はまちちゃんにヤラレタという錯覚ばなし

Google デスクトップ　を使う必要にせまられて自室のパソコンで検索しました。　「そういえば、Google デスクトップ、アップデートをしてないよなぁ」と頭をかすめたのですが「まぁいいか」と。　で、タイムラインで調査していたのです。ところが、「あっ」と叫んでしまいました。JavaScriptが動いてalertされたのです。すわ！XSSか！ローカルのデータ抜かれたん？つうか、Google デスクトップを使うときの認証情報は？確か、Windowsにログオンする時のものを使っていたよね？やばくね？あせりまくりです。

で、あわてまくっていたので以下の手順はダメダメです。まずIEのJavaScriptを切ってもう一回、同じ手順でalertされるまでを再現。そして、画面をじっとみると、タイムラインの一覧の中に「はまちちゃん」のページを見たよ、という検索履歴が！　で、その解説のところには、ソースがなくてアクセスに失敗した謎のバッテン画像が！　Google デスクトップではこんなことありえないはず！　

HTMLソースを見ましたよ。しっかりとimg要素のsrc属性にJavaScript擬似スキームが。だけどalert(99)だけ。はまちちゃんのページの検索履歴に間違いありません。

もうこうなったらアレです。そのはまちちゃんのページ（ローカルにあるGoogleデスクトップのキャッシュ）を見に行きました。はまちちゃん、どんなトリック使ったんだろうと。そしたら・・・

はまちちゃんのサイトにXSS脆弱性があって、それを誰かさんがはまちちゃんへのコメントとして記述していて、それを私のパソコンが拾っていて、（気がつかなかった）、それがGoogle デスクトップを貫いていたのでした。はまちちゃんにヤラレタというのは、錯覚ですた。　誰だ！　犯人は！

ちなみに、オチですが。「そういえば、Google デスクトップ、アップデートをしてないよなぁ」と頭をかすめたので、その時点でオフラインに切り替えていたのでした。　あわてる必要はぜんぜんなかったのにねぇ。

ちゃんちゃん。