Pinned Tweet
権力というものは必ず腐敗し、企業も国家権力も不祥事を隠蔽しますので、ホワイトハットなどといって金で雇われ企業や国家の犬に成り下がるのは正しい行いではない。ゼロデーをすべきときにゼロデーをやる、真実を暴き出してやることはハッカーにできる最大の社会貢献だ。若者はどうか正しい倫理観を。
Railsを慌ててアップデートする必要性が生じてる時点でダメ、ImageTragickから10年だよ
lcamtuf.blogspot.com/2016/05…
mala retweeted
昨日は引用先が犯罪の報道そのものの記事で、それに対しての才能を誉めてはいけないという意味から賛同できたけど、更生のための活動の記事にもこれを貼るのはあまりにも見境がないなぁと思う
犯罪活動に対しての過度な賛美はやめると同時にはそれとは別に更生は必要ではないですか?
ぬぬぬ、改めて徳丸先生の言葉より
「人材不足とはいえ、その人たちを雇うほど困ってはいない」
「セキュリティーエンジニアで最も重要な資質は、技術力以上に倫理観とコンプライアンスです」
「お客様の機密情報やシステムに触れる人間が、一度でもやってはいけない一線を越えてしまった過去がある。企業として、あえてそのリスクを負ってまで雇用する合理的な理由がありません」
「ホワイトハッカーとして育てろはナンセンス」徳丸浩が斬る、未成年不正アクセス事件への“誤解”
type.jp/et/feature/30219/
mala retweeted
戸田尚伸の新作告知です。「惑星をつぐ者ー暗黒の騎士編」という惑星をつぐ者のスピンオフ作品で全十二話程で完結予定です。電子コミックサイトであるまんが王国さんにて準備を進めています。配信開始時期に関しては決まり次第お知らせできればと思います。賞金稼ぎアンブロウを中心とした物語です!
最初から15桁しか登録されていなかった可能性もありそう。 <input> に maxlength を設定するとブラウザはそれを超える入力を受け付けずに :invalid にもならない。入力は全て ● になるから途切れたことにも気づきにくい。それがシステム改修で全桁検証されて落ちるようになったのはありそうなシナリオ
書いた。2012年にも似たようなことがあった。
gist.github.com/mala/30c4e87…
mala retweeted
FeliCa の脆弱性公表について
blog.nyaa.ws/2026/07/felica-…
mala retweeted
Information anarchy is a good thing.
Anarchy doesn't mean "chaos" is mean nobody is enforcing their special interest as the "rules".
What Microsoft wanted was rules written for their own interests, against the interests of their customers and researchers.
Researchers likewise would like some rules tainted by their own interests.
But the best rules here with "vuln disclosure" is no rules. That means most of the time researchers cooperate with vendors and sometimes when vendors behave badly researchers will drop 0day.
This is the state of affairs that you want.
user-triggered fetcherに対してもrobots.txtの遵守を求めるような法改正は筋が良いとは思わない。結局、補助が必要な人間もまとめて除外することになる。人間の意思に基づくリクエストは明確に区別すべき。
時期からしてAdSense対応のためで、JSから親ドメイン指定で巨大cookie書き込むCookie based DoSが出来てしまう問題もあるのでPSL使った分離があった方が良いことは確かだけれど、PSLが無いと認証cookie盗まれるみたいなことは起きない。
help.hatenablog.com/entry/ad…
github.com/publicsuffix/list…
トラッキング制限回避目的で安易な追加申請が多く出されて問題が起きてた時期でもある blog.jxck.io/entries/2021-04… devblog.thebase.in/entry/202…
I feel the traditional "responsible disclosure" concept has been broken since its inception. you can argue that forcing everyone's hand by dropping (weaponized) bugs/exploits is reckless/harmful behavior or blablabla but I feel you have to keep in mind everyone's stakes/motivation in the game are different.
one thing I guess we can agree on: people sit on bugs/exploits all the time. sometimes because ZDI promises a big bag of money at the end of the rainbow that magically evaporates and sometimes because they don't want to disclose these things and use them tactfully for their own advantage/goals.
I've always felt forcing this acceleration will (hopefully) get the software landscape in better shape, faster. albeit in a messy way. the noise it creates however could be a good signal for people to get an idea of the overall security posture of a piece of software, as well as get a good idea of how a vendor handles disclosures that don't follow their made up fairytale non-enforceable policies. (that typically don't come with any kind of silver lining)
back then, you could be damn sure that another horde of teenagers grep'd the same src tree for memcpy and was probably also sitting on an exploit. today the same applies, anyone can out-slop you producing the next linux LPE after brad tweets out a commit ID
remember: as a researcher you don't own the vendor anything. you don't own the public anything either. if you did this work for free its yours to publish in whatever way suits your needs, agenda or overall quirkiness. :)
I'm seeing this question being asked a lot! I think the traditional 90+30 day responsible disclosure standard is dead (or should be). It's too dangerous to be holding onto vulns for this long now.
I've been thinking about alternative responsible disclosure policies that work better for a post-AI era but it's a pretty tricky problem!
mala retweeted
昨日、該当する暴力団総長の名前を伏せて書いたのですが、そのため一部勘違いして誤記しまいました。申し訳ありません。指摘のリプライがあったわけではなく、引用して訂正しようとも思ったのですが、経験上、誤記だけが広まっていくだろうと考えたので、該当Tweetは消し、スクショを貼っておきます。
誤記したのは、細木数子の内縁の夫を安藤組出身者と書いた部分です。細木の夫は堀尾昌志という小金井一家新宿の五代目で、のち小金井一家総長、そして二率会会長になった人物です。小金井一家は系譜がめちゃややこいので、説明が長くなるのですが、なるべく分かりやすく書いてみます。
小金井一家は、小金井小次郎という幕末の俠客を源流とする老舗博徒組織です。が、小金井小次郎があまりのビッグネームだったため、死後、神奈川や東京のあちこちに小金井一家の跡目を名乗る組織が乱立してしまいます。
例えば小金一家笹塚初代、新橋初代、四軒寺初代、堀之内初代、十二社初代、神奈川県松阪家初代、丸嶋初代、府中初代などです。そもそも小金井一家の二代目は市村和十郎というのですが、この人は小金井小次郎に離縁された人でした。今風にいえば絶縁されたのに、初代の死後、二代目になっている。正直、怪しいですよね。
ともあれ…小金井一家系列のひとつに、新宿があります。一門の中で、新宿系統は異端でした。新宿二代目の平松兼三郎はブル兼と呼ばれ、大使館で博奕をやって政府から懸賞金をかけられるなど話題が多く、また喧嘩の強い人でした。
ブル兼は現在ゲイタウンとしてしられる新宿二丁目のメインストリートである仲通りが、まだ六間通りと呼ばれていた頃、通りにあった鳥金という焼き鳥屋の裏に事務所を構えます。博徒ですから博奕場も開帳するのですが、当時、一帯は新宿遊郭です。
小金井一家新宿は、次第に売春暴力団に近づいていきました。戦後、売春が非合法化されてからも、旧・新宿遊郭、及び青線街はセックスを提供し続けます。戦後の新興愚連隊にとって、非合法売春宿からの用心棒代はドル箱のシノギです。次第に小金井一家新宿の縄張りは、暴力団の草刈場となっていきます。
ブル兼はその後の暴力社会の変遷を見越したのか、当時の東京で愚連隊の元祖と呼ばれた万年東一に跡目を譲りたいと考えました。万年は喧嘩ジャンキーで、東京一帯に名の知られた不良のスーパースターです。が、万年は総長の申し出を固辞して客分に収まります。分かりやすく言うと用心棒になった。以後、万年一派は小金井一家新宿と深い関係を続けます。
ブル兼をはじめ、代を譲った新宿三代目の市川三吉、四代目の田中松太郎あたりまでは、まだぎりぎり博徒の修行を積んだ親分という感じがある。が、細木の夫である五代目になった堀尾は万年のような不良上がりです。
不良、つまり愚連隊は現代暴力団の原型です。博徒には縄張りという既得権があるのですが、愚連隊は暴力でカタを付けます。もはや旧来の博徒は利権を維持できない時代になっていました。愚連隊上がりが博徒の跡目を継ぐのは珍しいことではなく、住吉連合会総裁の堀政夫、上万一家貸元(二代住吉一家総長)の磧上義光、浅草のテキヤの大親分である芝山益久なども同じです。
堀尾の事務所をみても、彼が現代暴力団だった片鱗が窺えます。彼の事務所は新宿三丁目の要通りにあるゴールドビルにあったのですが、ここは戦後の新宿で美人喫茶などの最先端風俗があったり、洋パンと呼ばれた外国人相手の売春婦が集団生活をしていたり、不良の激戦区だったエリアです。
なので堀尾の肩書きである小金井一家の総長だけをみると、たしかに博徒は博徒で、それも老舗一家の総長ではあります。幕末の大俠客を始祖にしているのでステレオタイプなレッテルを貼られてしまいますが、小金井一家は説明したように系譜がややこしく、組織の中に露天商連合会などもありました。枝を個別に見ていく必要があり、堀尾はその中で異端であった新宿の系列です。
昭和44年、小金井一家を中心に老舗博徒が集まり、二率会が結成されると、小金井一家七代目総長で四軒寺六代目・納谷富蔵が会長になります。が初代は病気で急死し、堀尾はまず小金井一家の八代目総長になりました。新宿の系統が、小金井一家一門のトップになったのです。
上部団体の二率会は、川崎四代目が二代目会長になりましたがほどなく引退、八王子一家の宮本高三が三代目会長に就任します。このとき堀尾は二率会ナンバー2の会長代行です。その後、堀尾は順当に二率会の四代目会長になります。なので堀尾の肩書きを正式に書くと、二率会会長(一次団体)・小金井一家八代目総長(二次団体)・新宿五代目(三次団体)になります。
その後、堀尾は安藤組出身の矢島武信に新宿東を継がせます。縄張りを割譲したというより、預かっていた縄張りを渡した形と考えたほうが自然です。万年東一に恋い焦がれたブル兼の悲願が、ようやく成就した形です。ですが、もう遅かった。
小金井一家新宿は、新宿一帯の縄張りを持っていたため、ヤクザ、テキヤ、愚連隊組織が群雄割拠する暴力団密集地での生存競争を強いられます。戦後は住吉会や極東会に利権を奪われ続けたのですが、小金井一家は広大な縄張りを、「他団体に貸しているだけ」という奇天烈な理論でなんとか保持します。この「貸し縄張(かしじま)」というシステムは、東京や一部地域独特の逃げ口上で、関西は愚連隊同様、暴力が全てです。
微妙な均衡を保っていた新宿でしたが、新宿及び、新宿線沿線に根を張る住吉会系列と、川崎一帯を根城にする稲川会が、小金井一家の縄張りを奪い合って抗争となり、小金井一家を分割して吸収し、今に至ります。現在の小金井一家は稲川会の中でもかなり大きな二次団体で、トップは元野球選手で、のちプロのキックボクサーに転向したアスリートです。
と…昨日はその複雑な経緯をはしょり、指摘する人がいないのをいいことに、専門家風を吹かせ書き飛ばしまして、反省しております。以後、気を付けます。






















