カテゴリー
技術

web2img – 一枚の画像ファイル内にパックしたウェブサイトを展開して動くツール

EtherDream/web2img は、ウェブサイトを一枚の画像内にまとめ、またそのまとめた画像をブラウザ上で展開して表示するツールです。

複数の html だけでなく、CSS ファイルや JavaScript ファイル、画像や動画などリソースファイルをすべてエンコードして一枚の画像が出てきます。

画像は簡易なリードオンリーのファイルシステムのように使われています。これを展開するためにはトップの html と JavaScript ファイル一つだけが必要で、これを置いたウェブページからは ServiceWorker 経由で先に作成した画像ファイルが読まれ、デコードされて格納されていた html/css/js/jpg/mp4 等を使った元々のウェブサイトが動きます。(ServiceWorker に対応しているブラウザで)

こちらに生成用のツールが公開されていて、実際に試せます。

Step 1 でローカルのウェブサイトのフォルダを指定すると、

フォルダに入っているファイルの情報と、ファイルをパックした画像が生成されます。

この画像ファイルをインターネット上の適当な場所に置いて、Step 3に入力すると、

この画像ファイルを展開して動かすための JavaScript ファイルを生成してくれます。

この js をこれを呼ぶ最小の html ファイルの二つを置くと、そのページではパックされた元々のウェブサイト/ページが表示されました。JavaScript を止めたり、ServiceWorker 非対応のブラウザで開くと何も表示されません。

とても面白いですが、これ何に使うんでしょう? Hacker News で紹介されてるタイトルはもっと直截で、「(画像掲示板の) imgur.com にウェブサイトをデプロイする(Deploy a website on imgur.com)」となっています。

ウェブ上に画像を無料や廉価で置けるサービスはたくさんあるので、この Web2img のようなものを使えばウェブサイトの本体部分をそうした画像置き場に置けてしまう、ということですね。Imgur を含めほとんどのサービスでは利用規約に触れるだろうとは思いますが。

サービス側でではアップロードされた画像がこの手の濫用に使われているものではないかをチェックする手間も増えますね。今でも違法なものをチェックして拒絶するために様々な努力がなされているはずですが。

今のジェネレーターではできあがった画像はランダムで意味がないものですが、画像としてもちゃんと意味があって復元できる上に、どこかにこういったファイル群が隠されているように作ることも難しいことではありません。

逆にいうと、アップロードした画像をそれとわからない程度に減色したり圧縮したりして保管して表示するサービスもありますが、その方がこういうhackな利用に耐性ができるということでしょうか。

カテゴリー
セキュリティ

マックハック – ドイツのマクドナルドアプリが無料注文機に

東ベルリンのマクドナルドで、記者の前でWiFiから無料のハンバーガー注文をしてみせた3人組のハッカーの話です。

現地のマクドナルドのスマートフォンアプリでは、購入後にアンケートがあり、アンケートに答えると無料のドリンククーポンが貰えるそうです。

ドイツのソフトウェア開発者デビッド・アルバートさんは、この無料ドリンククーポンの使用時の通信内容が毎回同じであることに気づき、まずはドリンク飲み放題という手段を手に入れました。

さらに彼らは、アプリケーションからマクドナルドのサーバへの通信経路にプロキシーサーバーを挟み、そこで通信の書き換えを行うことで、どのメニューの注文でも好きな値段に、ゼロにでも、書き換えることを確認したそうです。

アプリから0円(0ドル)で注文し、呼ばれて受け取りカウンターに行った彼らは、記者の前で店員に自分たちが無料で注文するトリックを使ったこと、正規の値段を支払うことを申し出たそうですが、店のマネージャーはいいから取っておきな、と取り合わなかったそう。

これまでも同じように自ら申告して、店側が注文をキャンセルしたこともあるし、咎められずに受け取ったハンバーガーをホームレスにあげたりもしたそう。

彼らは無銭飲食をしたいわけではなく、この抜け穴をマクドナルドに伝えることで3人のうち2人の職探しの助けにならないかと考えていたとのこと。

そのような動機で昨年11月にマクドナルドのカスタマーサービスに問題を伝えたものの、2週間経っても穴は塞がれず。その後記者がマクドナルドに問い合わせした際には、「システムは十分にセキュアに作られていて、よほどの手練れでもなければそんな穴はつけないだろう。とはいえ、改善はしています」と回答されたということ。

12月中旬には、この食べ放題ハックは使えなくなっているのが確認されたそうです。3人にも、マクドナルドからの感謝が何らかの形で示されたらしいです。

via Schneier on Security

カテゴリー
セキュリティ

O.MGケーブル – 挿したパソコンが遠隔操作されるUSBケーブル

マイク・グローバさん(@_MG_)が開発を進めているO.MG Cableは、PCを遠隔操作するためのツールを組み込んだUSBケーブルです。

見た目は何の変哲もない普通のUSBケーブル。

PCに挿すと、リモートのスマートフォンアプリから、PCに対してキー入力ができるようになります。デモでは、PCの利用者がスクリーンロックを解除した状態で、任意のウェブサイトをブラウザに開かせていますが、キー入力が遠隔でできるということは、ほぼなんでもできてしまうと言っていいでしょう。

パソコンに外部機器やスマートフォンをつなげるUSBポートが、パソコン乗っ取りなどの攻撃のターゲットとなりやすいのは昔から知られています。

駐車場にUSBメモリをばらまいたら45%の人が自分のPCに挿してファイルを開いてしまった」というような実験もありますし、挿したらPCを破壊できるUSBメモリなんてものも作れたりします。

企業の情報システム部でもUSBポートに指定の機器以外を挿さないよう指導したり、ポート自体を物理的に塞いで使えなくしたりという対策を取っているところもあります。

そんなわけで、出自のはっきりしないUSBデバイスを挿すのはよろしくない、という認識の人は多少は増えていると思われるのですが、今回の O.MG ケーブルの場合、ケーブルの先に挿すのはおそらく自分のスマートフォンなどで、挿す理由も充電のためだったりするかもしれません。

しかし、ケーブル自体に信号を横取りし書き換える機能が入っているのであれば、乗っ取り側からすればそれで十分、というわけです。USBケーブルがどこから来たものか、企業支給のものだったり自分が新品未開封の商品を買って開封した手つかずのものか、というところまで確認しないと危ないかもしれない、となると、管理はさらに大変になりますね。

回路設計からはんだ付けまで勉強しながらo.mg ケーブルを改善しているグローバさんには、ハードウェア・ソフトウェア・開発機材などさまざまな面から協力者の手が挙がっていて、量産化へ向けて前進しているということです。設計や内部のソフトウェアはオープンソースとして公開されるそう。

via New Offensive USB Cable Allows Remote Attacks over WiFi