InternetExplorerに潜む危険
InternetExplorer (以下IE) には、パフォーマンスのため、という理由で、恐るべき仕様 (Microsoftはバグとしての対処はしていない) が存在する。
それは「あるスクリプトを実行すると、クリップボードの内容が取得できる」というものである。
言い換えると、僕がこのページにあるスクリプトを埋め込み、ページを開いた時点で実行するようにしておく。
すると、このページを開いた人のクリップボードにある内容 (コピーしたテキスト) が秘密裏に書き出せてしまうのだ。
あなたがもしパスワードをコピペで入力していて、この仕様を悪用した悪意あるスクリプトを埋め込んだサイトに飛んだら・・・パスワードが取得されるかもしれない。
恐ろしいことこの上ない。
悪用例を挙げる。
といっても僕が思いついた内容なので、本当に実現するかは分からないが、それに近いことはできる。
まず、サイト訪問者に必ずクッキーを焼き、ユニークユーザーを判別する。
それに加え、クッキーと紐付けできるログと上記のクリップボードの内容を吐き出させる。
これだけで、大抵の悪事が働けるだろう。
Aさんが10個のクリップボードを取得されていたとする。「今日は○○と遊んで…」「LigSKdfisf」という内容落ちていたと仮定したら、もう悪事の方法は確定。
まず、「LigSKdfisf」という文字列は、パスワードと見て間違いない。
「今日は○○と遊んで…」を丸々グーグル検索にかける。blogがヒットすればビンゴ。
上記文字列でログインできる可能性が極めて高い。
ログインできたなら、後は荒らすだけである。
Bさんが、同じく10個クリップボードを取得されていたとしよう。
その中に、「○×銀行△◇支店」「019287」(お客様番号？)、「1119」(パスワード？)、なーんて文字列があったら、もう悲劇(このパスはさすがに直打ちするか・・・)。
残りの内容から個人情報を集める。
恐らく、インターネットバンキングなどでキャッシュを移動したり引き出したりできる可能性が極めて高い。
こわー。
上記のスクリプトによるクリップボード情報取得の対策は、実はIEユーザーに任せられている！
とりあえず、ネタもとの下記サイトをごらんいただきたい。
Ceekz Logsさん
Internet Explorerの「スクリプトによる貼り付け処理」機能の能力を検証する
特に後者は、実際にスクリプトが動くので驚愕。
対処方法は、とりあえず以下。
「ツール」→「インターネットオプション」→「セキュリティ」→「レベルのカスタマイズ」→「スクリプト スクリプト貼り付けの許可」
後者をこの変更してから開いてみるとちゃんと実行されないようになります。
注：一秒に一度アラートがでるので非常にうざくなります。確認したら一秒以内にブラウザを閉じてください。
ダイアログはうざいけど1秒ごとに出るなんて明らかに悪意ある設定の証なのでまぁダイアログ表示を推奨します。
以上、ネットこわーというお話でした。
# 以下余談
色々試していて判明したこと。
Windows XPのアラートメッセージは、クリップボードに突っ込まれている！
Internet Explorerの「スクリプトによる貼り付け処理」機能の能力を検証する
このページを開いているときに、たまたまメールが届き、アラートに
Message from Becky!
新着メールがあります。
みたいなアラート(ダイアログ？)がでたのだが、それがなんと取得されて画面上に！
びくりーしました。
そういう処理をしてるのね。
以上、トリビアでした。