漢は黙ってXSSフィルタ | 水無月ばけらのえび日記

公開: 2010年2月28日1時10分頃 とあるサイトでXSS脆弱性らしきものを発見。いつもはこんな感じの3段階で脆弱性を確認しています。 「"><s>test」を入れて打ち消し線が出ることを確認する「"><script>alert(document.cookie)</script>」を入れてみる。IE8ではXSSフィルタで蹴られるが、ソース上に<script>が出ていることを確認する (「<script>」という文字列だけ消す、というような処理があるかどうか確認するため)実際にスクリプトが動作することを確認最後に実際にスクリプトの動作を確認するわけですが、IE8ではXSSフィルタを無効にしなければならず、それが非常に面倒くさいです。Firefoxの場合、NoScriptを入れているとやっぱりXSSフィルタが効いてしまいます。というわけで、XSSフィルタのないGoogle Chromeを使

[FTTH]

これは知らなかった

[mumincacao]

そういわれてみると理由はよくわかんないけど埋め込み確認に s たぐよく使うにゃぁ・・・ それにしてもこれからのぶらうざは XSS 対策組み込みが主流になるのかなぁ？（´・ω・｀；【みかん

[mallowlabs]

XSSフィルタ

[lovely]

ブラウザのXSSフィルタの話。コメント欄も

[efcl]

XSSの確認手順の一例