では。

Re:無効にするしかない

[okayusan (6238)]

定期的に eのマークを 回さない 方法もありますよね。たとえば liveconnect を使って JScript と Java Applet を連携させれば。
あとは IFrame をつかって そこのなかで submit() 関数を使うとか。（こっちは eが廻っちゃうのかな)

Re:無効にするしかない

[kamira (6480)]

最近タブブラウザを使われている方も多いと思いますが、
そういった人を狙い撃ちできますね。
これ、タブが奥に隠れていようと情報は反映されますから、
「～しながら・・・」という人にはかなり危険です。

もしくは、SSTPと組み合わせて使うとアクセスしてきた人の情報を
リアルタイムで悪意を持ったクライアントに送る事も可能ですね。

Re:無効にするしかない

[Nomad-AY (2520)]

この手の機能は基本的にダイアログ表示にしていたのですが、更新間隔によっては使い物になりませんね。ダイアログ表示中は設定変更できなくてはまりますし…。あるいみブラクラ。
まぁ、もうひとつ InternetExplorer を起動してそちらの設定を変更してみたところ、両方に設定が行き渡るようなので回避策はありますが。
まぁ、面倒なので無効にしちゃった方が幸せでしょうね。このような機能を必須とするサイトは利用しないでも良いだろうし。
#「これが仕様です」というのは正しいと思います。が、それらの仕様が周知されていない(わかりにくい)というのはどうかと思いますが……。

--
タブレット中毒者。

Re:無効にするしかない

[nackey (3237)]

Windows9X系ではどうかわかりませんが、NT系であれば別のIEもしくはコントロールパネルから直接インターネットオプションのアプレットを開いてセキュリティレベルを変える(「スクリプトによる貼り付け」を無効にするのかな?)ことでその設定が全IEに波及します。
一応試しにやってみた。「変更前」に出ていたウィンドウは自前で閉じる必要がありますが、うまくいきました。

cookieを山ほど食わせようとするサイトのセキュリティレベル変更にも効きますので、お試しあれ。

Re:無効にするしかない

[nackey (3237)]

ありゃ、すみません。Nomad-AYさんがすでに言及されてましたね。

…最近迂闊者だ…。