X-Content-Type-Options: nosniff つかわないやつは死ねばいいのに! - 葉っぱ日記
2011-01-06: IE8ということを追記 & ちょっと間違いを修正。あけましておめでとうございます。 年明け早々ですが、Internet Explorerの話題です。IEはご存じの通り、Content-Type だけでなくコンテンツの内容なども sniff することでファイルタイプを決定しているため、画像ファイルやテキストファイルをHTMLと判定してしまい、クロスサイトスクリプティングが発生することが昔からたびたび報告されていました*1。現在は幾分マシになったとはいえ、IEのファイルタイプの判定アルゴリズムは非常に難解であり、現在でも状況によってはWebサイト運営者のまったく意図していないかたちでのXSSが発生する可能性があったりします。そういうわけで、IEがコンテンツを sniff してHTML以外のものをHTML扱いしてしまうことを防ぐために、動的にコンテンツを生成している場合に
画像ファイルによるクロスサイト・スクリプティング(XSS)傾向と対策
補足 この記事は旧徳丸浩の日記からの転載です（元URL、アーカイブ、はてなブックマーク1、はてなブックマーク2）。 備忘のため転載いたしますが、この記事は2007年12月6日に公開されたもので、当時の徳丸の考えを示すものを、基本的に内容を変更せずにそのまま転載するものです。 補足終わり 最近、画像ファイルを用いたクロスサイト・スクリプティングが注目されている。本稿では、画像を悪用したXSSについて説明した後、対策方法について解説する。 画像によるXSSとはどのようなものか Internet Explorer(IE)の特性として、コンテンツの種類を判別する際に、レスポンスヘッダ内のContent-Typeだけでなく、コンテンツの内容も判断基準にしている。このため、Content-Typeが例えばimage/gif(GIF画像)となっていても、中身がHTMLであればHTMLと解釈して表示する。
ppBlog - IEのメモリリーク問題
IEあるいはIEエンジンのブラウザ(Sleipnirとか)を使っていて、どうもページの描画速度が遅い気がする―もっと正確には最初にページを開いたときより遅くなった―と感じたことはないだろうか？ 特にあなたがJavaScriptを多用したページを開いているならば、もしかしたらIE特有のメモリリーク問題(IE memory leaks problemG)が原因かもしれない。 余談ですが、前回のmoblogエントリーは、自分のブログにモブログしたつもりが間違ってこちらにエントリーしてしまいました。気が向いたら移動しておきます。 で、本題ですが、この問題はより多くの利用者が（IEエンジンの）タブブラウザーを使うようになればなるほど顕在化してくると思われるのでメモしておこうと思います。ppBlogでもJavaScriptは欠かせませんし。最初に言っておきますが、この問題はIE4-6に特有のもので他の
JavaScriptの動かないコード (中級編) jsonオブジェクトをevalできないエラー - 主に言語とシステム開発に関して
連載目次へ 以下のJavaScriptコードが意図した動作をしないのは，なぜですか。（制限時間１分） <input type="button" value="「１」と表示" onClick="f()"> <script language="JavaScript"> function f() { var str = "{x:1}"; // JSONオブジェクトにする var obj = eval(str); // プロパティを表示 alert( obj.x ); } </script> 答え IEでもFirefoxでも，「undefined」と表示されてしまう。 もしもオブジェクトのプロパティが１個ではなく，複数個だったらどうなるか。 var str = "{x:1, y:2}"; これをeval()すると，undefinedではなく，実行エラーになる。 Firebugのコンソールには「in
IE8 の気になるバグ3つ – Unformed Building
例によって自分用のまとめ。ずっと気になっているものだけ。 細かいところとかは色々あるんだろうけど、今のところはそんなに気にならないので放置。 発生するのは IE8 の標準モードのときのもの。 文字の大きさが勝手に変わる……というかピクピク動く これってIE8のバグなんじゃね・・・？文字の大きさが勝手に変化するよ？｜ぼくんちのTV 別館 こちらのエントリによると IE8を使用。ブラウザのフォントにMS ゴシック、MS Pゴシック、MS 明朝、MS P明朝を指定している。 （メイリオでは発生しない。） 動く文字は、10.5px～11px。 javascriptが結構多用されている。 これってIE8のバグなんじゃね・・・？文字の大きさが勝手に変化するよ？｜ぼくんちのTV 別館 WordPress の管理画面や、GoogleAdSense でよく発生するのでかなり気になる。 あまりにもウザイ
@cc_on ってなに？
amachangさんの「一行で IE の JavaScript を高速化する方法」を見てて、見慣れない/*@cc_on なんちゃらなんちゃら @*/ って記述が気になった。 なんだろうとおもい、早速ぐぐってみたところ、ここに書いてありました。 @cc_onはステートメントというものらしく「条件付きコンパイルの機能をアクティブにします。」との説明があります。 でも、「条件付きコンパイル」ってなんだよ！そんなの知らないぜ！ ということで調べてみたら、以下のようなことが書いてありました。 条件付きコンパイルを使用すると、JScript の新しい言語機能を利用しながら、その新機能をサポートしていない以前のバージョンとの互換性も保持できます。JScript の新機能を使用する場合、スクリプトにデバッグサポートを埋め込む場合、コード実行をトレースする場合などは、条件付きコンパイルを使用するのが一般的で
IE7 修正済みバグ一覧
修正済みバグ一覧 以下の一覧は、IE7で修正されたバグである。IE6以下では問題が発生する。 バグ 関連タグ/プロパティ 症状 リンク XML宣言によって表示モードが変わる問題 <?xml?> XML宣言の記述があるとQuirksモード(下位互換モード)で表示される。 解説: beta2 02-01 / 問題回避: 正式版 03-03 文字より小さな高さ指定が無効になる問題 height 要素に指定した高さが内包する文字より小さい場合、高さの指定が無効になる。 解説: beta2 03-01 / 問題回避: 正式版 03-03 置換要素を含む行の高さが変わる問題 line-height 画像などの置換要素を含む行で、ブロック要素に対して指定したline-heightプロパティの値が無効となる。 解説: beta2 03-03 / 問題回避: 正式版 03-04 背景画像の閲覧領域に対する固
【特集】CSS実装徹底検証! そこが知りたいInternet Explorer 7 (23) 08-01 ブロック要素化による問題 | クリエイティブ | マイコミジャーナル
リストコンテンツをブロック要素化すると余白が挿入される問題[未修正] IEでは、リスト内のインライン要素をブロック要素化すると、リストの各項目の下に余白が挿入されるという問題が発生する。 サンプルソース8-1-0では、リストのコンテンツとしてリンクを記述している。リンク部分には背景色などのデザインを指定しているが、<a>で構成されるのはインライン要素であるため、そのままでは文字の部分だけがリンクとして機能する。この段階では、リストの各項目の下に余白はなく、すべての項目がくっついて表示される。 図8-1-0a:IE6での表示 図8-1-0b:IE7 beta2での表示 図8-1-0c:Firefoxでの表示 サンプルソース8-1-0 a {background-color:cyan; padding: 5px; color: black; text-decoration:none
[CSS]気をつけたいIE 7のバグ -CSS-Discuss
CSS-Discussにアップされている「IE 7 Bugs」の意訳です。 省略している箇所も多数あるので、原文も参照ください。 Internet Explorer Win Bugs - css-discuss 注意： バグには、IE7のみでなく、IE 5, 5.5, 6のものも含まれています。 公開されてから時間が経っているためか、ちょっと古いものもあります。 IEのフォントサイズのバグ フォントサイズの継承 IEの相対指定のフォントサイズの継承は、うまく機能しません。 相対指定を行う場合、emより%で指定を行う方が便利です。もし、em指定を行う場合は最初に%指定を行ってください。 例： body{ font-size: 100.01%; } ※100%の代わりに100.01%を使用するのは、Operaでの継承バグの回避のためです。 キーワード指定でのサイズ フォントサイズに「small
![[CSS]気をつけたいIE 7のバグ -CSS-Discuss](https://cdn-ak-scissors.b.st-hatena.com/image/square/bc54860ba06deaa45382cf2bddc929515def0354/height=288;version=1;width=512/https%3A%2F%2Fcoliss.com%2Fshared%2Flogo-2014050501-en.png)
IE8 で実装された Selectors API とは何か？ - IT戦記
はじめに IE8 には Selectors API という新しい仕様が実装されました。 ということで、今後 DOM 操作 API の主流になるであろう Selectors API についてまとめておきます。 Selectors API が使えるブラウザ 2008 年 3 月 6 日現在の一覧 WebKit Build Archives | WebKit (開発版の Safari) Windows | Official Site for Microsoft Windows 10 Home & Pro OS, laptops, PCs, tablets & more (IE8 の Beta 版) Selectors API とは Selectors API とは W3C で定義された仕様です。詳細に関してはこちらをどうぞ 簡単に説明すると getElementsByTagName や getE
IEでメモリリークしてる箇所を検出しまくる方法 - hagino3000's blog
JavaScript Memory Leak Detectorのver. 2が出てたのでリンク修正 前から気になっていたツールを実際に使ってみたのでメモ。 javascriptでメモリリークしている箇所の検出はJavaScript Memory Leak Detector、IEの使用メモリのチェックはProcess Explorerを使う。インストールはそれぞれ次のリンクを参照。どちらもwindowsの再起動はいらないって書いてあるけど、私は再起動しないと使えませんでした。 GPDE Team Blog : JavaScript Memory Leak Detector (v2) http://blogs.msdn.com/gpde/pages/javascript-memory-leak-detector_v2.aspx GPDE Team Blog : JavaScript Memor
IE：フォームでEnterキー押したときの挙動 - hajuBlog
FireFoxではフォームでEnterキー押したときに正常な動作をすのにIEのフォームでEnterキー押したときは挙動がとてもおかしかったです。 この謎な現象でハマったんですが、調べてみたところ IEはテキストボックスの数によってテキストボックス内でのEnterキー押下でボタンがsubmitされないことがある。らしいです。 具体的には下記の様な感じ ・テキストボックスが1つだけの場合、ボタンはサーバへsubmitされない ・テキストボックスが複数ある場合、最初のボタンがサーバへsubmitされる 但し、これはinputタグで作ったボタンの場合。buttonタグの場合は１つテキストボックスが1つしかなくてもsubmitされる。 今回は回避方法としてテキストボックスをdisplay:none;でテキストボックスを１個追加して回避できました。 もっと他に何かいい方法あるのかもだけど。。。。
script要素のdefer属性の実装 - Thousand Years
<!--HTMLでは--><script defer></script> <!--XHTMLでは--><script defer="defer"></script> script要素にはdefer属性があって、これはdocument.write系がないことを条件にscriptの中身を後で評価することによってページのレンダリングを妨げないようにするものと説明されている。ただdeferが利用されているサイトってなかなか見たこと無いうえに本当にレンダリングを妨げないか興味があったので調べた。 実装されているブラウザ 調べた範囲ではIE(SafariとKon〜は調べてない)のみ。あとIEはscript要素にdefer属性をつけるとinnerHTMLに代入したscriptが実行されるという仕様がある。 // 以下は動かないので駄目 hoge.innerHTML = "hoge<script>aler
IEにおいてfilter:alpha(opacity)を設定しても、currentStyle.hasLayout=falseだとが透明にならない。 - Enjoy*Study
IEで不透明度を変更するために下記のようなコードを書いたのですが、対象のエレメントのスタイルによって、不透明度が変わらない場合があることに気がつきました。(IE6、7共に) element.style.filter = 'alpha(opacity=50)';だめだったのは、div要素に対して background-colorだけを指定したもので、これに対してwidthまたはheightを追加指定すると、ちゃんと不透明度が効いてきます。 なお、JavaScriptではなくcss上でfilterの指定を行っても同様でした。(width,heigthがないと効かない) script.aculo.us(v1.7.0)ではどうしているんだろうと、ソース(effects.js)を眺めてみたところ、Element.setOpacityでは特に考慮しているような処理は見当たりませんでした。(その先のpr
rikimaruのPG/SEしょーもない備忘録: (IE限定) input type=image でフォームが2回送信される
よくJSで入力チェックをして、エラーとなった場合「Submit」を食い止めるのに、「return false」を使いますが、Imageボタンによるsubmitだと、「return false」がスルーされてしまいます。 microsoftで公式に発表されているIEの仕様で「input type=image で フォームが2回送信される」という事実を知りました。 http://support.microsoft.com/kb/822276/ja 【抜粋】 INPUT type=image を使用すると、そのイメージをクリックすることにより、 イメージ内の x, y 座標の情報とともに、フォームを送信することができます。 この時、INPUT type=image 自体に onclick イベントハンドラを設定し、スクリプトの submit メソッドを使用してフォームの送信を行うと、フォーム
https://support.microsoft.com/ja-jp/help/822276
すべて Microsoft 製品 Microsoft 365 Office Windows Surface Xbox セール サポート ソフトウェア Windows アプリ OneDrive Outlook Skype OneNote Microsoft Teams PC とデバイス Xbox を購入する アクセサリ VR & 複合現実 エンタメ Xbox Game Pass Ultimate Xbox Live Gold Xbox とゲーム PC ゲーム Windows ゲーム 映画とテレビ番組 法人向け Microsoft Azure Microsoft Dynamics 365 Microsoft 365 Microsoft Industry データ プラットフォーム Power Platform 法人向けを購入する Developer & IT .NET Visual Studio
Microsoft Support
All Microsoft Global Microsoft 365 Teams Copilot Windows Surface Xbox Deals Small Business Support Software Windows Apps AI Outlook OneDrive Microsoft Teams OneNote Microsoft Edge Skype PCs & Devices Computers Shop Xbox Accessories VR & mixed reality Certified Refurbished Trade-in for cash Entertainment Xbox Game Pass Ultimate PC Game Pass Xbox games PC and Windows games Movies & TV Business Micro
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
IT NEWS
猫科研究所 - WSHのデバッガ
IEの場合だけ、フォームでＥｎｔｅｒを押してもうまく動作しない | LPO | SEO-LPO.net