IEのinnerHTMLにおけるバッククォートバグ問題について - hoshikuzu | star_dust の書斎
id:hasegawayosukeさんによる、IEのinnerHTMLにおけるバッククォートバグ問題について脚光をあびていますが、私が最初にその問題について知ったのは以下の記事からです。2007年4月11日の長谷川さんの日記です。有益ですので当該日記のコメント欄も参照してください。 http://d.hatena.ne.jp/hasegawayosuke/20070411/p1 全ての文字をエスケープしようなどと非現実的なことは言わないけれど(とはいえMicrosoft Anti-Cross Site Scripting Libraryのようにほとんど全ての文字を実体参照に置き換えるものもあるので、あながち非現実的とも言えないのかも知れない)、エスケープ対象を「'」「"」「<」「>」「&」の5文字に限定しているのは何かこの記事に書かれていない理由があるはずだと思ったからです。 この5文字さ
XSS対策:JavaScriptのエスケープ(その3) - ockeghem's blog
5/14の日記XSS対策:JavaScriptのエスケープ(その2) - ockeghem(徳丸浩)の日記に対して、id:hasegawayosukeさんからコメントを頂戴した。その内容は、JavaScriptに対応していないブラウザの場合に対する考慮が抜けているという趣旨だと理解した。 元の日記にも書いたように、私自身はJavaScriptの動的生成は(特殊な場合を除いて)好ましくないと考えているが、始めた以上は最後まで検討しようと思う。 解決すべき課題の整理 まず、解決すべき課題を整理しよう。元の日記では、JavaScriptを動的生成する(ただし、文字列リテラル内のデータに限る)場合のXSS対策として二段階のエスケープが必要であることを説明した。具体的には、(1)JavaScript文字列リテラルのエスケープとして、「"」、「'」、「\」のエスケープの実施、(2)HTMLとしてのエス
Zend Frameworkメモ - TYAGE EMOTION
今年に入ってからPHPの仕事をやってます。最近ネット上ではフルボッコ状態だったPHPですが、たしかに言語だけ見ると同意する部分大ですが・・・、でもフレームワークの方はRailsより後発のFWが多い分、調べているとなかなか面白いです。Railsに比べて実行環境の面では安心して使える点も魅力です。 PHPもJavaと同じくフレームワークが乱立しており混沌とした状況にありますが、その中で今回は、本命と言われるZend Frameworkを調べてみました。Railsに比べて各機能の独立性が高く、デフォルトの規約が少ない分個別機能だけを簡単に利用することが出来ます。反面、無設定の状態ではいちいち機能を呼び出してやらないと使えないことが多く、無駄な記述が増えてしまうのが欠点でしょうか。・・・ただ、拡張性が高いので、比較的簡単な設定で規約前提の挙動にすることも十分可能です。 というわけで、Zend Fr
URIエンコード（URLエンコード） | Diaspar Journal
おすすめのクレジットカードを徹底比較 クレジットカードのおすすめ コンビニでお得なおすすめクレジットカード 普段利用することの多いコンビニでお得になるクレジットカードがあります。セブンイレブンン・ローソン・ファミリーマートなどよく利用するコンビニでお得になるクレジットカードを支払いで利用すれば多くのポイント還元があります。 1年間などの長い期間で計算すると、コンビニで還元率が高いクレジットカードを利用すると大きな差が出てきます。 三井住友カード（NL） 年会費永年無料還元率0.5％～5.0％国際ブランド 特典最大8,000円相当プレゼント セブンイレブン・ローソン、マクドナルドなどでタッチ決済料で驚異の5.0％ポイント還元 セキュリティを高めカードの両面にカード番号や氏名、セキュリティーコードの無いナンバーレスクレジットカードです。カード番号等は全てアプリ上で管理します。最大の特徴は対象コ
Unicodeエスケープのサロゲート対応版 | 水無月ばけらのえび日記
def js_unicode_escape(text) text.kconv(Kconv::UTF16, Kconv::UTF8).unpack("H*")[0].gsub(/.{4}/, '\\\\u\&') end 参考にしたコードは「速くする」というテーマだったので正規表現置換になっていたのだと思いますが、速度にこだわらなければ、Kconv の方が楽で読みやすい感じではあります。 「Unicodeエスケープのサロゲート対応版」へのコメント (2件)関連する話題: プログラミング / Ruby / JavaScript
JavaScript のリテラルに任意の文字列を出力してみる | 水無月ばけらのえび日記
更新: 2008年1月27日 Web アプリケーションのセキュリティガイドラインには、たいていの場合「スクリプト内に動的生成の文字列などを出力してはならない」という掟があったりするのですが、それにあえて背く場合のお話。 こんな感じの HTML 断片があったとします。 <script type="text/javascript"> <!-- foo.bar = <%= value %>; //--> </script> そして、この「<%= value %>」の部分に、ユーザが検索文字列として入力した任意の値を入れるというのが課題です。もちろん、そのまま出力すると XSS であっさり死亡するので、何らかの処理をしてから出力する必要があります。ちなみに、ユーザが何を入力したのか正確に知りたいので、任意の文字を削除したりすることはできない (削除してしまうと仕様を満たせない) と考えてください。
XSS対策:JavaScriptのエスケープ(その4) - ockeghem's blog
XSS対策:JavaScriptのエスケープ(その3) - ockeghem(徳丸浩)の日記にて、JavaScriptのリテラルを動的生成する場合のエスケープ方法について検討したが、id:hoshikuzuさんから、考慮がもれているという指摘を受けた(http://d.hatena.ne.jp/hoshikuzu/20071011#p1:TITLE=2007-10-11 - hoshikuzu | star_dust の書斎 - JavaScriptエスケープについて論考)。 上記は長いエントリーではあるが、要約すると、特定文字エンコードの特定のバイト●に対して、特定ブラウザにおいて「●\」が一文字「■」として解釈されるため、「"」に対するエスケープ「\"」が破綻するという意味に解釈した。 興味深い内容であるので、以下に考察してみよう。 なぜエスケープが破綻するのか 上記のようなケースはさ
JavaScriptエスケープについて論考 - hoshikuzu | star_dust の書斎
http://d.hatena.ne.jp/hoshikuzu/20060130#P20060130BARSFAKE http://d.hatena.ne.jp/amachang/20071010/1192012056 (IT戦記 - 一行で IE の JavaScript を高速化する方法) はじめに 次のような限定されたケースにおいてなのですが。説明上の都合でこれを課題Ａと呼ぶこととします。 <SCRIPT TYPE="text/javascript"> <!-- var strA = "$data"; // ・・・以下サイト運営者による処理記述例 alert(0); //--> </SCRIPT>上記のようなケースに限定してのオハナシですけれど、$dataをエスケープする方向でのXSS対策として金床さんなどによってかつて論議されて、このままでは使えそうにないと棄却されたJavaScr
激しく誤差の範囲内の予感 - f99aq8oveのブログ
追記 safari だと replace に関数を渡せないらしいです。 replace に関数指定しない方が良いよ escapeHTML をぐるぐる回してみた 俺のあれは数年前から停滞してるので、かっこいい人の登場を待ちます。。。 関数そのまま使いましたm(__)m 眠い。 escapeHTML の実装 3 パターン (ベンチマーク付き) - (new Hatena).blog() window.onload = function () { bench(escapeHTML_replace_multi, "replace_multi"); bench(escapeHTML_replace_func_rulescached_regexcached, "replace_func_rulescached_regexcached"); bench(escapeHTML_replace_func_r
escapeHTML の実装 3 パターン (ベンチマーク付き) - (new Hatena).blog()
ウェブを扱うライブラリやプログラムで必ずと言って良いほど見かけるものに、escapeHTML という関数があります。 "&" 等、特別な意味を持つ文字を、表示等のために実体参照 (&) に変換するお決まりの関数なんですが、実装には色々とバリエーションがあるものです。 1. String#replace メソッドを繰り返す (MochiKit 等) function escapeHTML(str) { return str.replace(/&/g, "&").replace(/"/g, """).replace(/</g, "<").replace(/>/g, ">"); }このパターンが最も多く見受けられます。Ruby でも同様に gsub を繰り返す方式を見かけることがあります (例: RSS::Utils.html_escape)。 2. Str
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
frexx.de