yohgaki's blog - いろいろ変わったXSSがありますが...

(Last Updated On: 2007年10月12日)私が知らなかっただけかもしれませんが、これにはかなり驚きました。いろんな所で問題が指摘されていますが、ECMAScriptにXML機能を追加したのはどうなんでしょうね…. 確かにかなり便利なのですが以下のコードでスクリプトが実行されることはほとんど知られていないでしょうね。 <script> 123[”+<_>ev</_>+<_>al</_>](”+<_>aler</_>+<_>t</_>+<_>(1)</_>); </script> 好むと好まざる関係なくFirefox 1.5から使えるのでWeb開発者は知っておかなればならないです。 日本語訳 http://www.ne.jp/asahi/nanto/moon/specs/ecma-357.html 原文 http://www.ecma-international.org/pu

[webmarksjp]

セキュリティ

[mainyaa]

123[''+<_>ev</_>+<_>al</_>](''+<_>aler</_>+<_>t</_>+<_>(1)</_>);

[urajima]

そろそろXSS対策もちゃんと覚えないとなぁ。

[ihag]

ECMAScript for XML．こんなのあるんだ．

[cnomiya]

123["eval"](alert(0))を知りませんでした。。。

[ag-commerce]

私が知らなかっただけかもしれませんが、これにはかなり驚きました。いろんな所で問題が指摘されていますが、ECMAScriptにXML機能を追加したのはどうなんでしょうね.... 確かにかなり便利なのですが以下のコードでスクリプ

[tsupo]

123[''+<_>ev</_>+<_>al</_>](''+<_>aler</_>+<_>t</_>+<_>(1)</_>);

[monjudoh]

XMLをベクタとするXSS。現状はFirefox限定(E4Xを乗せてるのはFirefoxだけだから)。来るべきと気のために気に留めておこう。

[Yuichirou]

E4Xマジ重要

[hasegawayosuke]

http://tinyurl.com/22dn45 このへんが源流? 普通は<>をエスケープしてるのに加え、JS内を動的生成することが少ないので、あまり問題ないと思う。XSSよりこっちが怖い。何かあと一歩の閃きで突破されそう。http://tinyurl.com/2u98t3

[ockeghem]

『好むと好まざる関係なくFirefox 1.5から使えるのでWeb開発者は知っておかなればならないです』<そうかなぁ。こういうトリビア的な知識を強いるのはどうだろうか。どういうときに問題になりどう対策するかを示さないと

[oooooooo]

<script>123[''+<_>ev</_>+<_>al</_>](''+<_>aler</_>+<_>t</_>+<_>(1)</_>);</script>