Sculpt dynamic interfaces, stretch your imagination, and play with these 22 powerful new CSS features that landed in Chrome this year.

Who needs JavaScript? Security researcher Lyra Rebane has devised a novel clickjacking attack that relies on Scalable Vector Graphics (SVG) and Cascading Style Sheets (CSS).…

Who needs JavaScript? Security researcher Lyra Rebane has devised a novel clickjacking attack that relies on Scalable Vector Graphics (SVG) and Cascading Style Sheets (CSS).…

セキュリティ研究者のLyra Rebane氏は、Scalable Vector Graphics（SVG）とCascading Style Sheets（CSS）に依存した新種のクリックジャッキング攻撃を考案した。 Rebane氏は10月のBSides Tallinnでこの手法を実演し、現在は自身のアプローチの概要を公開している。この攻撃は、まだ完全には緩和されていないが、SVGフィルターがオリジンをまたいで情報を漏えいさせてしまうという事実に依存しており、これはウェブの同一オリジンポリシーに反する。 クリックジャッキングとは、アプリケーションやウェブサイトのユーザーをだまして意図しない操作を行わせるさまざまな手口を指す。ユーザーインターフェース・リドレス攻撃とも呼ばれ、一般的にはインターフェース要素を操作して、ユーザー入力を悪意ある目的に転用できるようにする。 この用語は2008年、セキュリティ研究者のJeremiah Grossman氏とRobert Hansen氏によって、マウスクリックイベントを乗っ取り、攻撃者の望むように適用できる手法（たとえば被害者にウェブページの送信ボタンをクリックさせるなど）を説明するために作られた。 それ以来、ウェブの基本的なセキュリティモデルを強化するために、さまざまな緩和策が開発されてきた。これらは、異なるオリジン（多くの場合はウェブドメインの形を取る）が互いにどのようにやり取りできるかを制限するものだ。 OWASPが詳述しているように、一般的な防御策には、X-Frame-OptionsやContent Security Policy（frame-ancestors）HTTPヘッダーを使ってブラウザがページをフレーム内に読み込むのを防ぐこと、ページがフレーム内に読み込まれたときにセッションクッキーが送信されないようにすること、JavaScriptを使ってページがフレーム内で読み込まれるのを防ぐことなどが含まれる。 それでもなお、昨年のクロスウィンドウ偽造のように、新たなバリエーションが次々と現れている。 Rebane氏は、AppleのLiquid Glass（液体ガラス）視覚歪みエフェクトをSVGとCSSで再現しようとしたことをきっかけに、この攻撃手法を発見した。再現に成功した後、彼女は、自身のSVG/CSSによる液体ガラス効果の再現をiframe内に配置すると、背後にあるメインウェブページのピクセルにアクセスできることに気づいた。 Rebane氏はThe Registerに対し、Paul Stone氏のPerfect Pixel Timing Attacks With HTML［PDF］やRon Masas氏のThe Human Side Channel攻撃を挙げ、過去にもクロスオリジン攻撃にSVGが使われてきたと語った。 「私がやったような形でクロスオリジンデータ上でロジックを実行した人は、他にいないと思います」とRebane氏は述べている。 Rebane氏の投稿では、SVGフィルターを使って論理ゲートを作り、任意の計算関数でウェブページのピクセルを処理する方法が詳しく説明されている。これにより、他の手段ではあまりに複雑になりすぎるクリックジャッキング攻撃を実装できるという。 「feBlendとfeCompositeを使うことで、あらゆる論理ゲートを再現し、SVGフィルターを関数的に完全にすることができます」と彼女の投稿は説明する。「これは、タイミングに依存せず、リソースを使いすぎない限り、望むものは何でもプログラムできることを意味します。」 Rebane氏は、自身の手法の応用例として、Googleドキュメントのテキストを流出させる概念実証攻撃を作成してみせた。この攻撃では、ポップアップインターフェースウィンドウ上に「Generate Document（ドキュメントを生成）」ボタンが配置される。ボタンが押されると、背後のコードがポップアップを検出し、ユーザー入力用のCAPTCHAテキストボックスを表示する。CAPTCHAの送信ボタンは、提案されたドキュメントファイルを隠しテキストボックスに追加する。

CSS is the code that tells the browser how to display the content of a web page for the end user by formatting fonts, colors, backgrounds, and other visual elements.

In today’s digital era, web design isn’t just about functionality—it’s about aesthetics, user...

Introduction: A sophisticated yet deceptively simple attack vector is leveraging Cascading Style Sheets (CSS) to exfiltrate sensitive data and poison security datasets. This technique, known as hidden text salting, involves injecting invisible content into web pages to evade detection and manipulate security tools. For cybersecurity professionals, understanding this "unserious tradecraft" is critical for defending modern web applications. Learning Objectives: Understand the core mechanics of CSS injection and attribute-based data exfiltration.

Syntactically Awesome Style Sheets, a preprocessor scripting language that is interpreted or compiled into Cascading Style Sheets (CSS).