わかりやすいネタのほうがソーシャルブックマーク数が稼げるからこういうネタを掲載するわけじゃないです。 そう、ぼくはただこの土日を使って社内のイケメンリストを作りたかったんです。 硬派なぼくはerror_reportingは常時E_ALLだし、クロスサイト・スクリプティング(以下XSS)の脆弱性を産むようなミスは犯したりしないゼ。 へなちょこでもいい。たくましいプログラミングをしたいんだ。 しかし悲劇は起こりました。 1 イケメン一覧スクリプトを作成する まず、Asial社内のイケメンリストを配列に持ち、Smartyのassignメソッドで配列をテンプレート変数に割り当て。 また、XSSの脆弱性を未然に防ぐため、Smartyのdefault_modifiersにescapeをセットし、自動的にhtmlspecialchars関数がかかるように設定します。 ikemen_list.php <?
秋のDK収穫祭などで騒がれている、いわゆるDK祭り。 さすがの私も、今夜半の祭りにはmaitter。 私のtwitterが荒らされていたのだ。 http://blog.livedoor.jp/dankogai/archives/50959103.html 現象から見てセッションハイジャックされたと思われるが、原因となる脆弱性が小飼弾氏の主張どおりCSRF(Cross Site Request Forgeries)だったのか、パスワードは窃取されたのか、元々のパスワードが類推しやすいものだったのかなど、議論を呼んでいる。 私は、現象からみて、原因となる脆弱性はCSRFではなく、XSSだったと思う*1。twitterにXSS脆弱性があれば、セッションハイジャックにより、第三者が小飼弾氏になりすまして発言するところまでは可能だ。しかし、一般的にはXSSではパスワードまでは窃取できない。id:ha
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く