CSSXSSを改良した？手法でmixiのpost_keyを抜き取るデモを作りました - ?D of K:

IDを抜き取る方法が思いつかなかったので、「はまちちゃん」の書き込みの二年来の再来とはいきませんが、セキュリティーホールだと思うので、早めに書いておきます。（修正済みです） 実証コード http://k75.s321.xrea.com/cssxss/mixi.html パッチ済みのIE6でmixiにログインしていた場合、post_keyの取得を確認できると思います。勘違いだったらすみません。その際、僕のmixiのあしあとに残るのでその点のみ注意してください。 手法 CSSの読み込み いわゆるCSSXSSと同じようにlinkを使って、ファイルを読み込みます。旧来の手法では中括弧があることでCSSと誤認識させ、cssTextで取得しましたが、今回は文中に「}selector{property:」という文字列を埋め込んで、selectorに該当する要素のcurrentStyle.property

[Kshi_Kshi]

mixi_scrap

[ockeghem]

IE

[efcl]

UTF-7で中括弧の誤認を起こす。IE

[shidho]

またUTF7か。

[honeybe]

あとで。

[rna]

>id:HiromitsuTakagi 対策というのはリスク発生をユーザに通知することも含めて? MSは一般のmixiユーザが危険性を認知できるような形では通知できないと思う。

[lan_taso]

IE6の脆弱性

[venture]

Mixiの問題じゃないよね、これ。

[ys0000]

セキュリティインシデントの通報手段はもっと告知されるべきなのかも知れない。

[vanish_l2]

ブラウザのバグというか仕様というか・・・

[teppeis]

IE+CSS+UTF-7

[tsukaban]

IE7だと動かないっぽい。検証が適当なので、設定次第で通っちゃったりするかもだけど。

[tyamamoto]

IE6

[rack990]

こういうこと書いてもいいのかな・・・。