構造化テキストの間違ったエスケープ手法について : 404 Blog Not Found
2010年09月22日21:30 カテゴリLightweight Languages 構造化テキストの間違ったエスケープ手法について 昨晩のtwitter XSS祭りは、ふだんもtwitter.comは使わない私には遠くの祭り囃子だったのですが、せっかくの自戒の機会なので。 Kazuho@Cybozu Labs: (Twitter の XSS 脆弱性に関連して) 構造化テキストの正しいエスケープ手法について 正しいアプローチは、全てのルールを同時に適用することです。 これは残念ながら(おそらく)必要条件であっても十分条件ではありません。 こういう(かなりええかげんな)正規表現でtweetをparseしていたとします。 re_http = '(?:https?://[\\x21-\\x7e]+)'; re_user = '(?:[@][0-9A-Za-z_]{1,15})'; re_hash
Kazuho@Cybozu Labs: (Twitter の XSS 脆弱性に関連して) 構造化テキストの正しいエスケープ手法について
昨日の Twitter の XSS 騒ぎは、まだ皆さんの記憶に新しいことと思います。いい機会なので、ツイートのような構造化テキストのエスケープ手法について触れておきたいと思います。 Twitter のメッセージは、単なる平文（プレインテキスト）ではなく、「@英数字」のような他のユーザーへの言及と「http://〜」のような URL を自動的にハイパーリンク化する構造化テキストです。 このような複数のルールをもつ構造化テキストを HTML 化する際には、どのようなコードを書けばいいのでしょう？ まず「@〜」をリンク化してから、URL をリンク化すればいいのでしょうか？ それだと、@〜 のをリンク化した A HREF タグの中の URL がさらにリンク化されていまいますね。 では、URL をリンク化してから @〜 をリンク化すればいいのでしょうか？ それだと、@ を含む URL があった場合に
さくらレンタルサーバーで動くWebアプリをArkを使って作ってみた - すぎゃーんメモ
root権限なく、daemontoolsやmemcachedなどを使用せず、さくらレンタルサーバー スタンダードプランで標準的に使えるPerl CGIとMySQLだけを利用して動かせるWebアプリをArkで作ってみました。 http://sugyan.sakura.ne.jp/ リポジトリはgithubに Twitter OAuthでユーザー認証、ログイン OAuthを使ったTwitter APIでタイムラインを取得 MeCabで形態素解析して各発言を全裸に ユーザーが各全裸発言をお気に入りできる(ユーザーと発言をひもづける) 選択した発言をOAuthでTweet くらいの機能。 PerlのCGIからpsgiを起動する方法については以前書いた通りで。 さくらのレンタルサーバーでArk+CGIのTwitterアプリを作る練習 - すぎゃーんメモ 静的ファイルはデフォルトで"$HOME/www
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
