DOM APIとinnerHTMLは等価ではない
最近、徳丸本をじわじわ読んでいるのですが、DOM based XSSの話が書いてあったので、少し言及しておこうと思います。 徳丸本から引用 DOM based XSSと呼ばれるXSSがあります。これは、JavaScriptによりクライアント側で表示処理する箇所があり、そこに脆弱性がある場合のXSSです。 サンプル書いてみました。 <script> document.write(unescape(location.href)); </script> こいつを適当なファイル名で保存して、domxss.html#<script>alert("hello")<script>などのURLでアクセスするとalertが表示されるはずです。任意のスクリプトが実行可能な状態ってことですね。任意のスクリプトが実行可能ってことは、セッションクッキー盗み放題で、他人に成り済まして買い物できちゃったりするレベルです
JavaScriptの動かないコード (中級編) iframe内にDOMアクセスできないエラー - 主に言語とシステム開発に関して
連載目次へ 以下のJavaScriptコードが意図した動作をしないのは，なぜですか。（制限時間１分） やりたい事： tenki.htmlの中に，天気が書かれている。 index.htmlのインラインフレーム内に tenki.html を表示して，その内容を解析する。 ※２つのHTMLは，同じフォルダ上にある。 index.html <input type="button" value="クリックして天気を表示" onClick="f()"> <br> <!-- ここに tenki.html を表示します。 --> <iframe id="ifr"></iframe> <script language="JavaScript"> function f() { // iframeを取得 var e_ifr = document.getElementById( "ifr" ); // ifram
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
