XSS対策:JavaScriptのエスケープ(その2) - ockeghem's blog
5/11の日記XSS対策:JavaScriptなどのエスケープ - ockeghem(徳丸浩)の日記に対する金床さんのコメントに触発されて、JavaScriptのエスケープについて検討してみよう。ただし、現実のアプリケーション開発においては、私はJavaScriptの動的生成を推奨していないが、これはエスケープ処理をどのように考えるかと言うレッスンのつもりで検討することにする。 金床さんのコメントで紹介されたリンクには、以下のようなガイドライン案が提案されている。 JavaScriptの文字列でのエスケープ手順としては、以下が今のところ正解っぽい感じです。 1. 「\」を「\\」に置換する 2. 「"」を「\"」に置換する 3. 「'」を「\'」に置換する 4. 「/」を「\/」に置換する 5. 「<」を「\x3c」に置換する 6. 「>」を「\x3e」に置換する 7. 「0x0D（CR)
XSS対策:JavaScriptなどのエスケープ - ockeghem's blog
昨日の日記に対して、id:ikepyonさんからトラックバックを頂戴した。内容はそちら(Tipsと考え方とXSS対策)を読んでいただくとして、興味深いテーマなので少し突っ込んでみたい。 # 日によって「です・ます」で書いたり、「だ・である」で書いているのは気分の問題なので、あまり気にしないでいただきたい Tipsだけでなく、物事の本質を見極め、何が危険で、何が安全なのかということを考える必要があると思う。 昨日の記事は、(一般的な)XSS対策として、どの文字をエスケープするのが「本質的」だったかを考えたかったのであって、あれをTipsととらえると確かに失敗する。 JavaScriptのスクリプトなどが入っている場合も昨日と同じ方法論で考えることは可能である。まずはこれを検討してみよう。 スクリプトがonXXXのイベントハンドラとして記述されている場合 この場合は、HTMLタグの属性値として
クロスドメインでのデータ読み込みを防止するJavaScript ? - snippets from shinichitomita’s journal
GMailのコンタクトリスト漏洩のエントリのついでに。 JSONデータをscriptタグにのせて配信するサービス（JSONPなど）で、限られたサイトのみにしかそのデータを配信しないようにするためには、クライアントが送出してくるリファラ情報を使ってサービスコンシューマとなっているサイトを特定してアクセス制御する方法がある。 この方法はおそらく大部分のクライアント（ブラウザ）に対しては有効で、例えば実際にGoogle MapsなどもそれとAppKeyを組み合わせてサイトを判別しているっぽいのだけど、意図的にリファラ送出を切っているブラウザであったり、あるいはプロキシプログラムなどが自動的にリファラヘッダを除去してしまうようなクライアント環境に対しては無効になってしまう。 ということで、そんなクライアントでもなんとかならないだろうかと考えていたときにちょっと思いついた、もしかしたらこの方法なら許
パスワードジェネレータ - JavaScript
Password Generator パスワードをランダムに生成するお手軽パスワードジェネレータ NN4+, IE4+, Opera 使用する文字 A-Z オー ( O ) を使う アイ ( I ) を使う a-z エル ( l ) を使う 0-9 ゼロ ( 0 ) を使う イチ ( 1 ) を使う あらゆる記号 !"#$%&'()-=^~|@`[{;+:*]},<.>/?\_ 任意の文字 入力文字に空白文字を見つけたら取り除く 生成する文字数 文字 生成 結果 [PageTop] [Back] [Home] 更新履歴 2005-2-24 スクリプトを全て書き直し 複数生成できるように変更 空白文字を取り除くチェックを追加 使わない文字指定を追加 200x 初版公開 [PageTop] [Back] [Home] Copyright(C) 2002-2005 kerry.
Blog Archive - Incompleteness
The blog is about general web development. (Atom feed) MozBlog contains Mozilla stuff - i.e stuff for planet (Atom feed). See also the Archives If it's a choice between incomplete or wrong, side with Gödel. About I'm Joe Walker. I work for Mozilla making developer tools better i.e. creating tomorrow's Firebug. See also joewalker on Github and @joewalker on Twitter, and 103130341946168853745 on Goo
Ajaxian » The safety of JSON
Enterprise Strategy Group: Go-to-market Expertise to Help You Win
ITMediaにとんでもなく危険なLifeHackが載ってる件 - nak2kのブログ
しかも、「mshta ［任意のURL］」と入力すれば、WebページをHTA（HTMLアプリケーション）として開くことも可能だ。 「ファイル名を指定して実行」の便利な使い方（その1） - ITmedia エンタープライズ このTips、HTMLアプリケーションとしてWebページを実行した場合はIEのセキュリティゾーンがローカルコンピュータの状態で実行されるから、表示したWebページでは「どんなスクリプトでも」動かせてかなり危険。 以下のようなスクリプト（MicrosoftのJScriptについてのヘルプに載ってるサンプル）を含んだHTMLを上記の方法で表示してみたよ。 <script> var fso = new ActiveXObject("Scripting.FileSystemObject"); var a = fso.CreateTextFile("c:\\testfile.txt"
Kazuho@Cybozu Labs: クロスサイトのセキュリティモデル
« Japanize - IE 系の User JavaScript エンジンに対応しました | メイン | 安全な JSON, 危険な JSON (Cross-site Including?) » 2007年01月04日 クロスサイトのセキュリティモデル あけましておめでとうございます。 昨年、社内で「XMLHttpRequest は何故クロスサイトで使えないのか。画像や SCRIPT タグは使えるのに」という疑問 (というより試問) を耳にしました。おもしろい話なのでブログネタにしようと思っていたのですが、新年早々 GMAIL の事例がスラッシュドットされていたので、自分の現時点での理解をまとめてみることにしました。文書を確認して書いているわけではないので、間違いがあれば指摘してください。また、よい参考文献をご存知の方がいらっしゃいましたら、教えていただければ幸いです。 ウェブブラウザ
あなたのクリップボードが盗まれる - Ceekz Logs
IE には、便利な機能がある。それは、スクリプト（JavaScript etc..）でクリップボードの操作ができるのだ。clipboardData というオブジェクトね。操作できる内容は、クリップボードにデータを読み込むこと（setData）、読み出すこと（getData）、消去すること（clearData）の3種類。 読み出すことも可能なんですよね。しかも、デフォルトでは、警告すら出ない。 以下のような、プログラムを準備しよう。 #!/usr/bin/perl use strict; my $file = '/tmp/cb.txt'; open (CB, ">> $file"); print CB "$ENV{'QUERY_STRING'}\n"; close (CB); print "Status: 301 Moved Permanently\n"; print "Location:
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
JavaScript かも日記: 【Ajax】Basic認証ページから読み込む
Tweak by Rijk