[B! XSS] hildeのブックマーク

XSSに強いウェブサイトを作る – テンプレートエンジンの選定基準とスニペットの生成手法

3. 従来のテンプレートエンジン 従来のテンプレート＝手動エスケープ <?php echo htmlspecialchars($var) ?> XSSの温床（エスケープ漏れ） 2010年10月26日 XSSに強いウェブサイトを作る - テンプレートエンジンの選定基準とスニペットの生成手法 3 4. 従来のテンプレートエンジン (2) 代替手法＝常にエスケープ Smarty の default:modifiers 等 問題：２重にエスケープしてしまう 結局流行らなかった 2010年10月26日 XSSに強いウェブサイトを作る - テンプレートエンジンの選定基準とスニペットの生成手法 4 5. 自動エスケープの登場 基本は常にエスケープ ただし、エスケープ済かどうかを型で判定 $var = '>_<'; <?= $var ?> => >_< 型情報があるから２重

hilde 2010/11/04

XSS

リンク

Kazuho@Cybozu Labs: XSSに強いウェブサイトを作る – テンプレートエンジンの選定基準とスニペットの生成手法 (第１回神泉セキュリティ勉強会発表資料)

発表資料は以下のとおり。春山様はじめECナビの皆様、ありがとうございました。 XSSに強いウェブサイトを作る – テンプレートエンジンの選定基準とスニペットの生成手法View more presentations from kazuho.

hilde 2010/10/27

リンク

i-mode2.0セキュリティの検討: 携帯JavaScriptとXSSの組み合わせによる「かんたんログイン」なりすましの可能性 - 徳丸浩の日記(2009-08-05)

_携帯JavaScriptとXSSの組み合わせによる「かんたんログイン」なりすましの可能性このエントリでは、携帯電話のブラウザに搭載されたJavaScriptと、WebサイトのXSSの組み合わせにより、いわゆる「かんたんログイン」に対する不正ログインの可能性について検討する。 5月28にはてなダイアリーに書いた日記「i-mode2.0は前途多難」にて、今年のNTTドコモの夏モデルP-07AにてJavaScript機能が利用停止されたことを指摘した。同日付のNTTドコモ社のリリースによると、「ソフトウェア更新に伴い、高度化した機能の一部をご利用いただけなくなっていますが、再びご利用いただけるよう速やかに対処いたします」とあったが、それ以来2ヶ月以上が経つものの、未だにJavaScript機能は利用できない状態のままだ。実は、NTTドコモ社が慌てふためいてJavaScript機能を急遽停止

hilde 2009/08/05

リンク

yohgaki's blog - PHP_SELFはそのまま出力できない

(Last Updated On: 2018年8月13日)追記：現在のPHPでは$_SERVER[‘PHP_SELF’]はクエリ文字列（?以降のクエリパラメータ）を含みません。しかし、index.php/<script>alert(1)</script>/aaa/bbb とすることは可能です。PHP_SELFと同様の変数は以下です。 $_SERVER[‘PATH_INFO’] $_SERVER[‘PATH_TRANSLATED’] 時々見かけるのでブログでも問題を指摘します。 PHPの$_SERVER配列に入っているPHP_SELF要素はPATHINFOも含めてしまうため、そのまま出力するとXSSに脆弱になる場合があります。 phpinfo()がXSSに脆弱だ、と指摘する人がいるので（元々phpinfo()の出力は管理者・開発者のみ参照できるようにしておくべきですが..)現在のPHPはPH