Masato Kinugawa Security Blog: エンコーディングの切り替えによるSelf-XSSを考える
Shift_JISにすると、UTF-8でひらがなの「く」を構成する「0xE3818F」の先頭2バイトが、まず「縺(0xE381)」という文字と解釈され、残った「0x8F」が、後続の、二重引用符のエスケープシーケンスである「\(0x5C)」と１つの文字、「十(0x8F5C)」を作ってしまうのです。これにより、エスケープシーケンスがなくなった二重引用符は、そこで文字列リテラルを閉じることになります。こうして、その後ろに書かれたアラートが動いてしまうという訳です。 つまりこれは、攻撃者に誘導され、ユーザー自身が文字エンコーディングを切り替えた場合、本来XSSがないページでもXSSが起こせる場合があるということです。 IE以外のブラウザは、親フレームのエンコーディングを変更した場合、クロスドメインでも子フレームのエンコーディングまで変更するので、こんな誘導の仕方もできます。 http://l0.c
JavaScriptで全角/半角判定 — shibu.jp
Note 本コンテンツの一部は、業務時間内に調べた内容を含んでおり、株式会社ディー・エヌ・エーの提供でお送りしております。 とある理由で全角、半角の判定が必要になったのですが、簡単技(SJISなどに変換してバイト数計測など)はつかえなかったため、自作する方向で調べて見ました。 Pythonには unicodedata.east_asian_width() という関数があり、 エキスパートPythonプログラミング というすばらしい書籍の日本語オリジナルの文字コード関連の章によると、この関数が "F" 、 "W" 、 "A" (ただし、Aはフォントにより変わる曖昧な文字)が返すと全角としてカウントすればよい、と書かれています。 こちらを参考にJavaScriptの全角/半角判定を行った幅計算を実装してみます。 まずJavaScriptを知る¶ JavaScriptは内部では、UTF-16とい
Ajax & PHPでの日本語文字化け対応 - 気負わない日記
日本語の文字化けではまる。。。orz AjaxとPHPでシステムを構築する機会が得られました。 JavaScriptのライブラリはprototype.js PHPのフレームワークはEthnaを利用してJSONで通信*1 という環境でアプリを作っていたのですが、 フォームから日本語を送信すると文字化けしてします。。。 なぜでしょう。。。 ということで1日半ほどはまっちゃいました。;-) prototype.jsのForm.serialize まず、今回のアプリはprototype.jsの「Form.serialize()」をつかってフォームの内容を送信していたのですが、 この「Form.serialize()」は何をしているのか調べてみました。 prototype.js（1.4.0）のソースを読んでいたら「encodeURIComponent」をつかってURIエンコードしていることが判明 1
bricklife.weblog.*: Ajax で文字化けする条件を調査してみた
Ajax で文字化けする条件を調査してみた 【Blog Hackers Conference 2005 補足エントリー その２】 発表時間が全然足りなくて一言もしゃべれなかった「Ajax で日本語文字化け」ネタの調査結果をエントリーしておきます。 Safari ユーザのみなさんは Ajax なページを見るときに「文字化けすぎで見れん！」という経験を一回はされていると思います。例えば「WEBプログラミング NOW!: Googleサジェスト--Safariで文字化け」で述べられているように Google サジェストが化け化けになったりして、枕を涙で濡らす日々を過ごしていることと思われます(v1.3 では動作すらしません(泣))。この文字化けは、どうもデータを XML ではなくテキスト形式で受け取っているときに起こるようです。詳しい原因は「WEBプログラミング NOW!: Googleサジェス
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
文字コード関連調査[responseText]
JavaScript++かも日記 - 1997年からの
