【ツール】XSSに悪用できるぞ？UrlParamsとWebDeveloper！

先日、会社で上長の方がFirefoxを用いてWeb画面のデバッグ作業を行ってらっしゃったのを横から覗き見たときのことです。
なにやら見慣れないサイドバーが表示されているかと思うと、おもむろにそこの数値を書き換え始めました。よく見るとそのサイドバーにはhttpリクエストの値がGET、POSTともに一覧表示されていて、自由自在に値を書き換えることができるようでした。さらには上部のツールバーからメニューを選択したかと思うと、POSTで送信されていたパラメータが突然GETで送信されるようにページが書き換えられたのです。
FirefoxのWebアプリデバッグ用ツールと言えばFirebugsがあまりにも有名すぎて、私はそれ以外のツールを一切知らなかったのですが、こんなハッキングツールのようなアドオンも存在するんだなぁと感激したものでした。

早速私も仕事で使おうと思い立ち、本日調べてみましたところ、程なくして二つとも見つかりました。

まず、サイドバーに表示されていたのはコレ。
UrlParams

できることはこんな感じです。

• ブラウザが送信するGETおよびPOSTリクエストを表示することができる
• 自在に値を書き換えることができる
• さらに自分で値を追加したり、逆に送信されるはずの値を削除することもできる

脆弱性のあるWebアプリに対して攻撃を仕掛けるのにも使えそうですｗｗ
私はよい子（むしろヘタレ）のでそんなことはいたしませんけれども。


もうひとつの、GETとPOSTを入れ替えるという荒技を実現していたのがこちらのアドオン。
Web Developer 日本語版



元々は英語のアドオンで、それをこちらの作者の方が許可を得て日本語化してらっしゃるようです。
このアドオン、私は最初それこそGETとPOSTを入れ替えるだけのアドオンなんだとずっと勘違いしていた（そして、そのセンで探していたのでなかなか見つからなかった）のですが、実はものすごい多機能であったということがわかりまして、

↓以下転載

---

• クッキー、Java、JavaScript、CSSなどを無効にする
• CSSをその場で編集する
• フォームの各属性値を表示する
• 画像を非表示にする
• alt属性のない、あるいはalt属性値が空の画像を枠で囲む
• リンクのパスを表示する
• ブラウザの画面内を拡大あるいは縮小する
• テーブルのセルを表示する
• ブラウザのウィンドウおよび表示領域の幅と高さを表示する
• HTMLおよびCSSの構文をチェックする
• W3C/WCAG 1.0 あるいは米国リハビリテーション法508条でアクセシビリティをチェックする
• Webページのソースコードを表示する

---

コレでもまだ全部ではありません。あまりにも多すぎて、とてもじゃあないですが今の私には使いこなせそうもないです。会社で暇なときにちょこちょこ使ってみて機能を確かめていこうと思っています。

【ツール】HTML整頓くん、名前はイマイチでも実力は本物

今の現場では、ほとんど毎日のようにHTMLのソースとJSPのソースを触っています。

それが綺麗なソースならばよいのですが、恐ろしく汚いです。
ひどいところになると、インデントがタブスペース混合だったり、インデント幅が途中から突然2→4に変わっていたり、タグがきちんと閉じられていなかったり・・・こんな支離滅裂なソースをお客様のユーザエージェントに読み込ませるなんて蛮行を決して許すわけにはいきません。だって私A型人間ですから。

しかし1ページ2000行もあるソースを手で直すのはばかけています。
何か良いフォーマッターツールはないのかと探してみました。

Eclipse付属のWTPプラグインの機能でもフォーマットが可能なのですが、たとえばとあるHTML文章を出力するクラスのテストの際に使用するときなど、出力した文章をいったんファイルにして、それをEclipseに配置してフォーマットを行い、削除するという手間が増えてしまいます。もっと気軽にフォーマットができるツールはといいますと・・・

ありました。「HTML整頓くん」です。
名前はイマイチ（失礼）ですし、更新日付は2005年から進んでおらず、その上ベータ版・・・本当に大丈夫なのかとおそるおそる導入してみたのですが、間違いなくフリーソフトウェアの中では最高のテキストエディタ型HTMLフォーマッターです。一週間かけてフォーマッターを探し求め使い倒した経験から断言します（・・・意外とショボイですけれども、そこは平にご容赦ください・・・）。



※ものすごくどうでもいいことですけれども、元のウェブページからコピー→貼り付けでこんなに綺麗に貼り付けができるなんて、最近のWYSIWYGエディタってすごいですね・・・

見た目の通り、テキストエディタ型のHTMLフォーマッターです。
私がいいなぁと思った仕様は以下の通り。

• 文字コード複数対応：当然と言えば当然ですが、世の中にはShift-JISとCRLF改行しか読み込めないツールも無数に存在するのです（現にあったので困りました）。といってもEUC-JPは試していないのでひょっとしたらこいつもダメかもしれません。あしからず。
• タブ種類と幅変更機能：スペースインデントとタブインデントが混ざっているのを解消するために、コレも当然欲しい機能ですが、簡単に設定が変更できるのがポイント高。タブの設定をいじるために設定メニューの奥底をのぞき込まないと変更できないツールもこれまたたくさんあります。
• テキストエディタ型：テキストエディタ型であることにより、他のテキストエディタ、たとえばsakuraや秀丸と連携して、まず正規表現で整形してからコピペして持ってきてフォーマットするという連携も自由自在にできます。本当にちょっとした修正ならその場で。やっぱりシンプルが一番です。
• タグの種類を登録できる：JSPタグなんかはJSTLやStrutsタグライブラリにとどまらず自分で作ることもできるので、無限大に種類があります。そのためJSPタグに対応しているツールが非常に少ないのですが、こいつは手動登録とはいえ、タグの種類を登録することができます。一度登録すれば自動的にフォーマットしてくれますので、大助かり。さらに、最初の変換時に見慣れないタグがあればダイアログで登録するか聞いてくる親切設計！

業務用途でしたらこれとEmEditorまたはSakuraで十分です！是非お試しください！

ただし、あくまで本当にHTMLを修正するためのツールであって、プレビュー機能など一切ございません。
ブラウザで表示した際の見た目のデザインを綺麗にする用途には使えませんので、凝ったウェブページを作られたい方はおとなしくDreamWeaverなんかを購入した方が良いかと思います。

【ツール】All-in-OneからPleiadesへ

会社の同僚の友人が、こんなブログを始めました。

ゆとり世代のウジ虫

かの有名な３０日でOSを作る本の企画を実際に試してらっしゃるそうなのですが、ぐーたらな私とは大違いで、なんと毎日更新です。ウジ虫だなんてとんでもない謙遜で、こんなものを見せつけられてしまっては対抗意識が燃えざるを得ません。

こんな時、ツールマニアの私はまずツールから入ります。
というわけで、我らがエンジニアの強い味方、Eclipseを導入いたしましょう。
Eclipseの日本語化混み総合環境といえばEclipse3.2のころはAll-in-one Eclipseが大変有名だったのですが、こちらのプロジェクトは2006年以降活動を休止しており、最新の3.3に対応しておりません。

どこかに3.3の日本語化環境がないかとしばらくネットをさまよっていたところ、見つけたのがこのPleiades。ここのPleiades All in One 日本語ディストリビューションが大変便利です。Java用だけでもJavaWTPとJavaETLの２タイプのディストリビューションが用意されており、その他C++、PHP、Python、Ruby、Perlと、ほとんどの言語の開発環境をカバーしています。

なんでもこのPleiadesは単純なプロパティファイルの翻訳プラグインではなく、既存の翻訳済みプロパティファイルから日本語辞書ファイルを生成し、それを元にAOP技術を用いてEclipse実行時に動的に翻訳を行うというすさまじいことを裏方でやっているそうです。このようなアイディアを出せて実現できるのがかっこいいですねー。

さて、それはさておき。バージョンが3.3になって何が変わったのかがわからないので、付属のリリースノートを見ながらいろいろと触ってみました。
まず最初に目についたのが、Ctrl+3キーで出せる↓このクイックアクセスダイアログ。



「あの機能、あの設定、どこにあったっけ！？」という時に、Ctrl+3を押してから思いついたキーワードをタイプするだけで目的の箇所にたどり着けます。Google先生や職場の同僚に頭を下げてお聞きする手間が省けていい感じです。
EclipseのPreference（設定）はプラグインを大量に導入するときわめて複雑怪奇になってしまい、どこに何があるのかをすぐに忘れてしまいがちですから、コレはうれしい機能ですね。もちろん、全く使ったことのない新しいプラグインを導入したときにも力を発揮すると思います。

Javaに関するものとしては、「メソッドのリファクタリングの際に、新たにBean（パラメータオブジェクト）クラスを新規作成して、メソッドのシグネチャを変更する」ということができるようになったり、リファクタリング機能にクイックアクセスダイアログ（Ctrl+1キー）がついたりと、早速使ってみたい機能が満載です。


職場でついつい使い慣れたEclipse3.2や3.1を使っていたり、「Eclipseのバージョンが変わったって何が変わるわけでもないだろう」と思ってらっしゃる方、この機会に一度PleiadesでEclipse3.3をお試しになってみてはいかがでしょうか？

【ツール】すっかり流行終わったけれど、まだまだ見かけるttp ・・・を開くプラグイン

いつもの通り備忘録です。
・・・備忘録ならミニブログをつかえって感じですよね。Haruとか。

https://addons.mozilla.org/ja/firefox/addon/1939

ダブルクリックでttpやtpから始まるURLが開けるようになるプラグインです。
Firefoxはずいぶんと厳格なURLの認識をしやがるおかげでデフォルトではttpが開けないのです。
ほかのブラウザのttp対応状況というと、
IE6：かってにFTPと認識される
IE7：なんと普通に開ける
Sleipnir：問題なく開ける
と、一歩遅れている状態だったのですが、
このプラグインのおかげで他のブラウザにも引けをとらなくなりましたね。

余談ですが、作者のWebページのセンスが好きです。

【ツール】Firefoxでお絵かき掲示板も絵チャできない！困った！

今週末はいよいよフラワリングナイト。
なんだかんだいって結局行くことにした私は、無事チケットを手に入れることができましたので、最近不足気味の東方分を補給するべく、Coolierのお絵かき板をのぞきに行ったのです。

そしたらなんと、動画再生リンクをクリックした瞬間Firefoxがフリーズ！
何回試してもフリーズしてしまいます。

最初はいったい何が原因なのかわからなかったのですが、そういえば絵チャットはJavaアプレットを使用しているということを思い出しまして、Javaが原因だと当たりをつけて調べてみることにしました。
JavaのVMコンソールを開いてみると、クラスのロードに途中で失敗しています（エラーメッセージの画像取り忘れました・・・）。表示されたエラーメッセージを元にGoogle先生に問い合わせること３０分、２ｃｈにそれらしきスレがありました。

SunのJavaマジで糞氏ね

このスレの171と180を参考にして、以下のことを試してみました。

---

１：コントロールパネル→Java→基本→ネットワーク設定→直接接続にチェック。


２：インターネット一時ファイルの削除。


３：詳細設定で、ブラウザのデフォルトのJavaのチェックが両方とも入っていたのを、Firefoxのみに変更。
４：同じく詳細設定で、システムトレイにJavaアイコンを配置するのをやめる

---

再度試してみると・・・無事うまくいきました！
どれが有効だったのかはわかりませんが・・・
（何となく３番が怪しいですけれども）

FirefoxでJavaアプレットが動かない方は試してみてはいかがでしょうか？

【ツール】X-Finderでフィルタリング機能を実現する

またまた私が愛用しているファイラー「X-Finder」がらみのネタですがご容赦ください。今日もまた便利な機能をご紹介します。・・・むしろ、自分の備忘録と化してしまっていますが・・・

大量のファイルを扱っているときに、どうしてもほしいのが「検索機能」です。
特に一つのフォルダの中に100個以上似たような名前のファイルが並ぶと、とてもじゃないですが検索機能がなければやっていけません。

もちろん、X-Finderには標準で検索機能やフィルタリング機能があります。
・インクリメンタルサーチ
・アドレスバーを用いたフィルタリング
・エクスプローラの検索を呼び出す

ですが、インクリメンタルサーチは英語名のファイルにしか通用せず、アドレスバーを用いたフィルタリングは操作が煩雑です。前後方部分一致で検索しようとすると、@　→　*を入力　→　検索語を入力　→　*を入力　→　Enterキーと続けて押下せねばなりません。なかなか大変です。
エクスプローラの検索？たぶん、アレを使うぐらいなら自分の手で探したほうが早いと思います。


というわけで、このたびX-Finderの機能を組み合わせて、簡単なフィルタリング機能を作ってみました。

---

１：「ツール」→「キー」を開き、↓こんな感じで新しいショートカットキーを作成します。
Input機能とOpen機能を使います。Open機能はアドレスバーに対象の文字列を入力してEnterキーを押下したときと同じ処理が行われますので、「*入力された文字列*」をOpenすると、フィルタリングができるわけです。



２：早速実験してみましょう。
Ctrl+Fを押すとこんなダイアログが。System32フォルダをd3dでフィルタリングしてみます。



３：ご覧の通り。

---

その他、Command:機能を利用して、外部の検索ツールやGrepツールと連携するというのも楽しそうな感じです。

【ツール】X-Finder 11-3を設定してみた

会社だけではなくて、家でもファイラーとしてX-Finderを使うことにしました。
しかしこのツール、設定が非常に難しいのです。非常に使い勝手が良い上に軽いのですが、普通のツールの設定とは異なる、クセのある設定の仕方のせいで、導入が難しいのが玉に瑕。というわけで、備忘録的に、設定の仕方をご紹介します。

私が主に行う設定は以下の４つです。

１：F8キーでお気に入りフォルダを開くようにする。
２：マウスジェスチャ。
３：右クリックメニューからRenemoと言うファイルリネームツールに連携する。
４：右クリックメニューの表示を変える。（バージョン11-3以降）


順番に見ていきます。

---

１：F8キーでお気に入りフォルダを開くようにする。
「ツール」→「ファンクション」から行います。
上から8番目の行（初期設定ではF8:がバインドされています）を、
書き換えればうまくいきます。




２：マウスジェスチャ
「ツール」→「マウスジェスチャ」から行います。
ここは個人の趣味が出るところですので、「マウスジェスチャは便利で最高DAZE!!波動拳コマンドでタブ閉じは世界共通DA☆YO☆NE!!」という熱くほとばしる思いのたけをぶちまけて設定しましょう。
周りに人がいたらドン引きされるかも知りませんが私は知りません。




３：右クリックメニューからRenemoと言うファイルリネームツールに連携する。
このRenemo、テキストエディタみたいな動作が大好きです。もっと便利なツールはいくらでもありそうですが、今のところはこれで大満足なので、とりあえずはこれに連携。その他grepツールなどに連携するのも面白いと思います。
「ツール」→「右クリック」です。



ここで悩むのが連携のさせ方。新しく項目を作ろうとするとこんなダイアログが出てきて、しかも書いてある内容が意味不明で困り果ててしまいます。
今回やりたいのは、「現在選択されている項目をRenemoで開く」ことなので、パスの欄にRenemoのパスを記述し、動作を3番か4番（4番は11-3以降のみ）に設定します。0番と1番は論外。2番だと一つしか同時に渡せません。
3番と4番の違いですが、3番はコマンドライン引数として渡すのに対し、4番はUIコンポーネントに対するドラッグアンドドロップとして渡します。3番はコマンドライン引数の長さ制限に引っかかってしまうので余りお勧めできないのですが、Renemoは4番の渡し方に対応していないので、仕方なくここでは3番で設定しています。まぁ、10ファイル程度なら問題ないですし。問題が出てきたらリネーマを乗り換えればいいわけです。
送る動作は標準で。




４：右クリックメニューの表示を変える。（バージョン11-3以降）
11-3以降はこの表示をしないと右クリックメニューにいつものWindows様のエクスプローラメニューが表示されないで困ったちゃんなことになってしまいます。
「ツール」→「基本オプション」→「動作」です。
画像通りに設定すればOK。




以上です。ね、簡単でしょう？

【ツール】マウスとかキーボードとかATOKとか

ついに。ついについについに。
私は我慢ができなくなりました。

何に、かと申しますと、IME2007でございます。

Office2007をインストールすると強制的に導入されてしまうのですが、
こいつがもう、本当にどうしようもありません。

どうしようもない例を挙げるのはいくつでもたやすいのですが、
もっともどうしようもない例が、「～とか」です。

たとえば表題の文章を入力すると、
「マウスとカキーボードとカATOKとカ」になります。
何回矯正しても直りません。
辞書をいったんクリーンにすると、しばらくの間は直りますが、またすぐに変換できなくなります。
一体全体何でだろうと悩んでいたのですが、数日前にslashdot.jpのたれ込みで「IME2007は中国でのオフショア開発で、マイクロソフトの日本支社のお偉いさんですらATOKへの乗り換えをおすすめするような惨状である」と書いてありまして、一気に謎が氷解いたしました。

せっかくおすすめされたのだから乗り換えてみよう、ということでATOKに乗り換えてみました。

7000円はさすがに高かったのですが、使い心地は最高です。断言します。
何が一番違うかと申しますと、2回目以降の変換精度です。
1回目もかなりの精度を誇るのですが、
2回目以降の変換精度はもはや神業の領域（？）に達しています。

たとえば上記文章ですと、私は「1回目」「もかなりの精度を」という風に
文節をむちゃくちゃに分けて入力してしまうのですが、
それでも2回目以降は確実に1発変換です。辞書が馬鹿になったりもしません。

具体的に何が違うのかをあげるのが大変なのですが、とにかくイラッとしない（←このイラッも一発変換です。IMEだと確かうまくいかなかったはず）んですよね。文章を打っている最中に。

Blogを書くのがちょっぴり楽しくなりました。


そんなATOKですが、そのままの設定だと少々癖があるので、以下のように設定を行いました。

---

１：まず、カーソルの下に入力モードウィンドウが自動的に出てくるのが少々目障りだったので、以下の図のように設定を変更して、消してみました。


２：続いて、「ｗｗｗｗｗ」と入力すると「っっっっｗ」になってしまうのを防ぐために、以下のように設定を変更しました。これはネットゲーム等を行う際に死活問題です（何）。
↓こちらのブログを参考にさせていただきました。
/halt/Snapshot - ATOKでもうはwwwwwwおkwwwwww



コレでずいぶんとおとなしくなったので、設定はひとまずおいています。
後は辞書の調整ですね。たとえば「ｒｒ」で「→」が変換できるように設定したりですとか。
それから、どうやらOfficeの特定のバージョン（XPらしいです）でATOKを使用すると、強制的にIMEに切り替わってしまうという問題があるらしいのですが、その回避方法も教えていただきました。
ATOKからIMEに切り替わるのがウザい
Microsoft Office XPのアプリケーションを起動すると、ATOKがMicrosoft IMEに変わってしまう

ゲームで日本語が使えるか心配でしたが、半角全角キーでは無理だったのですが、Alt+半角全角キーで切り替えができることがわかり、一安心です。

【ツール】FireGesturesだのGreasemonkeyスクリプトだのabout:configだの

Firefoxのマウスジェスチャプラグインといえば、All-In-One Gesturesが大変有名ですが、
All-in-Oneの弱点として、とにかく動作が重いことがあげられます。

ニコニコ動画などで、「新しいタブで開く」→上左ジェスチャでタブを移動とか、
「新しいタブで開く」→間違えたのですぐに下右ジェスチャでタブを削除とか、
こういう動作をする時に特に重さが目につきます。
反応と精度が悪くて使えたものじゃありません。


そこで、新たに見つけてきたのがこのFireGestures。
公式プラグインになっていないのでちょいとダウンロードに手間がかかる
（セキュリティ設定で警告が出る）ので、万人にはお勧めできないのですが、
動作自体は非常に軽く、設定事項もシンプルにまとまっており、好感が持てます。
特に動作の軽さとジェスチャ精度は明らかにAll-in-Oneより上です。
欠点を挙げるならば、All-in-Oneにはある「中央ボタン押しっぱなしでのスクロール機能」が
FireGesturesにはないことでしょうか。
（大きい画像とかをめくる時、横にスクロールするのがちょっと不便です）


それからBlog更新時に入力したフォームの内容が消えてしまうのを防ぎたいと思い、
そういった類のGreasemonkeyスクリプトを探していたら、
「Greasemonkeyで快適Web生活」さんで、こんなスクリプトを発見。

スクリプトのソースを読むと、inputタグ、textfieldタグ、formタグの内容を
クッキーに残すような仕組みになっているようです。

さっそく私が使っている忍者Blogにも導入したかったのですが、問題点が一つ。
忍者BlogのエディタはiframeタグとJavascriptで実装されているため、このままのスクリプトでは
うまく保存できないことが明らかに。

Firebugでデバグしてみると、ごらんのとおり対象のエリアはiframe。


これは、そのまま使おうと思ったら少々手を入れる必要がありそうですね・・・
もしくは、ブラウザの画面が切り替わる時に確認ダイアログを出すようなスクリプトを
自分で書くとか。

自分でGreasemonkeyのスクリプトを書くなら、
以下のFirefoxまとめサイトの記事が頼りになりそうです。

http://firefox.geckodev.org/index.php?Greasemonkey#ff1f82b2

それからCNET Japanにこんな記事もあったので、参考にしてみようかなと。
ブログの執筆活動を素早くさせる40のFirefoxアドオン


最後にもう一個だけ小ネタ。
Firefoxって、アドレスバーに「about:config」と入力すると、設定一覧が見れるんですね。
おそらく皆さんには常識なんでしょうけれども、全く知らなかった・・・お恥ずかしい。

【ツール】LUNARR、試してみました！～速報編～

元サイボウズの社長が起業して作ったということで、
IT業界のニュースでは、それなりにメジャーなツール「LUNARR」の
ログインキーが手に入ったため、早速試してみました！
招待してくださったLUNARR@wiki管理人の京さん、ありがとうございます。

LUNARRをものすごく簡単に説明しますと、Google Docもどきにメール機能をくっつけた
コラボレーションシステムです。
こうして書くと「またか」と思われるかもしれませんが、LUNARRの最大の特徴は、右上の「FLIP」機能。
このFLIPボタンを押すことで、表書きのドキュメントと裏書のメールによる伝達を
シームレスに結びつけることが目的です。
公式ページに実際に使えるデモがあります（ただし英語版）ので、試してみると早いかと思います。

本当にログインしただけでまだ何もしていないのですが、
どうやら、wikiで紹介されているα版とはまったくインターフェースが異なっているようです。

とりあえず、ひとつだけ気になった点といえば、
LUNARR公式ページのデモのように、ページがスムーズに裏返せるのだと思っていたら、
実際には読み込みにかなり時間がかかってしまうという点でしょうか。
これはかなりストレスになるうえに、LUNARRの売りを大きく殺している気がするのですが・・・


まぁ、もう少し使ってみてから苦言を申すことにしますか。