IE7でもCSSのexpressionが利用可能 - cloned.log
下位互換か需要の必要性があってか、IE7でもCSSのexpressionが使える。このexpressionというのはJavaScriptが書けてしまうので、XSSの事例とかでよく題材にされる。以下のページに解かり易く書いてある。 WebAppSec - WebAppSec Wiki - IEのexpressionとurl 最新のIE6とIE7では、url内にJavaScriptを書いても反応しないようだけど、expressionは使える。XSSの話は置いておいたとしても、どういう場面で効果的なんだろうか。いまいち使い方が想像できない。
XSS - 表示系パラメータに存在する盲点 :: ぼくはまちちゃん！
こんにちはこんにちは！！ クロスサイトスクリプティングの時間です！ XSSというと…！ まっさきに思いつくのが、入力データ送信 → 確認表示の部分での無害化漏れですよね！ たとえばこんな感じのフォームから受け取ったパラメータを、 確認として表示するページとか！ (入力) <form action="register.cgi" method="post"> タイトル：<input type="text" name="title"> ← 「ぼくはまちちゃん！」を入力 本文：<input type="text" name="body"> ← 「こんにちはこんにちは！！<script>alert(1)</script>」を入力 </form> (確認) <p>この内容で登録していい？</p> <p> タイトル： ぼくはまちちゃん！<br> 本文： こんにちはこんにちは！！<script>alert
■ - hoshikuzu | star_dust の書斎
■GoogleサイトにXSS脆弱性、セキュリティ企業の指摘で修正(エンコーディング変更によるXSS攻撃) UTF-7のお話し 2006-01-26追記 2004年11月において、既にこの種の危険性を指摘している文献がありました。svgばなしですけれど精神は同じです。 Re: SVG 1.2 Comment: image/svg+xml;charset='' :: www-svg@w3.org Mail Archives 2006-01-26追記終わり Googleサイトに脆弱性、セキュリティ企業の指摘で修正::ITmedia エンタープライズ UTF-7を使ったのですね。セキュリティ企業の指摘の一端は以下のコードでわかります。 <HEAD> <META HTTP-EQUIV="CONTENT-TYPE" CONTENT="text/html; charset=UTF-7"> </HEAD>
スラッシュドット ジャパン | UTF-7エンコードされたタグ文字列によるXSS脆弱性に注意
jbeef曰く、"本家に「Cross Site Scripting Discovered in Google」というストーリが掲載された。 これは、Web Application Security Consortiumが主宰するメーリングリストに投稿された記事を伝えるもの。その記事によると、Google.comにXSS（クロスサイトスクリプティング）脆弱性が見つかり、発見者が11月15日にGoogleに連絡したところ、12月1日に修正されたという。この脆弱性の原因と対策は以下の通り。" (つづく...) "まず、Googleの404 Not Foundのページはこの例のように、リクエストされたURLのパス名を画面に表示するようになっている。ここで、そのパス名にHTMLのタグを構成する文字「<」「>」が含まれている場合、Googleは、これをきちんと「<」「>」にエスケープして出
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
はてなダイアリーのヘルプ - はてなダイアリーXSS対策
