葉っぱ日記

はじめに 久しぶりに文字コードのXSSの話が盛り上がってるので、久しぶり(3年以上ぶり！)にブログを書きました。あけましておめでとうございます。今年と来年とそのさきも3年くらいよろしくお願いします。 blog.tokumaru.org HTTPレスポンスヘッダーやHTML metaタグでの文字エンコーディング名の指定がない場合に攻撃者がISO-2022-JP特有のバイト列をHTML内に埋め込むことでブラウザーがそのコンテンツをISO-2022-JPであると誤認する、そのときに動的にJavaScript内の文字列を生成しているとするとUS-ASCIIでいうバックスラッシュではなくJIS X0201の円記号を挿入することでエスケープが無効になる、結果としてJavaScriptの文字列外に攻撃者はコードを置くことができるというのが徳丸さんの書かれている記事になります。 対策としては、徳丸さんの記

[igrep]

"「機密情報を含むコンテンツをスクリプトなどのリソースとして読み込み、その機密情報に攻撃者がアクセス可能になる」という種類の脆弱性はこれまでにもIE以外にもたびたび発見されています。"

[Itisango]

id:hasegawayosuke さんの #BLOG 。意外にも今日までブクマしていなかった。

[basementjaxx]

Web界隈を中心としたセキュリティについて書かれているブログ

[k_wizard]

はせがわようすけ

[arakash]

脆弱性色々記載しているブログ

[Layzie]

なんてこった、もれなくセキュリティチェックが！

[mattn]

最速XSS研究会

[rdera]

webサービス作ったら、熟読する。