はてなの画像は俺のもの。俺の画像は俺のもの。 - 葉っぱ日記
先日IRCでOyaji-pun guyの人と話してて、f.hatena.ne.jp の画像が見れないときに少し不満があるという話をしてた。 ざっと上げると いろんな理由で f.hatena.ne.jp 以下の画像が取得できないことがある。 その場合にブックマークレットを使ってrescue901.appspot.com/http://f.hatena.ne.jp/xxxxxx/xxx.jpg のように置換することで表示できるようにしたい HTMLのレンダリング後に<img src>で指定された画像が表示できているかを調べる標準的な方法がない とりあえず、naturalHeight / naturalWidth あたりを使ってお茶を濁した こんな感じ。mattn は Chrome User だからこれで良くなるのかもしれないけど、さすがにIEでも対応したいよね...って事で3分程度で調べてみた
楽天社内から業務に無関係なサイトにアクセスするとおかしなリファラとして残る
非常に興味深いリファラをいただいた。人気殺到で Digg 落ちしたというHTML 2.0 - Browser detection [3]の参考文献になる記事を書いたところ、おかしなリファラが届いた。もちろんリファラで会話とかそういうんじゃなく(たぶん)本物のリファラである。 http://d.hatena.ne.jp/notify-NotifyUser1?aHR0cDovL2QuaGF0ZW5hLm5lLmpwL2hhc2VnYXdheW9zdWtlLw==見る人が見ると一発で「あやしい」とわかるパラメータである。(中略)それ以外にもこんなバリエーションのもある。 http://d.hatena.ne.jp/notify-Notify_user_ifilter?aHR0cDovL2QuaGF0ZW5hLm5lLmpwL2hhc2VnYXdheW9zdWtlLw== http://d.hat
Atom や RDF を利用したXSS - 葉っぱ日記
Internet Explorer の悪名高い Content-Type: 無視という仕様を利用すると、Atom や RDF/RSS を利用してXSSを発生できることがあります。条件的に対象となるWebアプリケーションは多くはないと思いますが、それでもいくつか該当するWebアプリケーションが実在することを確認しました。以下の例では Atom の場合について書いていますが RDF/RSS でも同様です。 例えば、http://example.com/search.cgi?output=atom&q=abcd という URL にアクセスすると、「abcd」という文字列の検索結果を Atom として返すCGIがあったとします。 GET /search.cgi?output=atom&q=abcd Host: example.com HTTP/1.1 200 OK Content-Type: ap
葉っぱ日記 - レジストリの HKCR￥MIME￥Database￥charset 以下に定義されています。
UTF-7を利用したXSSは、charset が指定されていない場合に発生すると考えられていますが、少なくとも Internet Explorer においては、これは大きな間違いです。正しくは、Internet Explorer が認識できる charset が指定されていない場合であり、charsetが付加されていても、IEが認識できない文字エンコーディング名である場合にはXSSが発生します。 例えば、次のような HTML は(HTTPレスポンスヘッダで charset が明示されていない場合)IEが文字エンコーディング名を正しく認識できないため、その内容からUTF-7と解釈されるためにスクリプトが動作します。"utf8"という表記はUTF-8の慣用的な表現ではありますが、ハイフンが抜けており正しい表記ではありません。 <html> <head> <meta http-equiv="Co
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
