Scratch 3.0 をハック（動作や構造を解析すること）しよう！

akku--n11

このトピックもStickyにされましたね！！

この線から下は署名(しょめい) です

ｶﾜｲｿｽ ಥ_ಥこれで傾向乗りたい

適当ポストカウント:
Found 1032 posts.

Bahotarou

/**
* How many clones can be created at a time.
* @const {number}
*/
static get MAX_CLONES () {
return 300;
}??????????????????????????

qurlay

ハッキングと言えば

<(答え) に [何か] が含まれる>

とか昔ありましたね。

Last edited by qurlay (Aug. 28, 2020 08:26:37)

みなさん、本当に気を付けて。学校行事の日にち、自分が出場する大会の日にちなどをネットに投稿しないでください。結果報告などで本名が知られる場合があります。ネット上では程よく嘘を、程よく本当のことを使うことが大事。嘘は見抜かれない嘘をね。

apple502j

Scratchにbug bountyがあるようです。

署名は、ディスカッションフォーラムの機能である。署名は、その人のすべての投稿の下部に追加される。署名は、BBCodeで記述できる。署名を追加/変更/削除したい場合は、ディスカッションフォーラムのホームの一番下に行き、「Change your signature」を押す。署名の大きさは150pxまでである。これには、改行、画像を含む。- Japanese Scratch-Wiki 「署名」

apple502j

ScratchBlocksオブジェクトを外部からアクセスする方法を発明しました。
紹介はできませんが、結構大変でした。

署名は、ディスカッションフォーラムの機能である。署名は、その人のすべての投稿の下部に追加される。署名は、BBCodeで記述できる。署名を追加/変更/削除したい場合は、ディスカッションフォーラムのホームの一番下に行き、「Change your signature」を押す。署名の大きさは150pxまでである。これには、改行、画像を含む。- Japanese Scratch-Wiki 「署名」

LiQiXian

momonngamon wrote:
ハッキングはだめですよね

ハッキングの本来の意味はデータを分析することです。
例えるなら元々商品名だったシーチキンが、ツナマヨと同じ意味で使われるようになった。みたいな感じ。

はじめまして

abee

ハッキングの一部としてデータを分析することはあるかもしれませんが、それをハッキングと呼ぶわけではありません。
たとえば、Wikipediaの定義などを読んでみてください。

yukku

Last Postのリンク切れ防止のためのダミー投稿。

↑こういう線の下に宣伝とか書いてる人がよくいるけど、こういう線より下の文章には「署名」って名前がついていて、設定を行うと自動で投稿にくっついてきます。詳しいこととか設定方法はこのページにあるので確認してみてください。
この「署名」以外で関係ないこととかをするのは基本禁止なのでそういうことやりたいと思ったら署名でやってください。

日本語フォーラムの使い方っていうプロジェクトを作ったのでどうぞ。

apple502j

情報解禁。

このトピックの題名は「Scratch 3.0 をハック（動作や構造を解析すること）しよう!」です。
ただ、私は別の意味で「Scratch 3.0 をハック」してみました。

Scratchの脆弱性を見つけた人には、報奨金が贈られることがあります。(バグ・バウンティ)
数週間前、XSSの脆弱性を見つけたため、報告してみました。
報告の約5日後修正され、報奨金が贈られることになりました。
(税金関係の書類の手続き中でまだ受け取っていません。)

詳細は後程書きますが、やってみると結構面白いバグハンターです。
脆弱性ハンターになるには、「秘密を守ること」と「(許される範囲内にて)限界にまで挑むこと」が大事です。

署名は、ディスカッションフォーラムの機能である。署名は、その人のすべての投稿の下部に追加される。署名は、BBCodeで記述できる。署名を追加/変更/削除したい場合は、ディスカッションフォーラムのホームの一番下に行き、「Change your signature」を押す。署名の大きさは150pxまでである。これには、改行、画像を含む。- Japanese Scratch-Wiki 「署名」

inoking

何の情報が解禁ですか？

これは署名と呼ばれるもので投稿本文とは関係ありません。
Scratch は「世界最大の子ども向けコーディングコミュニティーで、シンプルなビジュアルインターフェースを持ったコーディング言語」
　つまり「子ども SNS」ではない
・「傾向」とは単に一定の基準で作品を並びかえただけのもので、ランキングでもなんでもない、ナンバーワンよりオンリーワンを目指してみては？
・「フォロー」とは他の Scratcher が何をしているかを簡単に確認するためのもので、「フォロワー」は「ファン」ではない
・「スタジオ」とは特定のテーマに沿って作品をまとめたり、共同制作したりするための場所
・「星」や「ハート」などを何かの見返りとすることは Scratch チームによって禁止されている

apple502j

上に書いた件についてです。(ST側から開示の許可も得ています。)

署名は、ディスカッションフォーラムの機能である。署名は、その人のすべての投稿の下部に追加される。署名は、BBCodeで記述できる。署名を追加/変更/削除したい場合は、ディスカッションフォーラムのホームの一番下に行き、「Change your signature」を押す。署名の大きさは150pxまでである。これには、改行、画像を含む。- Japanese Scratch-Wiki 「署名」

inoking

「XSSの脆弱性」の件でしょうか。
バグ・バウンティのこと自体は秘密ではない（むしろ広めるべき）でしょうから
その制度の紹介が目的なら具体的な件名を出さなければ自由に書けるはずです。
ちょっと投稿の意図が分かりません。

これは署名と呼ばれるもので投稿本文とは関係ありません。
Scratch は「世界最大の子ども向けコーディングコミュニティーで、シンプルなビジュアルインターフェースを持ったコーディング言語」
　つまり「子ども SNS」ではない
・「傾向」とは単に一定の基準で作品を並びかえただけのもので、ランキングでもなんでもない、ナンバーワンよりオンリーワンを目指してみては？
・「フォロー」とは他の Scratcher が何をしているかを簡単に確認するためのもので、「フォロワー」は「ファン」ではない
・「スタジオ」とは特定のテーマに沿って作品をまとめたり、共同制作したりするための場所
・「星」や「ハート」などを何かの見返りとすることは Scratch チームによって禁止されている

apple502j

「詳細は後程書きますが」の予告です。

署名は、ディスカッションフォーラムの機能である。署名は、その人のすべての投稿の下部に追加される。署名は、BBCodeで記述できる。署名を追加/変更/削除したい場合は、ディスカッションフォーラムのホームの一番下に行き、「Change your signature」を押す。署名の大きさは150pxまでである。これには、改行、画像を含む。- Japanese Scratch-Wiki 「署名」

inoking

#191 の文章からその意図を読み取れる人はいないでしょう。
意図に沿った文章をお願いします。

これは署名と呼ばれるもので投稿本文とは関係ありません。
Scratch は「世界最大の子ども向けコーディングコミュニティーで、シンプルなビジュアルインターフェースを持ったコーディング言語」
　つまり「子ども SNS」ではない
・「傾向」とは単に一定の基準で作品を並びかえただけのもので、ランキングでもなんでもない、ナンバーワンよりオンリーワンを目指してみては？
・「フォロー」とは他の Scratcher が何をしているかを簡単に確認するためのもので、「フォロワー」は「ファン」ではない
・「スタジオ」とは特定のテーマに沿って作品をまとめたり、共同制作したりするための場所
・「星」や「ハート」などを何かの見返りとすることは Scratch チームによって禁止されている

apple502j

なんかよくわかりませんが、いま推敲してます。

署名は、ディスカッションフォーラムの機能である。署名は、その人のすべての投稿の下部に追加される。署名は、BBCodeで記述できる。署名を追加/変更/削除したい場合は、ディスカッションフォーラムのホームの一番下に行き、「Change your signature」を押す。署名の大きさは150pxまでである。これには、改行、画像を含む。- Japanese Scratch-Wiki 「署名」

GoogleGhost

僕は、あるScratcherの方の作品のバグを発見致しました…

詳細はこちら→https://scratch.mit.edu/projects/170124437/

なぜこのようなバグが発生したのか調べてくれませんか?

yukku

調べたことがあるのですが、「2つ目のスプライトのコスチュームが存在しないので読み込めない」が答えです。
ちなみに中身は有名なクラッシュするプログラムです。

↑こういう線の下に宣伝とか書いてる人がよくいるけど、こういう線より下の文章には「署名」って名前がついていて、設定を行うと自動で投稿にくっついてきます。詳しいこととか設定方法はこのページにあるので確認してみてください。
この「署名」以外で関係ないこととかをするのは基本禁止なのでそういうことやりたいと思ったら署名でやってください。

日本語フォーラムの使い方っていうプロジェクトを作ったのでどうぞ。

rento1904

lastpostからのリンク切れ防止のためのダミー投稿です。

Various worlds

上のゲームとか作ってます。見てね！！

kekelolo

LastPostのリンク切れ防止用

https://scratch.mit.edu/projects/622199171　←New Project

<0posts[#e5a9c6]  [#e5a9c6]  [#e5a9c6]  [#e5a9c6]  [#e5a9c6]  [#e5a9c6] [#e9ecc4] [#e9ecc4] [#e9ecc4] [#e9ecc4]1000posts >

apple502j

第一章: 「一通のメール」
(これは実話です。)

9月21日 21時56分「SECURITY」ではじまるメールは、Scratchに送られた。

きっかけは、あるチャット仲間の挑発であった。「これらすべて攻撃可能ではないか。」BBCodeの一覧の画像を添付したメッセージに反応したのは、私だけだったようだ。(結局その人は、何も成果を出せなかったようだ。)バグ・バウンティは、第一発見者に手渡される。これは時間勝負であると思い、さっそくディスカッションフォーラムを開いた。

とりあえずタグを試してみたが、BBCodeの解析は別のライブラリーが担っている。チェックリストは埋まっていく。それでも最後までふんばった。そのときだ。緑のチェックマークを押すと、「scratch.mit.edu」と表示された。XSSの成功だ。入力欄は、いたってシンプルであった:

[img]http://<img src onerror=alert(document.domain)>[/img]

とりあえずこの成果だけでも報告に値する。調査結果とともに、下の注意書きを書いて、送信した。そのメモが、この脆弱性をやっかいなものにしたのだ。

「フォーラムのプレビューAPIはCSRF対策がされていないため、加工されたウェブサイトによって攻撃が行われる可能性があります。」

署名は、ディスカッションフォーラムの機能である。署名は、その人のすべての投稿の下部に追加される。署名は、BBCodeで記述できる。署名を追加/変更/削除したい場合は、ディスカッションフォーラムのホームの一番下に行き、「Change your signature」を押す。署名の大きさは150pxまでである。これには、改行、画像を含む。- Japanese Scratch-Wiki 「署名」

Discuss Scratch