第3回 US-ASCIIによるクロスサイトスクリプティング | gihyo.jp

今回は、US-ASCIIによるクロスサイトスクリプティング(XSS)という話題について紹介します。 前回までで説明したUTF-7によるXSSと同様に、攻撃者はUS-ASCIIという文字コードを巧みに利用することで、IEを対象にXSSを発生させることができます。US-ASCIIによるXSSは、UTF-7によるXSSと類似点も多いため、前回までの説明も併せて読んでおくとよいでしょう。 US-ASCIIによるXSSについても先に対策を書いてしまうと、UTF-7のときと同様にHTTPレスポンスヘッダにて Content-Type: text/html; charset=UTF-8 Content-Type: text/html; charset=Shift_JIS Content-Type: text/html; charset=EUC-JP のいずれかを出力するという原則を守ることで、完全に攻撃

[grafi]

「US-ASCIIで記述されたコンテンツをInternet Explorerで開いたときには，0x00から0x7Fの128文字を解釈するだけでなく，0x80から0xFFまでの7ビットにおさまらない範囲の文字について，最上位ビットが無視され0x00から0xFFと等価」やば

[hatest]

ｼscriptｾ

[rryu]

charsetにUS-ASCIIを指定してはいけないということをもっと強く明示してほしい感じ。

[MinazukiBakera]

US-ASCII で提供されているサイトを Shift_JIS や EUC-JP にする? 普通 ISO-8859-1 なのでは? UTF-8 はあると思いますが

[umq]

「0x80から0xFFまでの7ビットにおさまらない範囲の文字について，最上位ビットが無視され0x00から0xFFと等価と解釈されます。」

[hasegawayosuke]

↑わー ＞＜