WebKitに入ったXSS検知機能 - 素人がプログラミングを勉強していたブログ

追記: 下記のXSSは修正された。修正前は下記のURLにアクセスすると <link rel="alternate" type="application/rss+xml" title="RSS2.0" href="http://live.nicovideo.jp/recent/rss?tab=&sort="><script>alert("XSS");</script><meta id="&p=1" /> のようになっていた。追記ここまで。 ttp://live.nicovideo.jp/search?sort="><script>alert("XSS");</script><meta id="Firefox等、Opera等ではアラートが表示されるが、WebKitのnightlyでは表示されない。原因を調べたら、どうやらこれはWebKitに搭載されたXSS対策の機能のようだ。 Refused

[toton]

--enable-xss-auditor

[tinsep19]

URLのクエリ部に含まれるコードと同じ物がHTMLに入っていた場合、ブロックするという機能。XSSAuditorと言う名前で実装されていて、近々Chromiumにも入ると思われる。

[monjudoh]

『URLのクエリ部に含まれるコードと同じ物がHTMLに入っていた場合、ブロックするという機能。』

[teramako]

Webkitすげー // 入力をそのままHTMLに埋め込んでるnicovideo.jp