なにか回避策はあるだろうと情報をあさっていましたが、レジストリに whitelist を書くものや起動オプションに whitelist を書くものを試してみましたが、どうにも効かないご様子。そんな中、 Chromeでユーザースクリプトが無効化されたから、Tampermonkey経由で利用する: DNAが支配する世界で発見した Tampermonkey なる拡張機能を使うことでuserscriptを使うことができるとのこと。

さっそく導入してみて、自作の userscript をインストールしてみました。結果、ごく普通に使えるみたいです。 Google Sync でインストール内容を同期することもできるようで、今まで使っていなかったのが馬鹿らしくなるほどです。前述のエントリーでも触れられているように、 Firefox の Add-on である Greasemonkey の Chrome 版といった感じです。

前述のエントリーでは、拡張機能の id を元にローカルディスクからスクリプトファイルを探してインストールする方法が紹介されていましたが、 Tampermonkey の設定を行った上でインストール済みのスクリプトを Tampermonkey 経由でインストールし直すことができるような感じでした。私は自作スクリプトを github に公開してるので、更新することを考えてそちらからインストールしたので試せていません。

Chrome Web Store 以外でホストされていた拡張機能については、一度 crx ファイルの拡張子を zip にして解凍して適切なフォルダーに置いた上で、 Chrome のデベロッパーモードを有効にしてから「パッケージ化されていない～」で読み込むことで使えたので、これはこれでいいかなと思ってます。ただ、自動更新が無効になると思われるので、定期的に更新を確認する必要があるかなと思います。この辺の更新を通知してくれる拡張機能が Chrome Web Store にあれば最高ですね。自分で作ってもいいですが、 Chrome Web Store 上でホストするために $5 必要ってのがどうにも受け入れられないので、公開はできません。

本エントリーでは、 Tampermonkey の使い方や zip 解凍した拡張機能の読み込ませ方など細かいことはあえて書きません。最近はそういった手順を事細かに解説して PV を稼ぐサイトもあるので、そちらを参照されるのがよいでしょう。

自作のスクリプトについては、順次 Tampermonkey 向けに改良していくつもりです。

2014-04-25

リフレクションでJavaBeansを作る系の脆弱性の話

JavaBeansに対するリフレクションとClassLoader脆弱性 - ひがやすを blog などなどで触れられている今回のStrutsに始まった脆弱性の話ですが、BeansUtil系に限らず、文字列(XML/JSON)からJavaBeansを作る系のライブラリも危ないのでは？なんて思ってます。

独自のBeansUtilを持っているSpring Frameworkについてはざざっと

を見てみましたが、なんかやばそうな気がしました。そもそも、見るのがここで合ってるかわかりませんが。

それと、JSONIC-1.3.3のソースもチェック。

正直わからん。なんとも言えない。

BlueberryStream Technical

@blueberrystreamが技術的なことを書くときに使うblogです。

日本郵便の再配達フォームを使いやすくする #userscript

script

target

spec

image

how to install

Tampermonkeyを導入

リフレクションでJavaBeansを作る系の脆弱性の話