hoshikuzu | star_dust の書斎

■Firefox/1.5.0.8でステータス200かつtext/plainなサーバ側出力をブラウズしてJavaScriptが作動する、気がつきにくい例

但し書き

以下は、基本的にFirefox/1.5.0.8以前についての記述です。

昔のIEでのtext/plain出力でJavaScriptが作動

昔のIEでは、サーバからの出力においてMIMEタイプがtext/plainであってもJavaScriptが作動することがあり、特にXSS方面では迷惑以外のなにものでもありませんでした。

今回おはなしするFirefoxのケース

一方、今回このページで記述する、Firefoxにおいてサーバからのtext/plain出力でJavaScriptが作動する件は、ブラウザの脆弱性ではないと思われます。ご安心ください。その理由は後ほど判ります。

サーバ側のtext/plainな出力を以下のようにしてみる

ほんの一例ですが、perlでコードを書いてみます。

#!/usr/bin/perl

print "Link: </http.css>; rel=stylesheet\n";
print "Status 200 Found\n\n";
print "this is a plain\n";
print "text";

HTTPの応答ヘッダにおいて、Link header を用意してstylesheetを呼んでいます。MIMEタイプは明示していませんが、text/plainとなります。

http.cssはこんな感じ

Linkヘッダから呼ばれるスタイルシートファイルは例えば以下のようにします。pre要素対象でなくとも可です。javascript:擬似スキームあたりでは特殊な記述をしていますが、普通に記述するとWindowオブジェクトのプロパティに触れないという制限を回避するためで、Firefox/1.5.0.8以前に有効です。(JavaScriptにこだわらなければ背景色を赤にするなどで試してもいいかもしれません)

pre {
    background: url('javascript:(function a(){alert(document.cookie)}).call(this);');
}

ブラウザの脆弱性ではない理由

上記ではtext/plainな出力でクッキーがalertされますが、Firefoxの脆弱性ではありません。サーバ側にHTTPヘッダインジェクション脆弱性があってはじめて悪意ある攻撃が成立するからです。また、最新のFirefoxにおいて、stylesheetからJavaScriptが呼び出せる可能性はまずはないかと思っております。

でも

JavaScriptを作動させずともstyleで背景が真っ赤なtext/plainなファイルや、テキストなcontentをCSSで表示してしまうファイルはネタ的には興味深いかもですね。ソース表示しても存在していないものが見えるという。作っておいて誰かにみせるというのはどうでしょう？あ、最新のFirefoxで試していませんのであしからず。（HTTPのLinkヘッダで呼び出したstylesheetを最新のFirefoxは解釈しましたっけ？）

う？ところで、そうやって表示されたものをFirefoxでデスクトップに保存したらどうなるのででしょう？？？HTTP応答のLinkヘッダの記述が、meta要素で記述されるはずもありませんし（text/plainなファイルであれば）後でためしてみようっと。

最後に

上記のコードは記憶を元に手でパンチしましたので、適宜修正して作動させてくださいませ。すみません。さっそくyamagata21さんに校閲されました。orz Foundじゃなくて、Founfと書いてしまった…

ツイートする

■ノーム・チョムスキーのバラク・オバマ観

現代思想2009年3月号では、就任直後のタイミングであるにも関わらずオバマ米大統領についての特集が載っていました。（アメリカを代表する良心派である）言語学者ノーム・チョムスキーによる寄稿では、オバマ大統領の中東政策について要領の良い批評があり、私には大変にわかりやすいものでした。

結果、私はチョムスキーが感じ、分析した、オバマ大統領への失望を共有することになりました。残念ながら、中東問題が、オバマ大統領在任中に解決できる可能性は恐らく非常に低いと言わざるを得ないかもしれません。

オバマ大統領の政策の基本は、あくまでも米国内のユダヤロビーを刺激しないようにとの原則に従っていると私には思われます。このため、パレスチナ国家の樹立への具体的な展望を掲げません。イスラエルと、完全に自主独立なパレスチナ国家との間での平和的共存を目指さない限り、あの地域での解決は難しいでしょう。このことは米政府もわかっていそうなものなのですが・・・残念なことです。

アメリカの国内法で禁じられているはずの、イスラエルによるアメリカ製兵器の使用が堂々とまかりとおっており、その兵器がパレスチナ・アラブの女性・子供・老人への無差別攻撃に使われている限り、パレスチナは交渉のテーブルにつかないことでしょう。アメリカもまた、テーブルにつく資格がないことでしょう。

チョムスキーの分析を超える政策をオバマ大統領が実施するきざしは今のところまったく見えてきません。

ツイートする

■卓球と水着

競泳において水着の問題が取りざたされています。技術力の進歩が選手のポテンシャルを引き出す側面に拍車をかけているためでしょう。別に水着で勝つわけではなくて、やはり、最終的には練習したものが勝つのです。とはいえ、水着間の格差が激しければ問題なのかもしれませんね。

卓球という地味なスポーツでも同じことが言えます。主として、ラケットに張るラバーの問題です。最近になって卓球のルールが改正され、ラバーについて厳しい制限がかけられました。この制限がないと、卓球という競技は、もはや人間の能力の限界を超えてしまうからだ、と単純視しても良いでしょう。

考えてもみてください。超一流の卓球選手の打球は時速150キロにも達します。プロ野球の投手の球速と同じほどです。野球であれば、マウンドとバッターボックスとの間の距離があり、優秀なバッターはなんとか反応しているわけです。卓球では、あの狭いコート両エンドの間の短い距離を打球が飛んでくるのです。しかも。野球の打撃ではストライクゾーンにボールが来るのを、打者はほぼ同じ姿勢で待機できますが、（微調整はするでしょうが）、卓球にはストライクゾーンがありません。狭いはずの卓球のコートが、恐ろしく広くなるのです。右サイドを待ち受けて左サイドに打球がくれば、人間はそれを拾えません。ピッチャーの投げる球が暴投であっても必ずバットに当てなくてはいけないほど、いや、それ以上に、卓球でラケットにボールを当てることは難しいことだと思われます。だめだしを試みます。卓球では、相手の打球を打ち返すまでに下手をすると0.3秒ほどしか猶予があたえられないことさえもあります。肉体内の神経に情報が伝わるスピードを考え合わせますと、そもそもついていけないはずなのです。卓球選手は、頭脳も鍛えていますから、反射神経のみならず、戦術思考も組み合わせながらですが、運動神経を使ってプレイしています。なんと恐ろしいことでしょう。ちなみに、一般人が何かを認識して、それに反応しようと思っただけで既に0.3秒ほどは消費してしまいます。

さて、現代におけるラバーの進歩にはすばらしい発展がありましたので、ボールのスピードは肉体の運動をそのまま乗せることが可能になりました。そのため、テニスにみられるような、ボールの打ち合いといったスリリングで見ていてわかりやすいプレイもできません。卓球でドライブの引き合いが5本6本と続くことはほとんどありません。一瞬で勝負がついてしまいます。したがって、ラバーの反発力や粘着力などの規格で厳密に制御してやらねば、プレイしている側も、観客側も、ついていけないスポーツになりつつあったのです。

最近になって行われた横浜での世界大会では新ルールのもとでの大会になったのですが、選手の皆さんはきちんと対応し、すばらしいプレイを観客にみせてくださいました。まことに面白いことに、ラバーの制限が果たされたにもかかわらず、プレイそのものはかえって進化したようにも思われます。卓球はますます面白いスポーツになっていくことでしょう。

水泳競技と卓球とでは、制限の根本思想が異なりますが、使用されるツールについてのコンセンサスの確立において、水泳では味噌をつけており、卓球では成功しているといえます。各競技の団体での内部調整がオープンで十分に論議されてっていされているかいないかの違いが出てきているかと思います。

※スピードが速過ぎるので、卓球の面白さが、一般の人たちには理解できないことも多いかと思います。そういう意味では、アメフトのように、ゆっくりと、ビール片手に戦術を考えながら監督気分で見る楽しみを、卓球は未来永劫、得られないかもしれませんね。不幸なことです。せめてバドミントンなみに見ていて面白ければいいのに。あれはコートが広いですからねぇ。うんにゃ、卓球は自分で体を動かす競技なのですね。温泉卓球オッケー、万歳！

それでいいのだ。

ツイートする