サマリ ISO-2022-JPという文字エンコーディングの自動判定を悪用したクロスサイト・スクリプティング(XSS)攻撃について説明する。これは、文字エンコーディングを適切に指定していないウェブコンテンツに対して、文字エンコーディングをISO-2022-JPと誤認させることでバックスラッシュが円記号と解釈されることによりエスケープ処理を回避する攻撃である。本稿で紹介する攻撃は、従来からのセキュリティベストプラクティスである「文字エンコーディングの明示」に従っていれば影響を受けることはない。 はじめに クロスサイト・スクリプティング対策として、記号文字のエスケープ処理に加えて、コンテンツの文字エンコーディングをレスポンスヘッダやmetaタグで明示しましょうと言われてきました（参照）。その背景として、UTF-7という文字エンコーディングを悪用したXSSの存在がありました。この攻撃については以下
Pythonが速度改善に本気出すと聞いたので恒例のたらい回しベンチをとってみたら、RubyがYJITですごく速くなっていて驚いた話 - Smalltalkのtは小文字です
2022-09-09改訂： gcc バージョンが古すぎたのと、C が内部計測でなかった点を改め計測しなおしました。結果、Rust は C より速くはなくなりました。紛らわしいことで、ごめんなさい。また、gcc のバージョンアップに伴い、Python および Ruby についてはビルドと計測をしなおしたので、これらも少し速い値に変わっています。この点もどうぞあしからず。 2022-09-10追記：ご要望のあった Python numba.njit 使用時と Go の結果を追加しました。PHP は JIT 有効化が面倒だったので断念しました^^; 2022-09-10追記2：C の計測で clock() を使うのはフェアではないという指摘がありましたので、念のため clock_gettime() を使用したコードに差し替えました。結果に大きな差はありません。 2022-09-10追記3：PHP
防衛省サイバーコンテスト 2025 writeup - st98 の日記帳 - コピー
2/2に12時間というちょうどよい競技時間で開催された。21時終了だったけれども、11時45分ぐらいに最速で全完して1位🎉 第1回以来4年ぶりの優勝だ。昨年大会の第4回ではヒントの閲覧数で優勝を逃してしまって悔しい思いをしたので、雪辱を果たすことができ嬉しい。開始直後からずっと1位を独走できており、510名のプレイヤーがいる中で圧勝だったのも嬉しい。 昨年度や一昨年度はバルクが作問を担当していたが、今回はAGESTが担当していた。これまでの問題と比較すると全体的に易化したように思うが、解くにあたって発想の大きな飛躍を必要とするいわゆる「エスパー要素」のある問題はごく一部を除いて存在しておらず*1、よかったと思う。また、昨年度・一昨年度に引き続きwriteupは公開可能というのもよかった。 戦略というほどの戦略は立てていなかったけれども、とりあえずWebを見た後は全カテゴリを上から見ていき
デザイナーが抱くReact+TypeScriptの疑問を紐解き、フロントエンドに一歩近づこう - estie inside blog
こんにちは。ひらやま（@rhirayamaaan）です。 先日とあるツイートを見かけ、つい反応してしまいました。 これはReactコンポーネントを作る時に最低限必要なTypeScriptの知識をまとめた記事を書く気運高まってますか…！！？ https://t.co/rb9iwfNqDG— ひらやま (@rhirayamaaan) 2023年3月1日 3, 4年くらい前（2023年4月現在）は、フロントエンドを好むエンジニアやプログラムを書くマークアップエンジニアが目を輝かせながら React に飛びついていたように私は感じていました。しかし最近では React を使ったサービスが運用される機会も増え、デザイン修正を行うためにデザイナーが React のコードを触るケースも徐々に増えてきている印象があります。 ここ最近ではデザインエンジニアや UX エンジニアという形で表記ゆれを許しながら新
とほほの正規表現入門 - とほほのWWW入門
目次 正規表現とは 正規表現の落とし穴 本書および各言語における記法 Perlの場合 PHPの場合 Pythonの場合 JavaScriptの場合 文字・文字列 文字(A) 文字列(ABC) 任意文字 任意文字(.) 行頭・行末 行頭(^) 行末($, \z, \Z) いずれかの文字 いずれかの文字([...]) グルーピング グルーピング((...)) AまたはB AまたはB(A|B) 繰り返し 0回以上の繰り返し(*) 1回以上の繰り返し(+) 0回または1回(?) n～m回の繰り返し({n}, {n,}, {n,m}) 最短マッチング 最短マッチング(0回以上)(*?) 最短マッチング(1回以上)(+?) 最短マッチング(0回か1回)(??) 最短マッチング(n～m回)({n,m}?) エスケープシーケンス メタ文字(\x) 制御文字(\x) 文字コード(\xxx, \xxx) 定義
KDL is a small, pleasant document language with XML-like node semantics that looks like you're invoking a bunch of CLI commands! It's meant to be used both as a serialization format and a configuration language, much like JSON, YAML, or XML. It looks like this: package { name my-pkg version "1.2.3" dependencies { // Nodes can have standalone values as well as // key/value pairs. lodash "^3.2.1" op
January 13, 2023 Hello! I’ve been thinking about writing a zine about how things are represented on computers in bytes, so I was thinking about floating point. I’ve heard a million times about the dangers of floating point arithmetic, like: addition isn’t associative (x + (y + z) is different from (x + y) + z) if you add very big values to very small values, you can get inaccurate results (the sma
Shai Hulud Strikes Again (v2)Another wave of Shai-Hulud campaign has hit npm with more than 500 packages and 700+ versions affected. Update: November 26, 2025 PostHog has published a detailed post mortem describing how one of its GitHub Actions workflows was abused as an initial access vector for Shai Hulud v2. An attacker briefly opened a pull request that modified a script executed via pull_requ
はじめに 対象イベント 読み方、使い方 Remote Code Execution(RCE) Nginx + PHP-FPM環境でLFIからRCE Writeup 問題ファイル mysql_fdwのMySQL Client Attack Writeup 問題ファイル ツール 参考 Cross-Site Request Forgeries(CSRF) Cross-site WebSocket hijacking(CSWSH) Writeup 参考 Insecure Deserialization 新しいガジェットチェーンの発見 Writeup 問題ファイル Server-Side Request Forgery(SSRF) ChromeのDevToolsのデバッグポートに対するSSRF Writeup 問題ファイル SSRFによるIstio/Envoyの構成情報の窃取および認可バイパス Wr
Expert used ChatGPT-4o to create a replica of his passport in just 5 minutes bypassing KYC
SECURITY AFFAIRS MALWARE NEWSLETTER ROUND 41 | Security Affairs newsletter Round 519 by Pierluigi Paganini – INTERNATIONAL EDITION | China admitted its role in Volt Typhoon cyberattacks on U.S. infrastructure | Symbolic Link trick lets attackers bypass FortiGate patches, Fortinet warns | Attackers are exploiting recently disclosed OttoKit WordPress plugin flaw | Laboratory Services Cooperative dat
Stripeを導入するためにStripeのドキュメントを確認したけれどどこから何を始めていいのかわからなかったという人を対象にStripeを導入するために必要な組み込み方法を説明しています。Stripeでオンライン決済といってもプログラミングの得意な人向けの方法から全くプラグラミングがわからない人でもお手軽に導入できる方法まで幅広い方法が提供されています。その上、プログラミングを使って組み込む方法も一つではなくシチュエーションによって利用するAPIが異なるため混乱する人も多いと思いますのでぜひ参考にしてみてください。Stripeの料金体系や成り立ちなどの説明はなく組み込み方法を中心にStripeの基本的な仕組みを理解したい技術者向けの内容になっています。 アカウントの作成 Stripeを利用するためにはStripeのアカウントを作成する必要があります。テスト目的で利用する場合は名前、メール
Laravel9のバージョン9.2からデフォルトのビルドツールがWebpack(Laravel Mix)からViteに変更になりました。Viteはフロントエンドツールとして現在爆発的に人気のあるツールでViteを利用することでフロントエンド開発のスピードを加速させることができます。対象対象はLaravel、Reactを利用した経験がある人なのでLaravel, Reactについての細かな設定は含まれていません。対象はLaravel、Vue.js 3を利用した経験がある人なのでLaravel, Vue.jsについての細かな説明は含まれていません。 Vite環境でVueを利用するためにはいくつかの追加設定が必要なので本文書ではその手順について説明を行っています。 Laravel + Vite + Vue.js 3環境の構築に興味がある人はぜひ参考にしてください。 Laravelプロジェクトの作
[PHP] 外部のJavaScriptファイルでPHPの変数を参照する方法 – Search Light（Python, React, Django, PHP, Linux）
PHPから外部のJavaScriptに値を渡す方法についてです。PHPファイルの中に直接JavaScriptを記載していて、JavaScriptファイルを外部に持っていこうとすると、値が参照できなくなります。外部JavaScriptに値を渡すには少し工夫が必要です。 準備 まず、公開ディレクトリに「sample.js」というファイルを作り、その中に下記のソースを記載します。 alert("値: " + sample); console.log(sample); 値がうまく渡った場合、アラートとコンソールに値が出力されるようになります。 テキスト・数値等の渡し方 配列ではないテキストや数値等の渡し方は簡単です。 <?php $sample ='abc';//PHPで配列を生成 ?> <script type="text/javascript"> var sample='<?php echo
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
ISO-2022-JPの自動判定によるクロスサイト・スクリプティング(XSS)
The KDL Document Language
Examples of floating point problems
Shai Hulud Strikes Again (v2) - Socket
【2021年】CTF Web問題の攻撃手法まとめ - こんとろーるしーこんとろーるぶい
オンライン決済Stripe(ストライプ)を導入するための組み込み方法の基礎 | アールエフェクト
Laravel9のVite環境でVue.js 3を利用する方法 | アールエフェクト