現在の位置

トップページ > Greasemonkey


Greasemonkey 編集

古いバージョンをお使いの方へ 編集

Greasemonkeyに任意のファイルを読まれてしまう脆弱性があることが公表されています。

バージョン0.3.5以前のGreasemonkeyをお使いの方は、開発元から、最新のバージョンにアップデートしてください（拡張マネージャからの更新でもアップデートできます）

現在(2007/08/14)では,最新のバージョンにおいてもセキュリティ上の問題にあるセキュリティリスクがあります。

コレは何? 編集

Greasemonkeyは指定ドメイン・URIに対しJavaScriptによるユーザーサイドスクリプトを追加することの出来る拡張です。ユーザースタイルシートではできない細かな動作指定が出来ます。

開発者のウェブサイト[en]から

ユーザースクリプトの書き方を詳細に解説している書籍

ユーザースクリプトの書き方を詳細に解説しているサイト（HTML,PDF,プレーンテキストなどのフォーマットで配布している）、ただし全て英語。

セキュリティ上の問題 編集

根本的な問題 編集

unsafeWindowを使用しているスクリプトはリスクが非常に高い。(参考:[sawatの日記:http://d.hatena.ne.jp/sawat/20070423/1177345938])

ページ内スクリプトをGMスクリプトから呼び出しているものは,スクリプトが乗っ取られるなどリスクが高い。__parent__ プロパティからGMスクリプトの実行コンテキストを取得されてしまう危険性があり, GMスクリプトを特権コードで動作させていた場合は, 悪意あるページ内スクリプトによってFxが完全に乗っ取られる。乗っ取られた場合は, 保存されたパスワード, フォームに入力されたログインIDおよび入力したパスワード, およびパソコンに保存された任意のファイルを第三者に送信されたり, 改変・削除されてしまう。

第三者からスクリプトをダウンロードして実行するようなGMスクリプトも公開されており,非常に危険である。特にその第三者のスクリプトが不特定多数によるwikiのようなものは特にリスクが高い。

クロスドメインでの通信が簡単にできてしまうことのリスク

  • ブラウジングしているサイトのCookieを悪意あるサイトに送信する
  • ブラウジングしているサイトのURLを悪意あるサイトに送信する
  • 検索語句を悪意あるサイトに送信する
  • テキストボックスに入力した語句を悪意あるサイトに送信する

    などが簡単にuser.jsでできてしまう

    翻訳系,検索系などのuser.jsはデータを第三者に送信している, 動画ダウンロード系はトラッキングデータを収拾している

    UserJSを入れる時にはソースを見てGM_xmlhttpRequestがどこに何のデータを送っているか確認しておくのが望ましい

  • 便利そうなものほど危険が伴う。複雑なスクリプトほど悪意あるスクリプトを隠蔽しやすい
  • 現在のところ,安全なスクリプトを配布している信頼できる機関はない
  • 現在のところ,安全なスクリプトを配布するための技術は確立されていない

    現在のところ,悪意あるスクリプトを回避する方法は, 唯一インストールしないことである

リッチテキスト編集領域を持つページでのセキュリテイ上留意すべき点 編集

Gmailの本文の編集領域はiframeで読み込まれたdesignMode="on"なドキュメントとなっており,GMスクリプトを読み込むとそのまま文書の一部になってしまう。

従い, セキュリティの観点からdesignMode="on"なドキュメントに対しては, GMスクリプトを起動させないよう留意しなければならない。

対策としては, そのようなドキュメントを

@excludeで除外
document.designModeをチェック

等が考えられる。

スクリプト 編集

Userscripts.org - Universal Repository
Greasemonkeyで使えるスクリプトがいろいろ、検索も可能
Greasemonkey ユーザースクリプト集
Greasemonkeyで使えるスクリプトが100以上載っている
いろいろ 編集
2ch 編集
bloglines 編集
mixi 編集
Google 編集
はてな 編集
Amazon.co.jp 編集
Amazon.co.jp リレー・蔵書検索 編集
YouTube 編集
ニコニコ動画 編集
Nicovideo Downloader
FLVをダウンロードするボタンを追加します。トラッキング機能はありません。
nicovideon : ニコニコ動画のFLVをダウンロードするGreasemonkey
これはニコニコ動画とは関係のないフィッシングサイトまがいのドメインを持った第三者が個人運営するサーバーを経由するため,あなたがダウンロードした動画のタイトルIPアドレス,クッキー情報が収集されております。ポリシーが不明確で収拾目的および用途が不明確なので,ご使用は個人の責任でお願いいたします。
smile downloader
見出しの脇に「FLV DL」ボタンを追加し、見出しをコピペしやすくします。nicovideonのスクリプト同様、トラッキング機能があります。用途はランキングの生成のようですがやはりポリシーが不明瞭です。
ニコニコダウンローダ
FLVをダウンロードするリンクを追加します。トラッキング機能はありません。スクリプトのインストールは右上の黒い「Install this script」ボタンから。
ニコニコ動画にアクセスしている時間をカウントするGreasemonkeyスクリプト
ニコニコ動画にアクセスしている時間をカウントし続けます。自重用に。
ニコニコ動画のコメント熱狂度を可視化するGreasemonkeyスクリプト
ニコニコ動画の各動画に，コメントの盛り上がり度合いをサーモグラフィーの色合いで表示するGreasemonkeyスクリプトです．短時間に多くのコメントがされている時間帯は赤く，反対に過疎ってる時間帯は青く（黒く）なります．また，再生している時間帯のコメント数をリアルタイムに表示します．
再生数・コメント数の推移を確認するGreasemonkeyスクリプト
見出しの横のリンクボタンから視聴中の動画の再生数・コメント数の推移のグラフが確認できます。
Twitter 編集
ATND 編集
Greasemonkey アプリケーション 編集

Greasemonkey Compiler 編集

Greasemonkeyスクリプトを単体の拡張パッケージに変換する代物

関連リンク 編集