金利0無利息キャッシング – キャッシングできます

 | 

2011-04-25

ローカルのHTMLファイルからどこまで読み取れるか選手権 2011

20:14 | ローカルのHTMLファイルからどこまで読み取れるか選手権 2011 - 金利0無利息キャッシング – キャッシングできます を含むブックマーク はてなブックマーク - ローカルのHTMLファイルからどこまで読み取れるか選手権 2011 - 金利0無利息キャッシング – キャッシングできます

ブラウザ開発者の間では、よく知られている問題だと思うけど、普通にインターネットを使っているユーザーからすると、あまり知られていないのではないかと思うので書く。

例えば ~/.ssh/id_rsa にSSH秘密鍵を保存している平均的なMac OS Xユーザーが居るとして、こういう

<script>
var req = new XMLHttpRequest;
var username = location.href.match(/Users\/(.*?)\//)[1];
alert("Username:" + username);
req.open("GET", "file:///Users/" + username + "/.ssh/id_rsa");
req.onload = function(){ alert(req.responseText) };
req.send();
</script>

HTMLファイルをデスクトップダウンロードフォルダに保存させた上で開かせるとどうなるか?

JavaScript使いは簡単なアプリケーションならローカルのHTMLファイルで作るということもよくあると思う。ソフトウェア開発者がマニュアルを記述するのに、手書きすることができて、どんな環境でもたいてい開けるHTMLを使うのもよくあるだろう。ローカルに保存されたHTMLファイルというのは、使われる機会の割に、そのHTMLファイルを「どの程度安心して開けるのか」ということがあまりにも知られてなさすぎるのではないか、と感じる。

ブラウザごとにどういうアプローチを取ってるのかが結構違ったりするので、軽く紹介してみよう(どのバージョンからこうなったのかというのがなんとなく記憶にあるが詳しく調べてない)

IE9 on Windows7

  • ローカルのHTMLファイルに含まれるscriptは、デフォルトでブロックされる。
  • 許可するとやりたい放題で、httpで始まるURLも読めるし、Cookieも送る。
  • ローカルHTMLファイルでscriptを許可すると、アクセス制限されてるコンテンツや、Cookieで認証済みのコンテンツを読み取られる可能性がありますよ。

Firefox4

Google Chrome 12 dev on OSX

  • ローカルファイルに対してXMLHttpRequestを発行すると Cross origin requests are only supported for HTTP.
    • 自分自身のファイルは読める
  • 今見ているファイルだけがSame originで、それ以外は異なるoriginだと考えているようだ。

Safari 5.0.5 on OSX

  • デフォルトの状態で異なるディレクトリにあるファイルでも読める。
  • iframeでディレクトリURLを入力すると、Finderが表示されてSafariから読み取ることは出来ない。
    • なのでおそらく、読み取れるのはファイル名が既知であるケースに限定されると思う

Opera 11.10 on OSX

  • ローカルファイルに対してXMLHttpRequestを発行すると "XMLHttpRequest to files is disabled for security reasons. Set "Allow File XMLHttpRequest" with opera:config#UserPrefs|AllowFileXMLHttpRequest to disable this security check." という警告が出る。
  • この設定を有効にすると、ローカルファイルに対するXMLHttpRequestが有効になる。
  • 設定を有効にした場合は、異なるディレクトリにあるファイルでも読める。
  • 異なるoriginとは見なしていないので、ブラウザで表示できる種類のファイルであれば、iframeを使って任意のファイルが読める。
    • ~/.ssh/id_rsaなんかもよめる。

まとめ

  • 何の警告もなく、デフォルトの設定で、ローカルファイルから任意のローカルファイルを読み取れるのはSafariだけだ!!!!!!!
  • WebKit使っているアプリが、ローカルファイルのコンテキストで何か表示する+バグがあると、この問題の影響を受けることがあります
  • ローカルHTMLをベースにしたアプリケーションが、警告を無効化したり設定を変更するように説明していることが、たまにあります
  • ローカルHTMLファイルでWebアプリケーションのモックを作ったり、開発を行ったりする際に、設定変更する方法を案内している記事があります。
    • 無効化されていたり警告が出たりするのには、それなりに意味があるので、何が出来るのかについてよく考えた上で、設定変更は慎重に行いましょう
  • Safariで(信頼できない)ローカルのHTMLファイルを開くのは、現状避けるべきでしょう。

補足

  • このエントリを書いてる目的は主に二つで
    • 一部のブラウザに置いては信頼できないHTMLファイルを開くのは、ローカルファイル漏洩の危険がある。(ユーザーに対する注意喚起)
    • ブラウザコンポーネントを組み込んだソフトウェアで「任意のローカルファイルを保存して開かせる機能」や「file://プロトコルで開いているときに任意のHTMLを混入できるバグ」があると、ローカルファイル漏洩の危険がある。(開発者に対する注意喚起)

参考文献

MariluMarilu2011/11/03 13:38I thank you humbly for sharing your wsidom JJWY

jzvhvkyjzvhvky2011/11/04 22:48mkScoL , [url=http://bmryixnagvni.com/]bmryixnagvni[/url], [link=http://qxnvheiaayqv.com/]qxnvheiaayqv[/link], http://hwpnmmyryaas.com/

rxarlwznbjrxarlwznbj2011/11/06 20:29jcFkBm <a href="http://pagskgjorknh.com/">pagskgjorknh</a>

uvnaigzhuvnaigzh2011/11/08 00:37ukh2tJ , [url=http://aktduiaznbfe.com/]aktduiaznbfe[/url], [link=http://iophuddqjdfw.com/]iophuddqjdfw[/link], http://ionsmyacztto.com/

KabvitesKabvites2018/05/11 18:27Подобрать МФО, где возможно обрести онлайн кредит сегодня не так уж и просто.

Чтобы принять средства на карточку банковской организации или на электронный счет, необходимо пройти довольно длительную процедуру. Вы имеете прекрасную вероятность получить займ на сайте - <a href=http://все-займы-тут.рф/>займ на карту без отказа от 18</a>

На <a href=http://все-займы-тут.рф/микрозаймы>http://все-займы-тут.рф/микрозаймы</a> вы можете получить займ с содействием специалистов. Консультанты помогут выбрать для вас самое интересное предложение.

Операторы работают живо, поэтому вам не надо длительно время ждать, пока обработают ваше обращение. Помимо этого, сервис пользуется спросом, из-за этого у него хорошие отзывы.

Если вы хотите обрести кредит, хотя находитесь в другом регионе, получить вы кредит можете и на кошель киви. Микрозаймы предоставляются любым приемлемым для вас вариантом. Вы сможете вероятно выбрать предпочитаемый вариант, затем организация переведет вам деньги.

GedbokaInombGedbokaInomb2018/08/30 06:39В наши дни безумно много людей приобретают загородные комплексы. На даче или в загородном доме есть желание сделать максимум для отдыха. Если вы желаете чувствовать себя в загородном комплексе уютно, советуем вам сделать озеленение. С содействием зеленых газонов и симпатичных лужаек внешний вид дачного дома будет красивым! Невероятно много людей изначально создают красивый ландшафтный дизайн, перед тем, как возводить загородный дом. Если вы стремитесь сделать зону отдыха у себя дома, советуем перейти к нам на сайт и узнать подробнее про - <a href=https://greenhistory.ru/tseny/gazon_rulonniy>рулонные газоны</a> .

На greenhistory.ru у вас доступна возможность заказать услуги по озеленению. Невероятно много сотрудников трудятся в фирме Green History. Все сотрудники считаются опытными специалистами, которые могут постелить рулонный газон и создать симпатичный внешний вид задней площадки. С помощью менеджеров компании вы сможете выбрать, какой газон вам лучше подойдёт и на что следует обратить внимание. Сотрудники могут проконсультировать вас и по поводу того, какой ландшафтный дизайн участка подойдёт лучше исключительно вам.

Действия

Специалисты детально просмотрят ваш участок, после чего приступят к дизайнерскому плану. Надо подходить к любой зоне творчески, чем и занимаются сотрудники компании. Они смогут разработать симпатичный внешний вид, применяя специальные навыки и заработанный опыт. Вас ожидает ряд приятных находок. Вы сможете ощущать себя как на отдыхе, после того, как газон будет постелен.

Сегодня безумно много людей радуются красивому внешнему виду их территории. С содействием серьёзной работы строителей ваш участок будет радовать не только ваши глаза, но и ваше сердечко длинные годы. Именно для этого эксперты фирмы и выбирают специальный посадочный материал, который хорош по своим характеристикам. С содействием него вы имеете шанс получить газон, который будет вам служить множество лет.

Если газон будет качественным, и он будет по уму уложен, вы можете не сомневаться в том, что он будет лежать долгое время. Профессионализм в работе – это конкретный нюанс, на чем основывают особенно работу менеджеры Green History.

Как корректно оформить заказ?

Вы можете сделать заявку на сайте. Достаточно кликнуть на greenhistory.ru где есть также есть информация про <a href=https://greenhistory.ru/tseny/landshaftnyj-dizajn>ландшафтный дизайн участка</a> , у вас будет возможность сделать заказ online. На портале вы найдёте рулонные газоны, которые возможно полностью изучить. Если вы желаете узнать последнюю смету на выполнение работ по ландшафтному дизайну, можно связаться со специалистами по телефону 8-(495)-504-15-24, где они смогут полностью ответить на все вопросы.

Вас проинформируют не только по общим вопросам, но и касаемо проектирования. Квалифицированные сотрудники также посетят объекты, где они имеют шанс проверить все замеры и внимательно изучают структуру участка.

Если вам нужны чисто инженерные чертежи, вы сможете также писать к специалистам. Они смогут проконсультировать вас по многим вопросам. Они подскажут, где лучше поставить водоем, а где лучше сделать клумбу.

Уход за территорией

В зависимости от ваших пожеланий вам смогут подобрать газон. Если вы желаете не тратить деньги на озеленение, вы можете всё обговорить заранее. В это время ландшафтный дизайн выбрать возможно легко, нужно обсудить с менеджером детали и рассказать о личных пожеланиях.

Функции фирмы

На портале вы также найдёте примеры. Если вам потребуется детский игровой комплекс, его без сложностей смогут установить в сжатые сроки. Если вам нужен проект ландшафтного дизайна для большого загородного дома, то его могут в сжатые сроки организовать специалисты. Даже если у вас мизерная площадка, но вы хотите красиво озеленить её, специалисты смогут что-то придумать. На вашем участке реально использовать приятные гранитные камни, водоемы. Если вы желаете озеленить территорию, где расположен сад, это тоже можно сделать. В этом случае, ландшафтный дизайн участка будет по нюансам изучаться и обсуждаться. Ведь многие деревья растут в каких-то местах, про что необходимо помнить. Если будет ужасно падать тень или дереву будет мало солнца, оно положит голову.

Невероятный внешний вид

После завершения всех действий вы сможете самостоятельно убедиться в том, что с вашей территорией работали профессионалы. Если вам потребуется клинкерная брусчатка на участок, то через фирму её реально заказать. Компания проведет все нужные монтажные работы, а укладка плиточки пройдёт в несколько этапов, после чего внешнее состояние коттеджа будет безупречным! Помимо этого, реально будет также сделать дополнительно освещение либо заказать специальное оборудование. Менеджеры работают мгновенно и добротно, а все работы ведутся по оговоренным договоренностям.

Работа с фирмой – залог качества

Если вы желаете воспользоваться услугами компании, обращайтесь на greenhistory.ru, где вам полностью расскажут про всё. Проект ландшафтного дизайна будет спроектирован моментально, а специалисты сделают все замеры и сориентируют вас по временным рамкам. Организация расположена в г. Москва, Дмитровское шоссе, дом 100, офис 414, где вы всегда можете их найти.

 |