パスワードを忘れた? アカウント作成
この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。

URLに含まれるとGoogle Chromeがクラッシュする文字列」記事へのコメント

  • 「biome3d.com」というドメインがフィッシングサイトではない保障もないし、検索サイトにも出てこないのですが、みんな割と無頓着にリンクをクリックしているような。
    #Biome3D自体は、3Dプリンターのフィラメントのようですが。

    知っているドメインに置き換えて試してみたら、Apacheのデフォルトのエラーページが(Apacheのバージョン付きで)出てきてもにょっとしたり。
    #ミドルウェアの種類やバージョンを知られるのは、そのバージョンで残されている脆弱性を突かれる原因ともなるはず。
    試したサイトはセキュリティ情報もやりとりされるようなところなだけに、ちょっと残念。

    • by Anonymous Coward

      「biome3d.com」というドメインがフィッシングサイトではない保障もないし、検索サイトにも出てこないのですが、みんな割と無頓着にリンクをクリックしているような。

      フィッシングサイトか疑うのは個人情報やログイン情報などを入力するときなので、今回のケースはそれにあてはまりません。

      もしかして、毎回リンクをクリックするたびにwhoisでドメインの所有者を確認しているくらい、慎重な行動をされている人ですか?

      #ミドルウェアの種類やバージョンを知られるのは、そのバージョンで残されている脆弱性を突かれる原因ともなるはず。

      • ソフトウェアの種類やバージョンを隠すことでセキュリティが向上することはないですよ。

        昔は私も、クライアントPCにおける UserAgent や、Webサーバにおける Server(HTTP Header)の隠蔽・偽装をしたところでセキュリティ上の効果が無いというコメントをした記憶がありますが、ここ数年で状況が変わったと思います。

        最近のマルウェア配布サイトは、UserAgent でターゲットを絞り込む場合が多いです。

        理由は簡単で、Webブラウザにマルウェア配信サイトをブロックする機能が内蔵されるようになったので、全てのクライアントに対してマルウェアを配信すると、ブロックされる可能性が高くなるからです。悪意のあるWebサイトのブロック機能は、クローラーが当該Webサイトをクロールして、悪意のあるコードを含むかどうかを判定しているので、クローラーのUserAgentに対してマルウェアを配信しなければ、ブロックされる可能性が低くなります(最も、悪意のあるページだとの報告が増えればブロックされますが、時間稼ぎになります)。そのため、「UserAgent」が脆弱性のあるバージョンのブラウザの場合に限って悪意のあるコードを配信するサイトも増えてきました

        ということは、UserAgentを隠蔽・偽装することで、悪意のあるコードが配信されにくくなるので、補助的なセキュリティ対策として明確に効果があります。

        また、フィッシング詐欺サイトの場合は、例えば日本の金融機関を狙っているのであれば、ブラウザの言語設定やIPアドレスから日本国内からのアクセスを判定して、それを満たす場合にのみフィッシング詐欺サイトを配信するケースもあります。これもフィッシング詐欺サイトとしてブラウザにブロックされにくくするためです。

        最近はターゲット型の攻撃も増えており、報道によると、特定企業や特定団体(政府機関など)のみをターゲットにする例もあるようです。GOM Player のマルウェア配信についても、特定のIPアドレスにのみマルウェアを配信していました。

        Webサーバーについても同様で、最近では例えばApache であれば mod_evasive とか mod_dosdetector などのモジュールや、IDS・Webアプリケーションファイアウォールなどを導入するケースが増えているので、昔のように色々な種類・バージョンのサーバソフト向けの攻撃コードを山ほど送り付けたら、あっという間にIPアドレスごとブロックされてしまいます。従って、攻撃ツールも Server Header を見たり、エラーページやレスポンスの特徴から判断したりしてサーバソフトウェア・バージョンを特定してからそれに対応した攻撃コードを送ってきますから、Server(Webサーバ)ヘッダーの隠ぺいも補助的なセキュリティ対策としては有用な状況となりました(振る舞いからサーバOSを特定する方法もあるので完璧な対策とはなりませんが)。

        ということで、ブラウザの UserAgent を本来のものとかけ離れたものにすることをお勧めします。ただし、「ご利用のブラウザでは当サイトはご利用になれません」といったページにリダイレクトされる恐れもあるため、初心者にはお勧めできません(そういったメッセージが表示された場合には別のUserAgentにする必要があります)。

        親コメント
        • by Anonymous Coward

          確かに最近の悪意のあるサイト(埋め込みスクリプト)はUAで処理を分岐するものがよくありますね
          ただ,正規サイトも同様のものが多くなってきており,ユーザ側でUA偽装すると仰っているとおり正規サイトでもいろいろ困ることになると思います
          身近な例ではAMOやChromeStore,Googleの各種サービスもUA基準で表示や処理を変えています
          セキュリティとの天秤にかけた場合に,ベネフィットに比べると不便さの方が強い気がします

          あえてUA変えるぐらいなら,ブラウザのアップデートをきちんとするとかNoScript/RequestPolicy/uMatrixなどのアドオンで悪意のあるスクリプトのロードを防ぐとかの方が効果的かなーと

          • by Anonymous Coward

            ブラウザのアップデートをちゃんとやって、かつUAを変更する。
            別に競合する対策じゃないし。

        • by Anonymous Coward

          UA文字列を変えて状況によって自分で対処するだけのガッツがある人は、そもそも臭いフィッシングサイトには引っ掛からないでしょうから、効果があるのはゼロデイだけです。最近のUA文字列は種類だけを示して型番はないので、リスクとしてはそう変わりません。

アレゲはアレゲ以上のなにものでもなさげ -- アレゲ研究家

処理中...