JSONデータをクロスドメインアタックから守るためにwhile(1)を使うことをやめましょう - hoshikuzu | star_dust の書斎
これはなに 既にご存知の方がいらっしゃるかどうかも知りませんが今さっき関連文献に行き当たって驚愕したので念のためにメモを書いておきます。私はメーリングリストなどに加入していませんので論議が済んでいるかどうかも知らないのです。もしもウェブ上に解説記事があるようでしたら逆に私に是非とも教えてください。 JSONデータの先頭に JSONデータの先頭にwhile(1)を置いておくことで無限ループを発生させておいて、受動的攻撃のページの悪意あるscriptの実行を失敗させるというアイデアには欠点があるということを、先程とある文献から知りました。これはwhile(true)についても同様です。JavaScriptは柔軟で強力な言語ですから、ブラウザがJavaScriptエンジンをまじめに実装しているのであれば、アタックのチャンスを与えていることになります。しかしこれはブラウザの脆弱性とは捉えられません
ScottGu's Blog - JSON Hijacking and How ASP.NET AJAX 1.0 Avoids these Attacks
Recently some reports have been issued by security researchers describing ways hackers can use the JSON wire format used by most popular AJAX frameworks to try and exploit cross domain scripts within browsers. Specifically, these attacks use HTTP GET requests invoked via an HTML <script src=""> include element to circumvent the "same origin policy" enforced by browsers (which limits JavaScript ob
Ajaxian » The safety of JSON
Looking for information about Informa TechTarget products and services? The commercial homepage has moved. Visit Informa TechTarget News 30 Jul 2025 / Cloud Providers Microsoft Q4 earnings surge on cloud results; AI gains steam Booming cloud business drove fourth-quarter and full-year results past analyst expectations as the AI race continues to heat up. 30 Jul 2025 / Clinical documentation Ambien
Safe JSON
Update: March 5th 2007: Important change to the recommendation for Safe JSON detailed below. It is not as safe as people think, but it can still be made to be safe. We have been investigating the security implications of having a JSON api in Connections. It turns out that it is very easy to leave pretty big security exposures in an application if it isn’t done right. The security exposure in
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Accelerating Your Growth from R&D to ROI
http://solutoire.com/2007/03/13/securing-your-json/
https://getahead.org/blog/joe/2007/03/05/json_is_not_as_safe_as_people_think_it_is.html
