kuriiiiii wrote:

なるほど、クラウド変数の改ざんはスクラッチの何らかのルールやコミュニティーガイドラインに違反する行為なのですか？もしそうであるなら対処方法を教えていただきたいです。

1. 完璧とは言わずともScratchのAPIのドキュメントを見れるから
   
2. ローカル環境でScratchが動いてて楽しい
   

• 基本情報：公開日、更新日、プロジェクトの種類（ゲーム・絵・3D など）、言語
  

• 人気指標：参照数、スター、ハート、リミックス数、コメント数
  

• 傾向表示：傾向ページ（何Pに載ったか）、ページ内の順位
  

• コメント状況：ON/OFF、最新コメント日
  

• 地域や時間差：ブラウザの言語設定やアクセス時間による変化
  

• 他者のアカウントや非公開情報には一切触れません。
  

• コメント実験は必ず作品制作者の事前同意を取ります。
  

• サーバー負荷を避けるため、1日1回程度の低頻度観測を徹底します。
  

• 協力は任意・匿名可。荒らしや報酬の約束は行いません。
  

• 1. 指定時間に傾向ページや対象プロジェクトを開いてスクリーンショットまたは数値を記録。
  

• 2. 指定のCSVテンプレ（配布します）に転記して週1回で送信。
  

• 3. コメント実験（任意）：事前同意したプロジェクトにのみ、指定日時に1〜3件程度の建設的コメントを入れる。
  

U-Y-Scratch wrote:

PCを買い換えたら、「サムネイルをセット」ボタンが出てきました。そのため、アカウントでなく端末に紐図けられていると考えます。

TNTSuperMan wrote:

#911
それはキャッシュではないですか？
前に使っていたPCではサムネイルボタンが無いバージョンのScratchのキャッシュが読み込まれていて、
新しいPCではキャッシュが無いため、最新のサムネイルボタンがあるバージョンのScratchが読み込まれている

apple502j wrote:

第二章: 乗っ取り成功
(これは実話です。第一章は#202で)

CSRF対策は過去にやったことがあったため、CSRFの仕方は知っていた。formを書き、hidden inputを置き、それを自動送信する。このウェブサイトを閲覧したユーザーは、フォーラムのAPIに移動させられ、そこでXSSが待ち構える。

セッションを盗まなくても、同一生成元ポリシーの前提はすでに失われていた。XSSで挿入されたスクリプトでCSRFトークンを抽出し、それを用いてリクエストができる。まずはいたずら程度に、「地域」設定を南極にするコードから始めた。

アカウント設定を変更するのは大きな一歩だ。メールアドレスの設定を自由に変更できれば、パスワードを漏らすのと結果は同じである。22日、設定をハッカーりんごのメールアドレスに変更するコードを書き、試した。リンクをクリックすれば、メールアドレスが変わる。メールアドレスが変われば、パスワードリセットメールの受取人も変わる。後は想像にお任せを。

(注: 実際のテストでは当然ですが私のサブアカウントを利用しました。)

U-Y-Scratch wrote:

#912〜#915

少し説明が足りませんでしたね。Windows10サ終でWindows11に買い換えたら、「Hi! Try out our new feature.」がもう一度出てきました。そのため https://scratch.mit.edu/discuss/post/8717705/ と考えられる、というわけです。