Masato Kinugawa Security Blog: ホストの前に文字が置けることを忘れるな

今日は、 そもそもホストの前に任意の文字列を置けるということを忘れていると、うっかりそこにJavaScriptで触ってしまった時に問題が起こる場合があるよね、という話をします。 以前紹介したlocation.hrefの問題に似ていますが、今回取り上げているのは文字列がデコードされることにより起きうる問題ではなく、文字列が取得されることで起きうる問題についてです。 まずは、様々な形でJavaScriptでURLを確認できるスーパーウェブサイトを用意致しましたので、ホストの前に文字列を含むURLが、どの値で取得されているかを実際に見てみてください。 http://user:pass@vulnerabledoma.in/location/ (※このページはURLをそのまま書きだしているため、当然DOM based XSSがありますが 、その挙動も含めて確認できるようにする目的があるので、あえてそ

[mumincacao]

認証情報付きの URL とかめったに出番ないだけあって忘れそうな気がするなぁ．．．〆（ーｘ【みかん

[efcl]

location.hrefのブラウザ間での違い。 Chrome/Safariではlogin部も取得される

[AmaiSaeta]

あーそういえばURLにゃそんな仕様あったなー。使わないし使ってるページ見た事無いから忘れてた……

[udzura]

うーむ / $1,337とのこと

[dealforest]

security