Scratch 3.0 をハック（動作や構造を解析すること）しよう！

qurlay

ハッキングと言えば

<(答え) に [何か] が含まれる>

とか昔ありましたね。

Last edited by qurlay (Aug. 28, 2020 08:26:37)

apple502j

Scratchにbug bountyがあるようです。

apple502j

ScratchBlocksオブジェクトを外部からアクセスする方法を発明しました。
紹介はできませんが、結構大変でした。

LiQiXian

momonngamon wrote:
ハッキングはだめですよね

ハッキングの本来の意味はデータを分析することです。
例えるなら元々商品名だったシーチキンが、ツナマヨと同じ意味で使われるようになった。みたいな感じ。

abee

ハッキングの一部としてデータを分析することはあるかもしれませんが、それをハッキングと呼ぶわけではありません。
たとえば、Wikipediaの定義などを読んでみてください。

yukku

Last Postのリンク切れ防止のためのダミー投稿。

apple502j

情報解禁。

このトピックの題名は「Scratch 3.0 をハック（動作や構造を解析すること）しよう!」です。
ただ、私は別の意味で「Scratch 3.0 をハック」してみました。

Scratchの脆弱性を見つけた人には、報奨金が贈られることがあります。(バグ・バウンティ)
数週間前、XSSの脆弱性を見つけたため、報告してみました。
報告の約5日後修正され、報奨金が贈られることになりました。
(税金関係の書類の手続き中でまだ受け取っていません。)

詳細は後程書きますが、やってみると結構面白いバグハンターです。
脆弱性ハンターになるには、「秘密を守ること」と「(許される範囲内にて)限界にまで挑むこと」が大事です。

inoking

何の情報が解禁ですか？

apple502j

上に書いた件についてです。(ST側から開示の許可も得ています。)

inoking

「XSSの脆弱性」の件でしょうか。
バグ・バウンティのこと自体は秘密ではない（むしろ広めるべき）でしょうから
その制度の紹介が目的なら具体的な件名を出さなければ自由に書けるはずです。
ちょっと投稿の意図が分かりません。

apple502j

「詳細は後程書きますが」の予告です。

inoking

#191 の文章からその意図を読み取れる人はいないでしょう。
意図に沿った文章をお願いします。

apple502j

なんかよくわかりませんが、いま推敲してます。

GoogleGhost

僕は、あるScratcherの方の作品のバグを発見致しました…

詳細はこちら→https://scratch.mit.edu/projects/170124437/

なぜこのようなバグが発生したのか調べてくれませんか?

yukku

調べたことがあるのですが、「2つ目のスプライトのコスチュームが存在しないので読み込めない」が答えです。
ちなみに中身は有名なクラッシュするプログラムです。

rento1904

lastpostからのリンク切れ防止のためのダミー投稿です。

kekelolo

LastPostのリンク切れ防止用

apple502j

第一章: 「一通のメール」
(これは実話です。)

9月21日 21時56分「SECURITY」ではじまるメールは、Scratchに送られた。

きっかけは、あるチャット仲間の挑発であった。「これらすべて攻撃可能ではないか。」BBCodeの一覧の画像を添付したメッセージに反応したのは、私だけだったようだ。(結局その人は、何も成果を出せなかったようだ。)バグ・バウンティは、第一発見者に手渡される。これは時間勝負であると思い、さっそくディスカッションフォーラムを開いた。

とりあえずタグを試してみたが、BBCodeの解析は別のライブラリーが担っている。チェックリストは埋まっていく。それでも最後までふんばった。そのときだ。緑のチェックマークを押すと、「scratch.mit.edu」と表示された。XSSの成功だ。入力欄は、いたってシンプルであった:

[img]http://<img src onerror=alert(document.domain)>[/img]

とりあえずこの成果だけでも報告に値する。調査結果とともに、下の注意書きを書いて、送信した。そのメモが、この脆弱性をやっかいなものにしたのだ。

「フォーラムのプレビューAPIはCSRF対策がされていないため、加工されたウェブサイトによって攻撃が行われる可能性があります。」

taitaitatata

定義でハットブロックやC型ブロックの作成の仕方を教えてください!!

Last edited by taitaitatata (Oct. 10, 2020 01:18:44)

yukku

削除

Last edited by yukku (Oct. 10, 2020 06:39:37)

Discuss Scratch