IEBlog : IE8 Security Part IV: The XSS Filter - 葉っぱ日記

IEBlog : IE8 Security Part IV: The XSS Filter について、記事を書いた David Ross さんに翻訳許可をもらいましたので、訳してみました。誤訳や指摘がありましたらガンガン突っ込みをお願いいたします(他の記事も時間をとって訳していこうと思います)。当然ながら、これは私が私的に訳したものであり、Microsoftによる公式な翻訳/見解ではありません。 (訳注追加) 「reflected / Type-1 XSS」というのは、攻撃コードが被害者からのリクエスト自身に含まれるタイプのXSSで、サーバ側のアプリケーションでユーザからのリクエストに含まれる攻撃コードを「反射的」に返すような種類のXSSです。典型的には「"><script>...」のような語を検索したときに <input type="text" value=""><script>..."

[diveintounlimit]

開発用にX-XSS-Protection HTTPヘッダーでIE8のXSSフィルターを無効化できるそうな。しかしIE8限定か…

[Cherenkov]

X-XSS-Protection

[toton]

IE8のXSS Filter機能

[monjudoh]

scriptタグのような攻撃コードっぽいものがリクエストに含まれていて、それがそのまま鸚鵡返しにレスポンスの中に含まれている場合にブロックする機構。

[TAKESAKO]

セカンドオーダーインジェクションとかっていうのがTYPE-2に相当するのかな？

[ysenda]

IEBlog : IE8 Security Part IV: The XSS Filter の邦訳。

[nitoyon]

IE8のXSS Filter機能の説明を日本語訳。リクエストの内容がそのままレスポンスに(scriptとして?)現れる場合にブロックする